SHAttered
We have broken SHA-1 in practice. This industry cryptographic hash function standard is used for digital signatures and file integrity verification, and protects a wide spectrum of digital assets, including credit card transactions, electronic documents, open-source software repositories and software updates. It is now practically possible to craft two colliding PDF files and obtain a SHA-1 digita
不倫サイト｢アシュレイ・マディソン｣流出データ大検証！ 女性ユーザーはほぼ全員偽物
不倫サイト｢アシュレイ・マディソン｣流出データ大検証！ 女性ユーザーはほぼ全員偽物2015.08.27 21:5720,502 そうこ なんだよ…。じゃぁ、女性いない場所でリークの危険冒して何やってたんだよ。 不倫サイト｢アシュレイ・マディソン｣ハッキングにより、さまざまなデータがでてきました。ハッキングしたImpact Teamは、サイトにある女性プロフィールページのうち90から95％が偽物だと力説しています。これが事実だとしたらとんでもない割合ですが、現在実際に調査したところはありません。そこで、米GizmodoのAnnalee Newitz編集長がデータをダウンロードして検証してみました。その結果、Impact Teamの言う通り、女性ユーザーはほぼ全員偽物＝サクラだというとんでもないことがわかってしまいました。Newitz編集長がどのように検証したのか、詳しくみていきましょう。 N
SSL/TLSの基礎と最新動向
1. SSL/TLSの基礎と最新動向 セキュリティキャンプ 2015 2015年8月12日 IIJ 大津 繁樹 更新版資料の置場 http://goo.gl/cX1M17 Github Repo: https://goo.gl/vRLzrj 2. 自己紹介 • 大津 繁樹 • 株式会社 インターネットイニシアティブ • プロダクト本部 アプリケーション開発部サービス開発2課 • NodeJS Technical Committee メンバー • (主にTLS/CRYPTO/OpenSSLバインディングを担当） • IETF httpbis WG で HTTP/2相互接続試験等仕様策定に参画。 • ブログ： http://d.hatena.ne.jp/jovi0608/ 3. はじめに • TLS(Transport Layer Security)の仕組みについて学んでいただき ます。 •
Let's Encrypt
A nonprofit Certificate Authority providing TLS certificates to 363 million websites. Read all about our nonprofit work this year in our 2023 Annual Report. From our blog Jun 24, 2024 More Memory Safety for Let’s Encrypt: Deploying ntpd-rs NTP is critical to how TLS works, and now it’s memory safe at Let’s Encrypt. Read more May 30, 2024 Let’s Encrypt Continues Partnership with Princeton to Bolste
Masato Kinugawa Security Blog: Referrer文字列によるXSS
リファラを使ったXSSの小ネタです。 今回取り上げるのは、ターゲット自身が、細工したページを経由することでつけられたリファラによって攻撃を受けるケースです。このような攻撃の場合は、現実に経由可能なページからでしか攻撃文字列を送りこむことができません。 例えば、以下のように、document.referrerをそのままdocument.write()しているページがあるとします。 http://vulnerabledoma.in/location/ リファラを書き出している部分でXSSできるでしょうか。 IEでは単純です。 IEはURLのクエリに、エンコードせずに「"<>」などを含めることができるので、これらを含むURLから、リファラを書き出しているページへ遷移させれば、XSSが起きます。 http://l0.cm/xss_referrer.html?<script>alert(1)</sc
HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策
8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予測」と、セキュリティコミュニティでは大変著名なネットエージェント、長谷川陽介氏による「HTML5時代におけるセキュリティを意識した開発」の2つのセッションの様子をお送りしよう。 竹迫氏が「HTML」の周りの最新技術と、3つの未来予測を語る 未来予測その1：通信は暗号化が標準に――「スタバでドヤリング」から考える最新技術 竹迫氏はまず、スターバックスでスタイリッシュなMacBook Airをこれ見よがしに使う、「ドヤリング」という技術（？）について写真を出すところから講演を始めた。 実は、この「ドヤリング」、公衆無線LANを利用すると盗聴のリスクがあることが指摘されて
株式会社IDCフロンティア
IDCフロンティアのクラウドサービスが政府情報システムのためのセキュリティ評価制度（ISMAP... データセンター 2024年01月10日 【接続先追加】「バーチャルブリッジ」に主要IX事業者などの他事業者接続が追加 データセンター 2024年01月10日 令和6年能登半島地震の影響により、被災された地域のお客さまがご利用中のサービスについて支援措置を実施します。 サービス 2024年01月05日 新年のご挨拶 代表取締役社長 鈴木 勝久 その他 2024年01月04日 1月17日～19日に福岡で開催される「JANOG53 in Hakata」にブース出展します その他 2023年12月20日 ZDNET Japan Business＆IT ClassWork supported by ... その他 2023年12月15日 IDCフロンティア、「AIサービスのためのデジタルインフラ」を
Sucuri — Complete Website Security, CDN, DDoS Protection
Here at Sucuri Labs is where we share our technical research. We are a group of website security professionals who are passionate about discovering emerging web-based malware and software vulnerabilities. Not only do we create tools and detection rules for our customers, we also bring awareness to the website security community. Our mission is to help make the internet a safer place. We dissect, a
高木浩光@自宅の日記 - ローソンと付き合うには友達を捨てる覚悟が必要
■ ローソンと付き合うには友達を捨てる覚悟が必要 当初3月末開始とされていた「LAWSON Wi-Fi」が、なぜか「当初の計画より事前テストに時間を要したため」として、遅れて4月6日から開始されたのだが、早速Twitterでこんな指摘が出ていた。 少なくともこういうのを「ログイン」と呼ぶのはやめて頂きたい。金融機関などでは、暗証番号に電話番号や誕生日を使うのをやめるよう利用者を啓発する活動にコストをかけてきたが、そうした労力を台無しにする。ローソンとしては、無料の無線LANを使わせるくらい、本人確認が甘くても自社の問題だから許されると思っているのだろうが、こういうやり方が社会に悪弊をもたらすことに気付いていないのか。 今回は、前回の日記で取り上げた「PASMOマイページ」の問題とは違って、「ログイン」で電話番号と誕生日を使用している。一般に、不正アクセス禁止法では、このような、IDと電話番
ハイローオーストラリア口座開設
ハイローオーストラリア（ハイロードットコム）の口座開設の手順は非常に簡単です。 時間にして、本人確認を含め10分以内で申込みが完了します。
OWASP Mantra - Free and Open Source Browser based Security Framework
BeEF - The browser exploitation framework (BeEF) BlindElephant - Web application fingerprinter XSSer - Automatic tool for pentesting XSS attacks against different applications RIPS - Static source code analyser for vulnerabilities in PHP WebApps Authforce - http://www.divineinvasion.net/authforce/ Reconnaissance-penetration tools - Attack and defense labs - tools Browser exploitation - Browser exp
OWASP Mantra | Web application security testing browser.
OWASP Mantra OWASP Mantra was first launched in ClubHACK 2010. At one point in time, we made it to official repositories of two major pen-testing distributions - BackTrack and Matriux. There were thrilling moments when we go to conferences and people say 'we love OWASP Mantra'. Sometimes, we will be watching a PoC video or tutorial and there we spot Mantra and that used to take us to heavens. We w
Young, in Love and Sharing Everything, Including a Password (Published 2012)
Alexandra Radford, 20, shared passwords with a boyfriend when she was in high school.Credit...Drew Kelly for The New York Times Young couples have long signaled their devotion to each other by various means — the gift of a letterman jacket, or an exchange of class rings or ID bracelets. Best friends share locker combinations. The digital era has given rise to a more intimate custom. It has become
高木浩光＠自宅の日記 - ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を
■ ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を 昨年示していた、 やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合, 2009年8月2日の日記 日本の携帯電話事業者の一部は、「フルブラウザ」にさえ契約者固有ID送信機能を持たせて、蛸壺の維持を謀ろうとしているが、iPhoneのような国際的デファクト標準には通用しないのであって、今後も、他のスマートフォンの普及とともに、蛸壺的手法は通用しなくなっていくであろう。 そのときに、蛸壺の中の開発者らが、このニコニコ動画の事例と同様のミスをする可能性が高い。「IPアドレス帯域」による制限が通用しない機器では、アプリケーションの内容によっては特に危険な脆弱性となるので、関係者はこのことに注意が必要である。 の懸念が、今や、さらに拡大し、ケータイ業者のみならず、一般のシステムインテグレータの思考
【レポート】"かんたんログイン"のセキュリティ問題とは何なのか? - WASForum 2010 (2) 「かんたんログイン」の代替案 | ネット | マイコミジャーナル
かんたんログインがはらむプライバシー問題 高木浩光氏は、これまで自身のブログなどでかんたんログインに関する問題を報告している。今回はイー・モバイルの携帯WebであるEMnetを使ってインターネットに接続した結果を話した。EMnetのプロキシ経由で固有IDを書き換えて他社キャリアのIDを送信すると、IPアドレス制限はクリアでき、プロキシサーバでの書き換えも行われなかったという。 固有IDを使ったログイン認証の問題は、PCからアクセスできるとなりすましが可能になる点 EMnetのプロキシは、X-EM-UID:のヘッダで固有IDを付与する仕組みで、あらかじめUIDがあった場合、それを削除して正しいIDに書き換えて送信するが、他社のヘッダがあったとしても、それは書き換えない。他社の固有IDを削除しないこと自体は問題のある動作ではない、と高木氏。固有IDの送信に関する仕様が各社で統一されておらず、キ
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
各ブラウザからパスワードを抜き出すフリーソフト「WebBrowserPassView」
Internet Explorer/Firefox/Google Chrome/Operaに保存されている各サイトのパスワードを抜き出して表示してくれるのがこのフリーソフト「WebBrowserPassView」です。極めてシンプルな機能なのですが「あのサイトのパスワードってなんだったっけ？」という時に地味に役立ちます。 使い方などは以下から。 ※パスワードを抜き出すというソフトウェアの特性上、常駐させて使用しているアンチウイルスソフトやセキュリティソフトによってはスパイウェアやマルウェアとして反応することがありますが、誤検知なので問題ありません。 WebBrowserPassView - Recover lost passwords stored in your Web browser http://www.nirsoft.net/utils/web_browser_password.h
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Worst security hole you've seen?
TechCrunch | Startup and Technology News
DigiNotar偽SSL証明書事件、「twitter.com」などにも拡大、全貌は未だ不明 