Is Secure Cookie secure? - CookieのSecure属性・__Host-プレフィックス・HSTSを正しく理解しよう - Flatt Security Blog
こんにちは、 @okazu_dm です。 前回の記事 に引き続きCookie関連のセキュリティに関する記事となります。 今回は、Cookieの仕様を定めたRFC6265(https://datatracker.ietf.org/doc/html/rfc6265)自体に含まれるSecure属性の問題点と、その対策について紹介していきます。 CookieのSecure属性自体は前回紹介したSameSite属性と比較してわかりやすいのもあり、かなり知名度が高いと思われますが、Secure属性単体で守れる範囲というのは実は限定的である、という点を本記事では実験も交えて示していきます。 なお、本記事はセキュリティ以外の分野を主業務とするソフトウェアエンジニアを主な想定読者として書いています。 記事内の検証につかったブラウザのバージョン Cookieについて 中間者攻撃の仕組み 実際に中間者攻撃をして
More secure private attachments · GitHub Changelog
AI & MLLearn about artificial intelligence and machine learning across the GitHub ecosystem and the wider industry. Generative AILearn how to build with generative AI. GitHub CopilotChange how you work with GitHub Copilot. LLMsEverything developers need to know about LLMs. Machine learningMachine learning tips, tricks, and best practices. How AI code generation worksExplore the capabilities and be
国や地域によるパスワード特性の差異分析
2022年3月に情報処理学会第84回全国大会で発表した論文の発表スライドです。
「パスワードを変更してください」と繰り返し続ける横断歩道の音響装置が発見される
by Erica Fischer 街角を歩くと、チャイムや音声で目が不自由な人に横断歩道の信号が青になったことを案内する音響信号機の音を耳にします。アメリカにある横断歩道の音響装置が、安全に横断歩道を渡れることを知らせる代わりに、パスワードの変更を訴えている様子が捉えられました。 The walk signs in Crystal City, VA are just repeating “Change Password” | Hacker News https://news.ycombinator.com/item?id=30675727 アメリカの首都・ワシントンD.C.を拠点とするエコノミストのジョーイ・ポリターノ氏が2022年3月14日に、Twitterに「バージニア州クリスタルシティの歩行者用標識は、道路を渡っても安全なタイミングを教えてくれる代わりに、『パスワードを変更してくださ
bosyuが実装したメールアドレスでの登録/ログイン機能とは!? - r-weblife
こんばんは、ritouです。 今日はこの機能を使ってみましょう。 ／#bosyu をメールアドレス✉️で ご利用いただけるようになりました！ ＼ 今まで、TwitterかFacebookのアカウントがないとご利用いただけませんでしたが、メールアドレスだけでも使えるようになりました。 より多くの方に、bosyuしたり応募していただければうれしいです☺️#bosyu開発室 pic.twitter.com/46zCST53Kg— bosyu公式 (@bosyu_me) 2020年7月27日 何の話? medium が前から採用していた方式です。 medium.com これを新しい方式と捉えるかどうか、個人的にはそれほど新しくは感じません。 長年の歴史からいわゆる「パスワード認証を用いた登録や認証フロー」には人類の持つ脆弱性への対策として必ずメールやSMSによるリカバリーがセットになって実装されて
yamory | 脆弱性管理クラウド | SBOM対応
株式会社アシュアードが提供するyamoryは、ソフトウェア内部の構成（SCA：ソフトウェアコンポジション解析）からホスト／コンテナ／クラウド／ネットワーク機器など全レイヤーに対応した脆弱性管理ができる国内唯一のクラウドサービスです。 独自のリスクデータベースの活用で、クラウドの設定不備、OSSのライセンス違反やEOLリスクの検知も可能です。
ヘッドレスブラウザとSSRF | 技術者ブログ | 三井物産セキュアディレクション株式会社
ヘッドレスブラウザは、サーバ環境などでHTMLをレンダリングするためにバックグラウンドで動作させるブラウザです。 筆者も昨年診断ツールに組み込んだのを契機に使用し始めました。使ってみるとなかなか面白いので、今年は社内での学習用の「やられサイト」にも組み込んでみました。今回はこのやられサイトを題材にして、ヘッドレスブラウザとSSRF（Server-side request forgery）について書きます。 やられサイトの概要 開発したやられサイトは簡単なブックマークサイトです。ユーザがURLを入力すると、そのスクリーンショット画像をヘッドレスブラウザで取得して、ユーザが付けたコメントなどの付加情報とともに保存します。 下図はヘッドレスブラウザに関連する部分の構成です。 図のとおりNode.jsのPuppeteerを使用しており、バックエンドのブラウザエンジンはChromiumです。性能向上
Signed HTTP Exchanges (SXG)とはなにか/SXG Explained
Signed HTTP Exchange Study https://web-study.connpass.com/event/128480/ の発表資料です。
pixivの事例で考える、脆弱性報奨金制度との上手な付き合い方 - pixiv inside [archive]
新CTOの@edvakfです。 今年のピクシブ株式会社アドベントカレンダーも無事最終日を迎えることができました。 http://qiita.com/advent-calendar/2016/pixiv 脆弱性報奨金というものがありまして、日本だとCybozuさんとかLINEさんの事例が有名です。 今回はピクシブで脆弱性報奨金の導入事例を元に、脆弱性報奨金とどう付き合っていくのが良いかを考えていきます。 忙しい人向けのまとめ BugBounty.jpを利用して脆弱性報奨金制度を導入した セキュリティ部署を作らなくてもミニマルに始められて良い 会社の規模に合わせて報告件数をコントロールしながら報奨金額を設定しよう BugBounty.jp CybozuさんやLINEさんは自前で脆弱性報奨金の窓口を運営されていますが、ピクシブではBugBounty.jpというサービスを利用しています。（pixi
![pixivの事例で考える、脆弱性報奨金制度との上手な付き合い方 - pixiv inside [archive]](https://cdn-ak-scissors.b.st-hatena.com/image/square/448962db5903c4d67ce32abfc0286d10d12ce251/height=288;version=1;width=512/https%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fe%2Fedvakf%2F20161218%2F20161218042623.png)
www\.google\.com に存在する文字エンコード切り替えによるSelf-XSS - A602
First published Sat Aug 23 23:57:12 2014 +0900 ; substantive revision Sat Feb 14 12:41:39 2015 +0900 Tags : Security XSS まとめ 密かに細工されたページやGoogleの検索結果画面で、文字化けを直すためにエンコーディングを切り替えるとログインしているGoogleアカウントから情報が漏れる脆弱性がある。 Googleのセキュリティチームは、ユーザーは手動でエンコーディングを切り替えるべきではないと考えているので、この脆弱性は修正されない。 概要 以下のページでエンコーディングをShift_JISに切り替えると www\.google\.co\..* 上でXSSが発動します。 PoC 1: Googleマップのiframe埋め込み http://www.tsg.ne.jp/n
LINE Security Bug Bounty Program
プログラム情報 1. プログラムの目的 本プログラムは、コミュニケーションアプリ「LINE」及びWEBサイトに存在する脆弱性を早期に発見し、ユーザーに、より安全なサービスを提供することが目的です。 2. プログラムの詳細について 2019年10月より、LY CorporationはHackeroneというプラットフォーム上でLINE Security Bug Bounty Program（以下「本プログラム」という）を運営しております。つきましては、脆弱性の報告はこちらのフォームをご利用ください。 また、Hackeroneをご利用になれない場合や、本プログラムとは関係のないバグの報告等は dl_bugreport@linecorp.com へのメールにて受け付けております。 ただし、脆弱性報告フォーム以外からの報告は、原則として報奨金の対象外となりますのでご注意ください。 3. 利用規約
LINE Security Bug Bounty Program
プログラム情報 1. プログラムの目的 本プログラムは、コミュニケーションアプリ「LINE」及びWEBサイトに存在する脆弱性を早期に発見し、ユーザーに、より安全なサービスを提供することが目的です。 2. プログラムの詳細について 2019年10月より、LY CorporationはHackeroneというプラットフォーム上でLINE Security Bug Bounty Program（以下「本プログラム」という）を運営しております。つきましては、脆弱性の報告はこちらのフォームをご利用ください。 また、Hackeroneをご利用になれない場合や、本プログラムとは関係のないバグの報告等は dl_bugreport@linecorp.com へのメールにて受け付けております。 ただし、脆弱性報告フォーム以外からの報告は、原則として報奨金の対象外となりますのでご注意ください。 3. 利用規約
Railsの脆弱性: XML実体爆発攻撃 | 水無月ばけらのえび日記
RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見されました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆弱です。 XML entity explosion attackというのは、実体宣言の中で別の実体を参照することを繰り返して実体参照の処理負荷を高める手法のようですね。掲げられているサンプルコードは短いですが、実体参照を展開するとデータは30メガバイトにもなります。展開の処理方法によっては、メモリを食い尽くしてしまうのでしょう。 外部からXMLデータのPOSTを受け付けるようなサイトは注意……と言いたいところですが、XMLデータのPOSTを受け付けないはずの
脆弱性報奨金プログラムを提供しているサイト一覧 - うさぎ文学日記
いわゆる"Bug Bounty Programs"と言われている、Webサイトの脆弱性情報などを受け付けて、それに報奨金を出すというプログラムです。報奨金で飯を食えるようになるといいですね。 Google Program Rules – Application Security – Google facebook Security Bug Bounty - Facebook Etsy（ハンドメイド商品のマーケットプレイス） Announcing the Etsy Security Bug Bounty Program « Code as Craft Barracuda Networks（セキュリティ機器） Barracuda Networks Security Bug Bounty Program Yandex（ロシアのGoogle的な。今年モスクワのオフィスに遊びに行かせて頂きました。）
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Crypto: randomUUID() method - Web APIs | MDN
マイナカードの長い方のパスワード(16桁)、コンビニで再設定可能に
Chrome Platform Status
これは分かりやすい、「パスワードが破られるまでの時間」を条件別でまとめたチャート【やじうまWatch】
情報処理2020年7月号別刷「《小特集》さようなら，意味のない暗号化ZIP添付メール」 | 情報処理学会 | 雑誌/電子書籍/定期購読の予約はFujisan