はたしてそれはウイルスなのか？ Coinhiveによる採掘問題
2018年前半に浮き上がった事例で見逃せないのが「Coinhive」で逮捕者が出た事件と「Wizard Bible」削除の事件だ。どちらも件もいわゆる「ウイルス法」が関係している。Webセキュリティの第一人者である徳丸浩氏に、これらの事件について語ってもらった。2回にわけて掲載する。 逮捕者も出てしまった「Coinhive」とは 逮捕者も出てしまったCoinhive（コインヘイブ）というのは、どのようなツールなのでしょうか。 徳丸 Coinhive（図1）は簡単にいいますと、暗号通貨のマイニングをするJavaScriptのプログラムですね。登場人物が三人います。まず最初はCoinhiveを提供している会社。次にその仕掛けをWebサイトに置くサイトの管理者（サイトオーナー）の方、最後にサイトを閲覧する方。閲覧した人のパソコンの上でJavaScriptのプログラムが動きます。どのようなプログラ
Firefoxのトラッキングブロックについて
autoscale: true Firefoxのトラッキングブロックについて 自己紹介 Name : azu Twitter : @azu_re Website: Web scratch, JSer.info Firefoxのトラッキングブロックについて 今日の情報は2018-09-10書かれたものです。 最新の内容は以下を参照してください Mozilla Security Blog Security/Tracking protection - MozillaWiki Anti-tracking FirefoxがAnti-trackingな実装を始めた 将来的にデフォルトでトラッカーをブロックしたいという方針を掲げた Changing Our Approach to Anti-tracking - Future Releases Anti-tracking Improve page loa
第219回 謎の会社「Mellanox」が好調の理由
HPC向けスイッチなどを扱う「Mellanox」を取り上げる。この会社、対前年比で3割近い売り上げの伸びを記録し、絶好調だと聞く。なぜ、今、絶好調なのかその秘密を調べてみた。 連載目次 筆者は、世間と半導体業界の常識のギャップに戸惑うことがよくある。最近では、ソフトバンクによるARMの買収や、AIの文脈でNVIDIAが出てきたときなどだ。業界的にはARMもNVIDIAも「大手」といって差し支えない会社だと思っていたのだが、世間の反応は「謎の会社」というものだった。 ARMやNVIDIAをして「謎」であれば、多分、テレビコマーシャルで知名度のあるはずのIntelとSamsung以外は、みんな「謎」に違いない。その理由は簡単だ。一般消費者向けに商売をしている会社ではない、ということに尽きる。 謎の会社「Mellanox」って？ 今回は、そんな謎の会社群の中でも「渋すぎる」会社を取り上げたいと思
Electron: Context Isolationの欠如を利用した任意コード実行 / Electron: Abusing the lack of context isolation - CureCon(ja)
ベルリンで開催されたCure53のイベント、CureConの資料です。
DNS Queries over HTTPSでのTTLとCache-Control - Qiita
DNS Queries over HTTPSにおいて、HTTPのキャッシュとDNSのキャッシュの話が面白かったのでメモ DoH IETFで「DNS Queries over HTTPS (DoH)」と呼ばれる、HTTP上でDNS通信を行うプロトコルが議論されている。DoHと呼ばれており、実装もすでに広く行われている。 外とのDNS通信を遮断するようなネットワークでもHTTPSとして出ていくため経路上からは判別することができない。特にHTTP2などで通常のWebサーバとのコネクション上でDNSクエリが送られれば見分けはつかない。 また、CDNからの配信も既存のWebの仕組みに乗っかることができるほか、HTTP/2 ServerPushも行えるなど応用の幅は広い。 例 GETとPOSTに対応しているが、GETでwww.example.comの名前解決を行う例を示す。 このように、HTTPリクエ
さくらVPSで利用していたmemcachedがリフレクションDDoS攻撃発信の踏み台として悪用された件 - Qiita
突如メールが・・・ セキュリティ案件 memcached のアクセス制御に関する注意喚起 https://www.jpcert.or.jp/at/2018/at180009.html memcahcedの設定をデフォルトで使用していたため、リッスンするIPに制限がかかっておらず外部からアクセス可能になってたみたい。 なぜ外部からアクセス可能だとDDoS攻撃発信の踏み台になるかはこちらが詳しいです。(2018/03/02追記) 簡単にいうと下記。 UDP通信を使用している場合送信元偽装が簡単 送信元をDDoS攻撃したいIPに偽装して大量のデータをGETする操作を実施 偽装したIPに大量のトラフィックが集中する 参考(2018/03/02追記) memcached を悪用したDDoS攻撃についてまとめてみた http://d.hatena.ne.jp/Kango/20180301/151993
Maybe you don't need Rust and WASM to speed up your JS
Few weeks ago I noticed a blog post “Oxidizing Source Maps with Rust and WebAssembly” making rounds on Twitter - talking about performance benefits of replacing plain JavaScript in the core of source-map library with a Rust version compiled to WebAssembly. This post piqued my interest, not because I am a huge on either Rust or WASM, but rather because I am always curious about language features an
Painting with Code
Today, we’re excited to share a tool we built to help bridge the gap between designers and engineers working on design systems at scale. React-sketchapp is an open-source library that allows you to write React components that render to Sketch documents. If you’re a designer or an engineer familiar with React, you should feel right at home with the new library, and you can play with it right now. H
Karabiner 使えない対策: Hammerspoon で macOS の修飾キーつきホットキーのキーリマップを実現する - Qiita
Karabiner 使えない対策: Hammerspoon で macOS の修飾キーつきホットキーのキーリマップを実現するMacOSXSierra 背景 http://qiita.com/naoya@github/items/56a34be85710f4ed5531 でも書いたとおり Karabiner が使えない現状、修飾キーつきのホットキーのカスタマイズをどうするかという問題がある。記事を書いた時点では macOS の DefaultKeybidings.dict でショートカットを定義していたが、Hammerspoon を使うことでやりたいことが実現できたので、こちらの方法に移行した。 課題に感じてたこと http://qiita.com/naoya@github/items/56a34be85710f4ed5531#comment-1554604656a7ec49f63d こちら
いまアメリカのソフトウェア特許に起きていること - It's Not About the IP
７月１日は弁理士の日！このエントリは、ドクガクさんの「弁理士の日ブログ企画2016」に乗っかったものです。 今年のお題は「知財業界でホットなもの」 いまIT知財の世界でホットな話題といえばなんといっても35 U.S.Code§101（米国特許法１０１条、通称ワンオーワン（101））、2014年にUSでAlice判決というのがでて以来、ソフトウェア特許の世界は蜂の巣を突いたような騒ぎになってる。 少し前までアメリカはプロパテント（知財保護重視）で、ビジネスモデル特許という流行を生み出したのもアメリカだし、なんでもかんでも特許になる、なんて言われていたのも今は昔、いまや日本の審査の方が全然ユルユルで、少なくともソフトウェア特許においてはアメリカは完全にアンチパテント側に振れたといえる。 まあこのへんの話はソフトウェア特許に限った話なので、他分野の知財業界人や弁理士はあまり知らないかもしれないが
Masato Kinugawa Security Blog: ブラウザのXSS保護機能をバイパスする(8)
English version: http://mksben.l0.cm/2016/05/xssauditor-bypass-flash-basetag.html ------------------------------------- このブログではおなじみ、ブラウザのXSS保護機能をバイパスするコーナーです。 今回はIEではなく、ChromeのXSS Auditorをバイパスします。 数日前、Marioさんが自身の発見したAuditorのバイパスが修正されたことに気付いて、新たなバイパスを探していたので、一緒になって探していたらみつけました。 Marioさんが新たにみつけたのはこちらです。 XSS Auditor Bypasses 05.2016https://t.co/c9UcjpDZZM (someone asked for PoC and test-case, here you
git push --force でなく git push --force-with-lease を使う - valid,invalid
前に社内チャットで流れてて初めて知った。 他人の変更を上書きするおそれのある git push --force でなく、最後に fetch したタイミング以降に他人が push していたら失敗する git push --force-with-lease を使う方が良い。 --force considered harmful; understanding git's --force-with-lease - Atlassian Developers Quipper では GitHub flow のような開発フローを採用している。 各開発者が feature branch を作成し、master / develop branch へ pull request を作る流れだ。 他人と修正箇所が重なってコンフリクトした際には rebase が必要で、 rebase 後の内容を push する際には
明日から使える?! PATHでXSSする技術/ Shibuya.XSS techtalk #7
Shibuya.XSS techtalk #7 の資料です。
全盛期のJeff Dean伝説 - Qiita
Jeff Deanとは GoogleのSenior Fellow. Googleの基盤となる分散システムのほぼ全てに中心的に関わり、圧倒的なエンジニアリング能力を発揮したらしい。あまりにも尊敬されているため、IT業界において全盛期のイチロー伝説のような破天荒なホラ話のネタにされている人。 日本語での紹介がなさそうだったので意訳してみました。 元ネタはこちら。多すぎるのでGoogle社員じゃない人には面白みがわかりにくそうなもの、面白みが被っていると私が判断したものなどは省いてあります。 NP問題 Jeff DeanがGoogleの採用面接を受けたときに、もしP=NPが成り立つとしたらどうなるかを問われて"P=0かN=1ですね"と答えた。試験官が笑い終わりさえしないうちに彼はGoogleのpublic keyを突き止め、private keyをホワイトボードに書き終わった。 Jeff Dea
［第1回］日本企業が巨額罰金を科される日
「忘れられる権利」で知られる「EU（欧州連合）データ保護規則」が2018年に施行される。EUデータ保護規則は「忘れられる権利」以外に、日本にはない個人情報を保護する考え方が数多く追加されている。現状でも、日本企業の個人データの扱いが日本国内で大きな問題にならなかったのに、欧州で制裁金を科せられた例は既にある。既にEUの個人情報を保護する法律と日本企業の考え方に大きなギャップがあるのだ。そんな状況でEUデータ保護規則が施行されると、日本企業はさらなる窮地に追い込まれることになる。専門家は異口同音に「日本企業が他人事なのは危機だ」と警鐘を鳴らす。 人間の運転なしで自動走行できる自動運転車、ITが生み出す金融サービス「FinTech」、センサーを搭載した全てのモノがインターネットでつながり情報をやり取りする「IoT（Internet of Things）」―。これら全ての技術に影響する法律が、E
バックドア仕込んだ「Linux Mint」、Webサイト改ざんしてダウンロードさせる
何者かがLinux Mint ISOを改ざんしてバックドアを仕込み、同プロジェクトのWebサイトをハッキングして改ざん版をダウンロードさせていた。 Linuxディストリビューション「Linux Mint」は2月21日のブログに掲載した告知で、何者かがLinux Mint ISOを改ざんしてバックドアを仕込み、同プロジェクトのWebサイトをハッキングして改ざん版をダウンロードさせていたことが分かったと発表した。 さらに、Linux Mintフォーラムのデータベースも20日に攻撃され、ユーザー情報が流出した可能性があることも判明。「forums.linuxmint.com」のアカウントを開設しているユーザーは、できるだけ早くパスワードを変更するよう呼び掛けた。 改ざんされていたのは「Linux Mint 17.3 Cinnamon」エディションで、影響を受けるのは2月20日にこのエディションを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
知らなかった、時に困るWebサービスのセキュリティ対策 / Where Do We Start With Information Security?
魔法の拡張子（.SettingContent-ms）
関数プログラマから見たPythonと機械学習
GitHub - esimov/caire: Content aware image resize library
