ほぼ全てのインジェクション攻撃を無効化／防止する入力バリデーション 〜 ただし出力対策も必須です 〜
(Last Updated On: 2019年2月18日)入力バリデーションはセキュリティ対策として最も重要なセキュリティ対策です。なぜセキュリティ対策であるのか？を理解していない方も見かけますが「ほぼ全てのインジェクション攻撃を無効化／防止する入力バリデーション」の効果と拡張方法を見れば解るのではないでしょうか？ ソフトウェア開発者が知っておくべきセキュリティの定義／標準／ガイドで紹介しているセキュリティガイドラインでは入力バリデーションが最も重要なセキュリティ対策であるとしています。 厳格な入力バリデーションを行うと、開発者が意識しなくても、非常に多くの脆弱性を利用した攻撃を防止できます。今回は比較的緩い入力バリデーション関数でも、ほとんどのインジェクション攻撃を防止できることを紹介します。 重要：セキュア／防御的プログラミングでは入力と出力のセキュリティ対策は”独立”した対策です。ど
LAN内で利用されているIPアドレスを調べる『arp-scan』コマンド | 俺的備忘録 〜なんかいろいろ〜
あまり知らない環境で作業をする際、LAN内で稼働しているマシンの一覧が欲しくなる事もあるだろう。 そんなときに便利なのが、今回紹介する『arp-scan』コマンドだ。 このコマンドを実行することで、同じネットワークに所属して動作しているマシンのIPアドレスとMACアドレスの一覧を取得することができる。 1.インストール まずはインストールから。 インターネットに接続している環境であれば、以下のコマンドを実行するだけだ。 Debian/Ubuntuの場合 apt-get install arp-scan RHEL系の場合 yum install arp-scan ソースからコンパイルする場合は、前提となるpcapなどをインストールした上で、以下のようにコマンドを実行する。 git clone https://github.com/royhills/arp-scan.git cd arp-sc
Today I Am Releasing Ten Million Passwords
Frequently I get requests from students and security researchers to get a copy of my password research data. I typically decline to share the passwords but for quite some time I have wanted to provide a clean set of data to share with the world. A carefully-selected set of data provides great insight into user behavior and is valuable for furthering password security. So I built a data set of ten
はじめてでも爆速でCentOS6.6（さくらのVPS）をセキュアにセットアップする方法まとめ - 憂鬱な世界にネコパンチ！
爆速でセットアップを完了するため、極力コピペで設定できるようにしてみたよ（・∀・） 動作検証は、さくらのVPSで標準OSをインストールして行った。記事執筆時点ではCentOS6.6がインストールされたぞ。 # cat /etc/issue CentOS release 6.6 (Final) # uname -rs Linux 2.6.32-504.3.3.el6.x86_64 お知らせ 本記事の内容をFabric化したスクリプトを公開！ぜひ試してみてね。 → 超速でCentOS6.6（さくらのVPS）をセットアップする俺史上最強のFabricスクリプトをさらす rootのパスワード変更と作業用ユーザの作成 まずは、コンソールからSSHで接続しよう。 [localhost ~]$ ssh root@XX.XX.XX.XX なお、サーバを起動してない場合は、事前に管理画面からサーバを起動しよ
社内プロキシに虐げられてる人たちはVPSとか借りて社外にプロキシ立ててsshトンネルで繋ぐとウハウハですよってお話 - Qiita
概要 社内プロキシに様々なサイトへのアクセスをブロックされたり、社外サーバにsshできなかったりする人向けに社外プロキシを立ててあらゆるサイトにアクセスする方法のまとめです。(後述しますが半分くらいネタポストです。) 他にも以下のような効果がありますので、プロキシフリーな会社にお勤めもし良かったら参考にして頂ければと思います。 なぜか2015年になっても存在するカフェとかホテルとかでの保護されていなかったりする無線wifiを使っても盗聴されない。 日本からアクセスできないサイトにアクセスできる。(海外のデータセンタ上のVMを使った場合) なお、非認証プロキシを例にしてます。認証プロキシでもあまり変わらないとは思いますが、環境が無いため未確認です。また、プロキシの挙動や設定方法はプロキシサーバの種類や設定によって多岐に渡るため、全てのプロキシで同じ方法が使えるとは限らないとは思います。 最後
PHP Install Statistics
After yesterday’s post, I decided to do some math to see how many PHP installs had at least 1 known security vulnerability. So I went to grab statistics from W3Techs, and correlated that with known Linux Distribution supported numbers. I then whipped up a spreadsheet and got some interesting numbers out of it. So interesting, that I need to share… UPDATE:Wow, this post got traction pretty fast. I
そこそこセキュアなlinuxサーバーを作る - Qiita
先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd
SSH の設定でセキュリティ強化 for お名前.com VPS - 二度目の人生リセット
2014-08-22 SSH の設定でセキュリティ強化 for お名前.com VPS VPS お名前.com インフラ構築 SSH SSH のポート番号を変更しても意味がない VPS 初心者向けに初期設定の手順を公開しているサイトの多くが「セキュリティー強化のため SSH の Port は10022 に変更」と書かれていますがほぼ無意味である。数分程度の時間稼ぎは出来ると思いますが 0 から 65535 のポートすべてをスキャンすれば SSH のポートは判別可能。結論は SSH の Port はデフォルトの 22 のままで良いということ。 じゃぁ、不正アクセスの対策はどうすればいいかというと…。 SSH 接続は鍵認証方式（2048 bit以上推奨）のみ受け入れる root での SSH 接続は拒否する iptables で 接続可能なホストを指定する（固定IP推奨） Fail2Ban な
JWT.IO
JSON Web Tokens are an open, industry standard RFC 7519 method for representing claims securely between two parties. JWT.IO allows you to decode, verify and generate JWT. Learn more about jwtSee jwt libraries Warning: JWTs are credentials, which can grant access to resources. Be careful where you paste them! We do not record tokens, all validation and debugging is done on the client side.
自宅を「ハッキング」してわかったこと
自宅のネットワークに接続されたスマートテレビやルーターにも、攻撃者が悪用できてしまう脆弱性が存在するかもしれません。Kaspersky Labのエキスパートが、自宅のネットワーク対応デバイスをハッキングして検証しました。 スマートデバイスのセキュリティは、今や大きな関心の的です。自動車や冷蔵庫、ホテル、ホームセキュリティなどに脆弱性を発見したという、ハッカーやリサーチャーによる記事もあちこちで目にします。これら諸々は総称して「IoT」（Internet of Things：モノのインターネット）と呼ばれ、業界で最も注目されているトピックの1つです。もっとも、こうした研究報告には1つだけ問題があります。それは、あまり身近に感じられないこと。IoTについて考えるようになり、私が思い至ったのは、いまここにある脅威から身を守ることができないのなら将来発生し得る新しい脅威に対して何ができるというのか
Wiresharkで公衆無線LANのヤバさを確認してみた
私（@honeniq）の個人ブログです。日々の生活の中で感じた諸々のことから、 人さまにお見せできるような上澄み部分を抽出して投稿しています。 前置き ここ数年の携帯キャリアやコンビニ業界の頑張りで、町中に公衆無線LANのAPが溢れていますが、あれって安全なんでしょうか？盗聴される的な観点で。 パスワード無しのノーガードAPは論外としても、 契約者にだけWPAキーを教える((けど、利用者が多すぎて公開しているも同然の))タイプ APにはキー無しで入ることができ、Webアクセスをすると認証ページにリダイレクトするタイプ よく見かけるこの2タイプもやヤバそう。 試してみる前の認識 無線である以上は、自分が飛ばした電波は誰でも傍受できる。じゃあ暗号化して中身が分からないようにしましょう、ってなるけど、1つ目のタイプみたいに不特定多数の人が同じWPAキーを知っている場合、暗号化してもあんまり意味な
そろそろ押さえておきたい AngularJSのセキュリティ
Rx初心者がいきなりRxJSのコードを見ると「RxJS意味がわからない、怖い」という印象を持ちがちです（実体験）。 そんなRxJSもマーブル図でゆるく理解すれば怖くありません。 初心者向けにマーブル図を紹介します。また実際にプロダクトで実装したRxJSの活用事例を紹介します。
Linuxサーバーのアカウント管理について | おそらくはそれさえも平凡な日々
少人数でサービス開発をしていると、サーバーのアカウント管理を疎かにしてしまいがちです。良くないことだとわかっていながらも、共用ユーザーのログイン情報を数人で共有していたりだとか、rootばかり使っているなんてこともあるのではないでしょうか。 それだとオペレーターが増えたり、退職者がでたりした時に困ることになるので、最初からルールと仕組みを決めておいた方がトータルで楽になります。 前提 パスワードやログイン鍵の共用、ダメ！絶対！ rootを常用するの(・A・)ｲｸﾅｲ!! パスワードやログイン鍵を共用していると、人数が増えた時に誰が作業しているのか把握するのが大変になりますし、退職者が出た時に一斉変更をせざるを得なくなって混乱してしまいます。逆に一部のスタッフを別扱いして権限を制限したユーザーをアドホックに作ったりしてしまうのも管理が煩雑になります。じゃあどうすればよいかというと、個人ごとに
一太郎のジャストシステムがベネッセの情報漏洩の件で公表した文書がMicrosoft Wordで作られている件
【当初の公開内容に対し編集を加えています】 通信教育大手ベネッセホールディングスの顧客情報が大量に漏えいした問題で、その漏えいした情報を元にした名簿を購入し、ダイレクトメールを送信していた「ジャストシステム」の企業モラルを問う声が高まっていますが、これに関連してちょっとしたおもしろい発見がありました。 7月11日にジャストシステムが「ベネッセコーポレーションの個人情報漏洩の件に対する当社の対応につきまして」という文書を公表したのですが……。 この文書をダウンロードして、文書の属性情報を確認すると……。 なんと、文書タイトルが「Microsoft Word-ベネッセコーポレーションの個人情報漏洩の件に対する当社の対応につきまして」となっています。 この文書はPDFで公開されているのですが、どうやら元の文書はジャストシステムが提供しているワープロソフト一太郎ではなく、Microsoft Wor
RHSA-2014:0624 - Security Advisory
Red Hat Insights Increase visibility into IT operations to detect and resolve technical issues before they impact your business. Learn More Go to Insights Red Hat Product Security Center Engage with our Red Hat Product Security team, access security updates, and ensure your environments are not exposed to any known security vulnerabilities. Product Security Center
disconnected.io is available for purchase - Sedo.com
or enter your Best Offer Once the reserve price is met, Sedo automatically bids on your behalf up to your maximum bid. Your best offer The current price of disconnected.io is . You can place an offer below the seller's listing price, however the seller will only respond if they are interested in negotiating based on this offer.
送信ドメイン認証の基礎知識
送信ドメイン認証を実現する2つの方式 前回で説明したように、SMTPプロトコルでは送信者の詐称が可能であるため、スパムや詐欺メールを防ぐことが難しくなっている。送信ドメイン認証とは、そのメールが、送信者と名乗っているアドレスに示されるドメイン（送信ドメイン）から本当に送られているかどうかを確認するための仕組みだ。たとえば「user1@example.com」という送信者からメールが送られてきたとすると、本当にそのメールがexample.comというドメインから送られてきたものかどうかをチェックできるようになる。 現在、送信ドメイン認証技術には大きく分けて、IPアドレスベースのものと電子署名ベースのものの2つが存在する。IPアドレスベースの認証方式には「Sender ID」や「SPF（Sender Policy Frameworks）」が含まれる。また、電子署名ベースのものには「Domain
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
1103586 – (CVE-2014-0224) CVE-2014-0224 openssl: SSL/TLS MITM vulnerability
OpenSSL SSL/TLS MITM vulnerability (CVE-2014-0224)
http://www.saitolab.org/taiken/