当社初のセキュリティインシデント発生 | ロードバランスすだちくん
シンジです。もっとそれっぽい報告書みたいな感じにしてもよかったんです。事故報告書ってPDFにしてそれっぽくすると、読む気が湧き上がる種族っているじゃないですか。俺なんですけど。書くの面倒だったのでブログで勘弁。 何が起きたか 従業員が、お客さんに送るメールで、添付ファイルを間違えて送りました。端的に書けばそれだけです。 どういうことすか A社さんに送付したかった見積書のPDFファイルがありました A社さんにメールを書いてファイルを添付して送信しました A社さんから「これちがくね？」って返事が来ました 担当者は謝罪してメールを消すように連絡を入れました 担当者はシンジに「間違えたファイル送っちゃいました！」ってSlackでメンションして連絡しました まぁこんな具合です。 問題点 ひとつめ ウチの会社のWebサイトを見てもらうとインフラ構成が書いてあるのでそれでざっくり分かるのですが、そもそも
TLS の SNI 暗号化に関する Internet Draft を共同提出しました
Eric Rescorla (RTFM), Nick Sullivan (Cloudflare), Christopher Wood (Apple) の各氏とともに、SNI を暗号化する TLS 拡張を提案する Internet Draft を提出しました。 Encrypted Server Name Indication for TLS 1.3 アナウンスのメールにあるとおり、すでに NSS / Firefox と picotls / H2O で実装作業が開始されており、今月開催される IETF 102 で相互運用試験を行うとともに、標準化にむけた議論を深める予定です。 スノーデン事件以降、広範囲におよぶトラフィックモニタリングによるプライバシー侵害の懸念が明らかになるとともに、できるだけ多くのインターネット上の通信プロトコルを暗号化することが求められるようになってきました (参考: R
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
Weak cryptographic standards removed | The GitHub Blog
EngineeringSecurityWeak cryptographic standards removedEarlier today we permanently removed support for the following weak cryptographic standards on github.com and api.github.com: TLSv1/TLSv1.1: This applies to all HTTPS connections, including web, API, and Git connections to… Earlier today we permanently removed support for the following weak cryptographic standards on github.com and api.github.
HashDoS脆弱性との戦い！ Rubyコミッター・卜部昌平が明かすプログラム堅牢化のノウハウ - エンジニアHub｜若手Webエンジニアのキャリアを考える！
HashDoS脆弱性との戦い！ Rubyコミッター・卜部昌平が明かすプログラム堅牢化のノウハウ 過去、HashDosの影響を受けたRuby。言語開発者はいかにしてこうした問題に対応してきたのでしょうか。コミッターである卜部氏の貴重な記録を公開します。 2011年の末頃、HashDoSという脆弱性が公表され、Rubyもこの影響を受けた。本稿の筆者である卜部昌平（うらべ・しょうへい／@shyouhei／以下、卜部）は、報告当初からRuby側のチームメンバーとしてプログラム本体の修正を担当した。以下はその記録である。言語開発者たちが普段どのようなことを考え、どういった技術を用いて開発やバグフィックスを行っているのか。その概要を知ってもらえれば幸いだ。 オブジェクト指向スクリプト言語 Ruby HashDoSの概要 なぜ約6年後の今、修正内容を公開するに至ったか？ 前史：すでに内包されていたリスク
/bin/bash based SSL/TLS tester: testssl.sh
Key features Clear output: you can tell easily whether anything is good or bad Ease of installation: Works for Linux, Mac OSX, FreeBSD, NetBSD and WSL/MSYS2/Cygwin out of the box: no need to install or configure something, no gems, CPAN, pip or the like. OpenBSD only needs bash to be postinstalled. Alternatively a Dockerfile is provided or you can just use docker run --rm -ti drwetter/testssl.sh F
OSSセキュリティ技術の会
NEWS 【2022/10/12】CSS 2022のお知らせ＆OWS 2022を開催致します 今年も情報処理学会のCSS2022(有償)中でOWS2022を開催致します。 開催期間 2022年10月24日(月) ～ 2022年10月27日(木) 会場 熊本城ホールとオンライン(ZOOM)のハイブリッド開催 主催 一般社団法人 情報処理学会 コンピュータセキュリティ研究会（CSEC） 共催 一般社団法人 情報処理学会 セキュリティ心理学とトラスト研究会（SPT） 合同開催 マルウェア対策研究人材育成ワークショップ2022（MWS2022） プライバシーワークショップ2022（PWS2022） ユーザブルセキュリティワークショップ2022（UWS2022） OSSセキュリティ技術ワークショップ2022（OWS2022） ブロックチェーンセキュリティワークショップ2022（BWS2022） OW
脆弱性情報 (CVE) の対応状況を確認する - kakakakakku blog
脆弱性情報 (CVE : Common Vulnerabilities and Exposures) の対応状況を確認する手順をまとめておこうと思う． CVE データベース CVE 情報は全て以下にまとまっている． cve.mitre.org 全ての CVE にはユニークな ID が振られていて，例えば，環境変数 HTTP_PROXY を悪用して外部サイトと通信できてしまう可能性がある "httpoxy" なら CVE-2016-5385 だし，ImageMagick で任意のスクリプトが実行されてしまう可能性がある "ImageTragick" なら CVE-2016-3714 となる．"Shellshock" もそうだけど，どの脆弱性もカッコイイ別名（厨ニ）が付いてて，エンジニア同士の会話だとバズワード的に認識できて良いと思う． CVE - CVE-2016-5385 CVE - CV
総務省｜非常勤職員採用情報 情報流通行政局（情報流通振興課情報セキュリティ対策室）
以下に掲げる事項について高い専門性や十分な知見を有している者 情報通信ネットワークの構築・運用に関する専門的知識、実務経験を有すること。 情報通信技術の動向に関する情報収集・分析に必要な知識、経験を有すること。 情報セキュリティに関する情報収集・分析に必要な知識、経験を有すること。 パソコン操作（EXCEL、WORD等による資料作成）ができること。 なお、以下に該当する方は、応募できませんので御了承ください。 日本国籍を有しない者 国家公務員法第38条の規定により国家公務員になることができない者 成年被後見人、被保佐人 禁錮以上の刑に処せられ、その執行を終わるまで又は執行を受けることがなくなるまでの者 一般職の国家公務員として懲戒免職の処分を受け、当該処分の日から2年を経過しない者 日本国憲法又はその下に成立した政府を暴力で破壊することを主張する政党その他の団体を結成し、又はこれに加入した
httpoxy
Recommended reading Summary What Is Affected Immediate Mitigation Prevention Interesting, but once you’ve mitigated How It Works Why It Happened History of httpoxy CVEs A CGI application vulnerability (in 2016) for PHP, Go, Python and others httpoxy is a set of vulnerabilities that affect application code running in CGI, or CGI-like environments. It comes down to a simple namespace conflict: RFC 3
マイナンバーカードでSSHする - AAA Blog
みなさんマイナンバーカードはもう手元に届きましたか? 私の住む大田区はとても混雑していて申請から5ヶ月かかって今月やっと交付してもらうことができました。 このカードに含まれる公的個人認証機能は以前から住基カードに入っていたものですが、今年から民間利用もできるようになりました。 しかし、この公的個人認証ですが詳細な仕様が公開されていないため、商用利用しようという動きはまだ聞きませんし、既に動いている行政サービスのe-govやe-taxはIE限定で、いまだにJava Appletが使われているなど大変残念な状況です。 カードに入っている電子証明書と2048bitのRSA秘密鍵は様々な用途に活用できる可能性があるのに、せっかく税金を費やして作ったシステムが使われないのはもったいないですね。 民間利用の第一歩として、カードに入っているRSA鍵を利用して自宅サーバーにSSHログインしてみましょう!
How to Record SSH Sessions Established Through a Bastion Host | Amazon Web Services
AWS Security Blog How to Record SSH Sessions Established Through a Bastion Host A bastion host is a server whose purpose is to provide access to a private network from an external network, such as the Internet. Because of its exposure to potential attack, a bastion host must minimize the chances of penetration. For example, you can use a bastion host to mitigate the risk of allowing SSH connection
Symantecの証明書発行に不手際、Googleが対応を要求
米Symantecの認証局が手違いにより、「google.com」などのドメイン向けのテスト証明書をドメイン所有者が知らないうちに発行していたことが分かり、米Googleは10月28日、同社に対して対応を要求した。Symantecの対応次第では、Google製品でSymantecの証明書が安全とみなされなくなる可能性もあると警告している。 Symantecが10月2日に発表したインシデント報告書で、GoogleやOperaなど5組織向けのテスト証明書23件がドメイン所有者の知らないうちに発行されていたと報告した。これに対してGoogleは、不審な証明書はそれ以外にも存在すると指摘。その後、Symantecは10月12日に出した更新版の報告書で、さらに76ドメイン向けの証明書164件と、未登録ドメイン向けの証明書2458件が見つかったと発表した。 GoogleはこうしたSymantecの対応
Security/Server Side TLS - MozillaWiki
The ordering of cipher suites in the Old configuration is very important, as it determines the priority with which algorithms are selected. OpenSSL will ignore cipher suites it doesn't understand, so always use the full set of cipher suites below, in their recommended order. The use of the Old configuration with modern versions of OpenSSL may require custom builds with support for deprecated ciphe
Secure AWS Users Meetup #1に行ってきた - まめ畑
AWS上でのセキュリティの現場の声が聞ける、Secure AWS Users Meetup #1に参加してきました。 http://connpass.com/event/11019/ セキュリティというところで、現場のシビアな実情が垣間見えて非常に参考になりました。セキュリティを日々どう守るかとかAWS上でどう安全な環境を作るかという視点は今後もっと大切になると感じました。 様々な要望やシステムを守るためにAWSにまだまだ足りない物事や、AWSの勉強会では普段聞けない話が続々とでてかなりハイレベルな勉強会でした！要望などは本当に伝えたいと思います！ キーワードは、認証情報の管理の仕方、しやすさだと感じました。運営の皆様、発表された皆様、ありがとうございました！ 次回もあるということで楽しみです！ メインセッション @kani_b (Cookpad): How to secure your
弊社ホームページ改ざんに関するお詫びとご報告 | gihyo.jp
弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください） www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日
Linux サーバの SSH 認証を Google Authenticator 対応にしよう (CentOS 5.6) - Kenichi Maehashi's Blog
Google Apps で利用可能になっている Google Authenticator による 2 要素認証ですが、実は PAM モジュールがオープンソースで公開されています。このモジュールを利用して、SSH サーバを Google Authenticator による 2 要素認証にしてみましょう。 メリット単一のパスワードではなくパスワード + ワンタイムパスワード(確認コード) の 2 要素で認証するため、パスワード漏洩時やブルートフォース攻撃に対するセキュリティ侵害リスクが低くなります。iPhone や Android などのアプリケーションでワンタイムパスワードを生成できるためお手軽です。 注意点PAM を使用して認証するため、公開鍵 + 確認コードの 2 要素認証にはできません (公開鍵のみの認証は引き続き可能です)。 導入手順以下はすべて root を想定した作業です。環境に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
TechCrunch | Startup and Technology News
ヤフージャパン、総務省にパブコメを出すも激しく全否定されネットでも十字砲火を浴び炎上(山本一郎) - 個人 - Yahoo!ニュース