■ 先週からEZ番号の変更が不可能にされていた KDDI社員の方からタレコミがあった。 従来、EZ番号は、EZオプションを廃止して再加入すると新たな番号が付与されるようになっていたのだが、5月10日から、同じ個人には同じEZ番号を継続して付与するよう、システム変更があったという。その意図は、「EZ番号変更による問題行為の防止」だという。電話番号を変更してもEZ番号は変わらないようになったという。 エンドユーザのプライバシーにかかわる仕様変更であるにもかかわらず、プレスリリース等を出さずこっそり変更していることから、私から注意喚起をしてほしいとのことだった。 この情報は、とくに隠されているものではなく、聞かれたら答えられるよう各種窓口に周知されているものだそうで、以下のチラシが店頭掲示用として配布されているようだ。 KDDIのこの措置が誰の要求に応じたものなのかは知らない。 ２ちゃんねるを調

XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to

■ ケータイIDに添えて年齢情報も送信されるようになる？ 4月9日、「利用者視点を踏まえた（略）諸問題に関する研究会」の第二次提言案が公表された。 「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」第二次提言（案）に対する意見募集, 総合通信基盤局電気通信事業部消費者行政課, 2010年4月9日 この提言案には重要な論点が複数含まれている。特に、今このタイミングで一般市民が広く察知して議論を深めておく必要性が高いと私が思うのは、「I CGMに関する検討について」の「2.青少年保護に向けた取組強化について」の「利用者年齢認証の確実化」の部分。 ここに書かれている文章はクネクネクネクネして文章の論理構造を把握しづらいものになっているので、以下に階層的箇条書きでまとめてみる。（脚註は私によるツッコミ。今時間がないので後日追加する予定。） 年齢認証の確実化を巡る課題 趣旨：SNSなど

前回のエントリ “携帯サイト開発者のためのセキュリティ再入門” が割と広範囲にお読みいただけているようです。ありがとうございます。ただあの記事は単に列挙しただけなので「何をまずやればいいのか」具体的なものが見えてこない気がしますのでメモとして再構成してみました。前回書いたように「契約者IDによるかんたんログイン機能を撤廃しよう」がすぐにできるのであればいいですが、なかなかできないのが現実でしょうから、「緊急度の高い対策」から順に扱っていこうと思います。 契約者ID(UID)で認証しているサイトはすぐにやろう キャリアのIP帯、User Agent、UIDのペアを確実に検証するようにする 例えばドコモのIP帯 + ドコモのUser Agent + X-DCMGUID でのみ認証できるようにします。 もし [携帯電話のIP帯 (各キャリアのリストをマージしたもの) + ドコモの User Ag

■ ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を 昨年示していた、 やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合, 2009年8月2日の日記 日本の携帯電話事業者の一部は、「フルブラウザ」にさえ契約者固有ID送信機能を持たせて、蛸壺の維持を謀ろうとしているが、iPhoneのような国際的デファクト標準には通用しないのであって、今後も、他のスマートフォンの普及とともに、蛸壺的手法は通用しなくなっていくであろう。 そのときに、蛸壺の中の開発者らが、このニコニコ動画の事例と同様のミスをする可能性が高い。「IPアドレス帯域」による制限が通用しない機器では、アプリケーションの内容によっては特に危険な脆弱性となるので、関係者はこのことに注意が必要である。 の懸念が、今や、さらに拡大し、ケータイ業者のみならず、一般のシステムインテグレータの思考

2010年4月16日付けでソフトバンクのIPアドレス帯域に削除があったようです Tweet 2010/4/19 月曜日 matsui Posted in SoftBank, ニュース | 2 Comments » 2010年4月16日付けでソフトバンクのIPアドレス帯域に大幅な削除があったようです。 →　ソフトバンク　MOBILE CREATION　WEB ＆ NETWORK　IPアドレス [creation.mb.softbank.jp] 2010年4月16日時点のソフトバンクIPアドレス帯域はこちらになります。 123.108.237.0/27 202.253.96.224/27 210.146.7.192/26 210.175.1.128/25 今回削除された帯域はこちらの5つです。 123.108.236.0/24 [削除] 202.179.204.0/24 [削除] 210.14

■ ユニークIDがあれば認証ができるという幻想 2008年のNTTドコモによるiモードID送信開始以降、ケータイWebの世界に「かんたんログイン」なるエセ認証方式が急速に広がり、その実態は「はてなのかんたんログインがオッピロゲだった件」のように惨憺たるものになっている。こうした欠陥サイトはかなりあると考えられ、すべてを調べて廻ることはできないが、いくつかのメジャーどころのサイトについては、IPAの脆弱性届出窓口に通報して、対策を促す作業をやっている。 各サイトの「かんたんログイン」に欠陥があるかどうかは、実際に他人のIDでなりすましログインしてテストすることは許されない（不正アクセス禁止法違反になる）ので、自分用のアカウントを作成して（会員登録して）、自分のIDについてテストするのであるが、誰でも会員登録できるわけでないサイトがかなりあるようで、そういったサイトはどうしたらよいのか。以下は

INTERNET Watchの記事が伝えているように、4月2日、ゲームや同人誌などを販売するメッセサンオーの顧客情報がGoogleにキャッシュされ、誰でも閲覧できる状態になっていたことが発覚した。現在はキャッシュが見えないよう対策されているが、m-birdの日記などによると、使われていたショッピングカートの管理画面が、URLにパスワードを含む仕様になっていたのが原因らしい。INTERNET Watchの記事は「追記」として、これがWEBインベンターが提供するCGIスクリプトだとし、開発元が対策を呼びかけていると伝えている。 しかし、その対策元の呼びかけは、「管理プログラムがGoogleにインデックスされないようにする」というもので、 「パスワード付きのURLが検索エンジンに拾われないようにするために気をつけてください」という注意喚起metaタグ（noindex,nofollow,noarc

■ 2年前に書いた懸念がいよいよ現実のものになりつつある 2008年に書いた懸念、 単純所持刑罰化ならウイルス罪を同時施行しないとセキュリティバランスが悪化する, 2008年5月5日の日記 これが現実になりつつある。 先週、長崎市立の中学校の校長が、自宅のパソコンで、児童ポルノに該当し得ると疑われるファイル名のファイルを開いたと疑われる事態が、ウイルス（トロイの木馬）によって暴露され、三流下劣メディアから嘲笑されるという事件が起きた。 中学校校長がロリコン画像を大量所持か / 性的画像と一緒に学校資料も, ロケットニュース24, 小林涼子編集長（システム担当 矢野さとる）（29日16:30修正、下記の追記2参照）, 2010年3月21日 （略）この人物が校長だといわれているのはなぜか？ それはロリコン画像のほかに最近使ったデータとして学校名付きで学力向上対策.jtd、学校生協への学校紹介.

■ 音楽著作権団体らの杜撰なアンケートがフィッシング被害を助長する 音楽6団体、違法ダウンロード防止の啓蒙キャンペーン, ケータイWatch, 2010年3月4日 プレスリリース, 音楽関係6団体「やめよう！違法ダウンロード」キャンペーン開始, 社団法人日本レコード協会, 2010年3月4日 【特設サイトURL】 パソコン http://www.happy-musiccycle.jp/ 携帯電話 http://www.happy-musiccycle.jp/mobile/ このURLがあちこちに貼られて宣伝されているようだ。たとえば、懸賞情報のメールマガジンなどに掲載されているようだ。 社団法人日本レコード協会 QUOカード1000円分300名プレゼント, 無料サンプル＆懸賞情報サイト 社団法人日本レコード協会 QUOカード1000円分300名プレゼントキャンペーン! エルマークを広めよう

現在、irc2.2ch.netはネットワークから切断された状態。要するに2ch攻撃のワリを食っているわけなんだけど。 嫌韓する奴は馬鹿だと思うんだけど、今回は「坊主憎けりゃ」でまるっと嫌いになりそうだぞ。まぁ、厨房はどこでも厨房だってだけなんだろうけどさ。 当初は、「なんか回線が重いなぁ」くらいだった。そのうち、webのアクセスが急増したんで、まずはfile-maxなんぞを増やしたわけだ。 それでしばらく持ってたんだけど、それでもパンク状態になったので、「F5攻撃を検出して発信元をdropする」スクリプトを発動した。これは、前に竹島のなんだかで(詳細忘れた)攻撃された時に作ったもの。5年とか前じゃないかな。 そうしてしのいでるうちに、今度はB fletsのコネクションが切れた。 回線飽和で落ちたかなぁとか思って、ルータやらの再起動をするんだけど、断続的に落ちる。どうやら飽和が原因じゃなくて

■ iTunesストアの不正アクセス被害で問題にすべきポイントは何か iTunesストアで不正アクセス行為が横行しており、身に覚えのない高額な請求をされて困ったという話は、昨年の秋くらいからチラホラとブログ界隈に出ていた。たとえば以下の報告では、中国語の商品等が不正に購入された被害を示している。 iTunesのアカウント不正利用に関する一例, 2009年10月31日〜11月4日 お問い合わせいただいたアカウントロック解除のお願いについてご案内します。 アカウント名　xxxxxxxxxxx　は、お客さまの事前承諾なしに商品が購入されたというお問い合わせをいただきました。不正使用で、アカウント名　xxxxxxxxxxx　は、変更されていますので、○○様のアカウントを有効かする事はできません。 アカウントロック解除はできませんご了承下さい。 ○○様のもう一つのアカウント名　 yyyyyyyyyy

BetterPrivacy 1.29 by NettiCat recommended Categories Privacy & Security Alerts & Updates Other Ever wondered why you are still tracked though you tried everything to prevent it? BetterPrivacy is a Super-Cookie Safeguard which protects from usually undeletable LSO's (Flash-Cookies) or DOM Storage Objects. It blocks longterm tracking on Google, YouTube Ebay and many other domains. 81 reviews Up