マシなインターネットを作る：malaさんインタビュー
こんにちは。今回はmalaさんのインタビューをお届けします。 malaさんはNHN Japanのエンジニアとして多くのウェブサービスの設計に関わるだけでなく、セキュリティやプライバシの観点から見たアーキテクチャについて、ブログでさまざまな情報や問題提起を発信されています。 特に昨年末に公開されたブログ記事「はてな使ったら負けかなと思っている2011」は、インターネットはどこへ行くかという私のもやっとした問題意識にピッタリとハマる素晴らしい文章でした。あの記事を読んで、これはぜひ一度お会いして、インターネットの現状やエンジニアの役割について、お話を聞いてみたい、と思ったのが今回の企画の発端です。未読の方は、まずそちらからどうぞ。 なお、インタビューは三月末に行われました。無職期間中に公開する予定で、ずいぶん時間がかかってしまいました。文中、私の所属する企業の話も出てきますが、例によってここは
法と技術とクローラと私 - 最速転職研究会
こんにちは、趣味や業務で大手ポータルサイトのサービスで稼働しているいくつかのクローラの開発とメンテナンスを行っているmalaです。 さて先日、岡崎市立中央図書館Webサイトをクロールしていた人が逮捕、勾留、実名報道されるという事件がありました。 関連URL: http://librahack.jp/ 電話してみた的な話 http://www.nantoka.com/~kei/diary/?20100622S1 http://blog.rocaz.net/2010/06/945.html http://blog.rocaz.net/2010/07/951.html この件につきまして法的なことはともかくとして技術者視点での私見を書きたいと思います。法的なことは差し置いて書きますが、それは法的なことを軽んじているわけではなく、法律の制定やら運用やらは、その法律によって影響が出る全ての人々の常識
asahi.com（朝日新聞社）：図書館ＨＰにアクセス３万３千回 業務妨害容疑で男逮捕 - ネット・ウイルス - デジタル
愛知県の岡崎市立図書館のホームページに集中的にアクセスし、閲覧しにくくしたとして、愛知県警は２５日、ホームページ作成会社社長中川圭右（けいすけ）容疑者（３８）＝同県知立市東長篠１丁目＝を業務妨害の疑いで逮捕し、発表した。 県警生活経済課と岡崎署によると、中川容疑者は、４月２日から１５日にかけて、岡崎市立中央図書館のホームページに、計約３万３千回のアクセスを繰り返し、ホームページを閲覧しにくい状態にした疑いがある。 同図書館のホームページ管理用サーバーには、３月中旬からの約１カ月間に、中川容疑者の自宅のパソコンなど特定の端末から計約６万４千回のアクセスがあり、その影響でホームページの閲覧は２１回停止されていた。 同課によると、中川容疑者は１回ボタンを押すだけで、１秒に１回程度の速度でアクセスを繰り返せるプログラムを作っていたという。中川容疑者は同図書館の利用者だったが、目立ったトラブル
「匿名性」と「ほめてほしい人だけ見て」の同居は難しいかも - www.textfile.org
その後、mixiやVoxなどのようにアクセス制限技術は発達してきたんだから、こういう思考を持っている人にはそこそこ住みやすくなったと思うんだけど、現状では特定個人を許諾しないといけないので匿名性が低い。だから、もっと匿名性の高い閲覧制限システムが望まれているのかもしれない。 ひっそり書いているんだから言及されても…という人 - ARTIFACT@ハテナ系 かのせさんによる。「私を誉める人だけサイトを見てほしい人」だけがアクセスしてくるWebサイト、というものの需要について。 ここには「認証」に関して重要なことが含まれているような気がする。自分にとってうざくない人だけにアクセスしてもらうためには、適切なフィルタリングが必要になるから、アクセス者の（広い意味での）匿名性の確保は難しくなる。人数が少ないうちにはうまいバランスがあり得るが、サイトのアクセス数が多くなって（あるいはそのサービス全体の
PHPで誰でも簡単Webサービス製作！でなんか作って公開した奴ちょっと来い - 甘味志向＠はてな
タイトルは出来れば関連する方に読んで欲しかったので、軽く釣り針にしました。すみません。:*) 最近はやりのヒウィッヒヒー（Twitter）でも、よく「○○ったー」みたいなサービスがばんばん登場してますね！ おかげでますますツイッターが面白い感じになってて、いい流れですね！ でも･･･ちょっと気になることが･･･ 最近「もうプログラマには頼らない！簡単プログラミング！」だとか･･･ 「PHPで誰でも簡単Webサービス作成！」だとか･･･ はてなブックマークのホッテントリで見かけますよね･･･ プログラミングする人が増えるのは素敵です！レッツ･プログラミングなう！ なんですけど･･･ ちゃんとセキュリティのこと考えてますか･･･！？ 『セキュリティ対策とか難しいし面倒くせーし、俺の適当に作ったサービスとかどうなってもイイしｗｗ』 いいんですいいんです！ 別にそう思ってるならどうでもいいんです！
「ウイルスバスター」が深夜に勝手にSkype投稿（「ウイルスバスター2009のURL評価」機能）
イキナリあわあわした話。 数日前の深夜、たま～に発言してるSkypeのグループチャットを見てびっくり仰天。目が点になった。しばらく状況理解できずポカンとしていたかもしれない。 わずか数十秒前に「わださん」がメッセージを投稿している。 わだ akwadaのコンピュータ上にあるトレンドマイクロのセキュリティソフトによって、該当Webサイトは未テストと評価されています。このWebサイトにはアクセスしないでください。 http://www. えええっ～！！！わたし！？ 著名ブロガーとかたくさん参加してるグループチャットなこともあり、 メチャメチャ焦ってしまった。 Skypeのチャットログをさかのぼってみたら、なんと同じ日の昼間にも、他の人達が会話している間に、突如「わださん」が、同じ文章のアラート投稿をしていた。空気読まなすぎる上に不気味で意味不明すぎる奴だ。ああ、他の参加者にそう思われたかも～。
セブンネットショッピング、「デモ用ソースコード」が流出、XSS脆弱性も 「個人情報流出はない」
セブン＆アイグループが12月8日にオープンしたECサイト「セブンネットショッピング」のソースコードが流出したとネットで騒ぎになっている。同サイトの広報担当者によると、流出したのは「検証で使っていたデモ用コードで、本番用のものではない」。個人情報流出の可能性もないとしている。 デモ用のソースコードが公開サーバに置いてあり、誰でもアクセスできる状態になっていた。同社は12月17日午前、ソースコードに外部からアクセスがあったことに気付き、すぐに公開サーバから削除。「データベース等非公開サーバに侵入されたわけではなく、個人情報流出の危険はない」としている。 同サイトについては14日ごろから、XSS（クロスサイトスクリプティング）脆弱性も指摘されていた。「個人情報を扱うページではXSS脆弱性はなく、個人情報の流出はないが、そうでないページに脆弱性があった」とし、15日までに対策を取ったという。 届け
CSRF対策は基本? | 水無月ばけらのえび日記
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
おごちゃんの雑文 » Blog Archive » これは「エンジニアの反乱」ではないか？
ヨーカドーのネット通販が酷いことになっている。 セブンネットショッピング、会員の個人情報がダダ漏れ。さらにネラーに注文番号の規則性を解析される セブンアンドワイ、XSS脆弱性が見つかる。また社員が2chを覗いていたことが判明 セブンアンドワイ、Google検索で個人情報が丸見えだった模様。また今回の件でアフィリエイトにまで影響が とうとう「オープンソース化」までされる始末。 セブンアンドワイ、今度はソースコードを流出させる。 svnで公開なんてやってくれるぜ。私は初期版をcvsの類で出すのは消極的なんだけど(これはいずれ連載の方で)。 ただ、この前の「はまちちゃん」もそうなんだが、これは実は「エンジニアの反乱」ではないか？ もちろん、一連の事件はエンジニアが結託してサボタージュをやったとか、そーゆー類では断じてないだろう。みんなそれぞれのエンジニアは、自分の能力の範囲、自分の仕事の範囲では
サイバー・ノーガード戦法 - Wikipedia
サイバー・ノーガード戦法（サイバーノーガードせんぽう）は、意図的にセキュリティ対策を放棄してコンピュータを利用すること[1]。 この用語は、情報セキュリティを専門とするニュースサイトの Scan NetSecurity が2004年に考案した[2]。背景として、前年にコンピュータソフトウェア著作権協会 (ACCS) のWebサイトの脆弱性を公の場で指摘した京大研究員が、礼を言われるどころか逆に不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）違反と威力業務妨害の疑いで逮捕されるという事件があった[3]。Scan NetSecurity はこの件で、不手際のあったサーバ管理者側が刑事責任を問われず、個人情報漏洩の被害者に補償も行われなかったことに着目し、セキュリティ対策の意図的な放棄は、費用を節約できリスクも無視できる「新しい形の防御方法ともいえるのではないか」と逆説的に主張した[4
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
アメーバスタッフ『Amebaのセキュリティ対策について』
いつもAmebaをご利用いただきまして、ありがとうございます。 一部の皆様より質問いただきました、弊社サービスのセキュリティ対応について、 ご報告いたします。 弊社では新規サービスの開発時はリリース前に、 既存サービスは定期的に、外部セキュリティ監査会社による調査を必ず実施しております。 調査報告は深刻度別に分類され、これまでユーザーの皆様のデータ漏洩や 破壊につながる可能性がある部分については即時の対応を、 それ以外の部分については一定期間内での対応実施を徹底して参りました。 現在、昨今の事情を鑑み、影響の大きな部分については優先度を最上級にし、 緊急対応を行っております。 ご迷惑をおかけいたしますが、ご理解いただきますよう、お願いいたします。
IIS 7.5 详细错误 - 404.0 - Not Found
错误摘要 HTTP 错误 404.0 - Not Found 您要找的资源已被删除、已更名或暂时不可用。
IIS 7.5 详细错误 - 404.0 - Not Found
错误摘要 HTTP 错误 404.0 - Not Found 您要找的资源已被删除、已更名或暂时不可用。
ITmedia エンタープライズ：大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？
「mixi」上で、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手にアップされてしまうという現象が多発した。その原因はCSRFの脆弱性だ。 4月19日以降、ソーシャル・ネットワーキングサイトの「mixi」で、URLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで日記がアップされてしまうという現象が多発した。 サービスを提供しているイー・マーキュリーでは、この現象について一応の対処は取った模様だ。ただ、技術的な詳細については「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答のみで、「それ以上はコメントできない」と述べるにとどまっている。 だがある意味、このコメントは正しい。「はまちちゃん」現象は、ウイルスなどの仕業ではないからだ。 正規ユーザーの操作で「意図しない」結果に URLをクリックすると勝手に日記が書き込まれ
サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
中古ドメインでGoogleAppsを使ったら - y-kawazの日記
最近あるドメインを取得したんだが、実はこのドメインは僕が最初に取得したものではなく、前のドメイン所有者が管理放棄したか期限切れになったモノを僕が取得したもののようだ。普通は中古のドメインだからといっても困ることはそうは無いもんだが、今回は珍しいケースに当たったのでネタにしてみる。 中古ドメインだったんだなーと気付いたのはGoogleAppsにドメインを登録しようと、ドメイン名を入力したときだ。 ↓こんなメッセージが出て登録できなかった。 このドメインは既に Google Apps に登録されています。 このドメインで Google Apps を使用する手順については、ドメイン管理者にお問い合わせください。 なんと既に登録されてるとな？すぐに前のドメイン所有者がAppsを使ってたんだなと思い至ったんだがさてどうしたらいいんだろう？ GoogleAppsの管理アカウントを取り戻す手順 既に存在
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Twitter Hacked, Defaced By “Iranian Cyber Army”
はてなブログ | 無料ブログを作成しよう
はまちや２ on Twitter: "凝ったフィッシングサイト作らなくても普通に「あなたのGmailのIDとパスワードを入力してください」みたいなページつくって、「Gmail占い」みたいなタイトルと内容でソーシャルブックマークの人気記事にするだけで入力しちゃうひと多そうな気がしてきた"
