セッションマネージャーでEC2に接続できない！！なんでだ！！！ - Qiita
はじめに こんにちは！ みなさんセッションマネージャーは使っていますでしょうか？ 先日、社内OJTの1つの企画として新卒ちゃん達にAWSのハンズオンをしてもらいました。その時にセッションマネージャーを使ったEC2への接続で何名か躓いたので、今回はセッションマネージャーでEC2に接続できない時の対処法を整理しました。セッションマネージャーで接続できないと困っている人の助けになればと思います。 セッションマネージャーとは 簡単に言うと、SSHキーも踏み台サーバーも使わずに、しかもインバウンドルールも不要でEC2インスタンスに接続できてしまう神機能のことです。詳しくは公式ドキュメントをご覧ください。 と言いつつ仕組みのところだけ引用しておきます。 ユーザーは IAM を通じて 自分のID と認証情報を確認します。 ユーザーはSession Managerから SSH セッションを開始し、EC2
[登壇資料] DDoS攻撃をAWSサービスだけで緩和する方法をまとめてみた #cm_odyssey | DevelopersIO
2024年7月11日に実施された「Classmethod Odyssey 情シスとセキュリティ編」の登壇資料です。 こんにちは、AWS事業本部@福岡オフィスのべこみん(@beco_minn)です。 本日開催された「Classmethod Odyssey ONLINE 情シスとセキュリティ編」で登壇する機会を頂きました。 本記事はその登壇資料紹介となります。 資料 セッション概要 近年被害が拡大しているDDoS攻撃。そんなDDoS攻撃を緩和する対策はWAFの活用や攻撃対象領域の縮小など様々ありますが、その中でも特にAWSサービスを用いた方法について分かりやすく網羅的にご紹介します。 DDoS対策の参考になりそうなブログ セッション内で紹介したAWSのサービス、機能について参考になりそうなブログをいくつかご紹介します。(後日追記あるかも) CloudFront+S3による静的サイトにCogni
![[登壇資料] DDoS攻撃をAWSサービスだけで緩和する方法をまとめてみた #cm_odyssey | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/b880d63e4f4863872bb92012bbe392f8f0e8003f/height=288;version=1;width=512/https%3A%2F%2Fdevio2024-media.developers.io%2Fimage%2Fupload%2Fv1720688346%2Fuser-gen-eyecatch%2Fk5z8tfwgyaergujkam0p.png)
HttpOnly属性ってなんで必要？ - Qiita
はじめに Goで初めてのアプリを作っているときにCookieのセッティングでHttpOnly属性を書いていました。セキュリティ上で必要なものということをざっくりと知っていただけで具体的にどのような役割を果たしているのか知らなかったので今回調べてみました！ Cookieに値を入れているときに書く必要があったHttpOnly cookie := http.Cookie{ Name: "Kennie", Value: "1234", Path: "/", HttpOnly: true, } 以下に記載する内容は以下の動画を参考にしています。 https://www.youtube.com/watch?v=IGWKIRamjs0 1. HTTPOnly属性とは？ HTTPOnly属性は、ウェブブラウザに設定されるクッキーの属性の1つで、JavaScriptからアクセスできないようにするものです。ク
Wiresharkで観察して理解するHTTPS（HTTP over TLS）の仕組み - RAKUS Developers Blog | ラクス エンジニアブログ
はじめに HTTPS(HTTP Over TLS)とは SSL/TLS HTTPSの流れ 実際に通信を観察 自己署名証明書の用意 サーバーの作成 WireSharkの準備 リクエストを送信して観察 まとめ 年に1度の技術イベント「RAKUS Tech Conference」を開催します！！ はじめに エンジニア２年目のTKDSです！ 普段何気なく使ってるほとんどのWebサイトが対応しているHTTPS通信の仕組みについて調べてみました。 本記事では、Wiresharkを用いてHTTPSの内部動作を解析し、どのようにしてデータが保護されているのかを具体的に解説します。 記事の後半では、Wiresharkを使って実際の通信データを観察し、暗号化プロセスの詳細を確認してみます。 HTTPS(HTTP Over TLS)とは HTTPS(HTTP Over TLS)は、HTTPの暗号化版で、ウェブサ
HTTPが全てを飲み込む（前編）～HTTPの2層構造と、HTTP Semanticsとは何か？
Webを構成する重要な要素の1つであるHTTPは、その最新仕様で2層構造となり、バージョンに関係なく使えるSemanticsと、特徴の異なる通信仕様を定めたHTTP/1.1、2、3に分割されました。 さらに現在では、HTTPの上にあらためてUDPやIP、イーサネットなどのプロトコルを実装する提案が行われており、まさにHTTPは通信の全てを飲み込む勢いで進化しつつあります。 こうしたHTTPの最新動向の解説が、大手CDNベンダでエッジクラウドなども展開するFastlyが2023年11月8日開催したイベント「Yamagoya 2023」で同社シニアプリンシパルエンジニアの奥一穂氏が行ったセッション「HTTPが全てを飲み込む」にて行われました。 本記事ではこのセッションをダイジェストで紹介していきます。記事は以下の3つに分かれています。 HTTPが全てを飲み込む（前編）～HTTPの2層構造と、H
AWS SSMのSession Manager機能の利用と接続パターン - Qiita
はじめに AWS Systems Manager(SSM)内の機能の1つであるSessionManagerを利用した EC2インスタンスへの接続を使用する機会があったので、 検証がてら導入手順や接続パターンを記事としてまとめてみました。 元々SessionManagerを介してWebコンソールまたはAWS CLIでEC2インスタンスへアクセスすることで、 インターネット側へSSHポートを開けることなくアクセスすることが可能でした。 また、接続元PCの任意のローカルポートとEC2インスタンス側のSSHポートでセッションを張ることで、 TeraTerm等のSSHクライアントやWinSCP等のファイル転送ソフトを簡単に利用することが可能です。 加えて2022年11月にポートフォワーディングの機能が追加され、 SSMAgentを導入できないEC2インスタンスやRDS等のサービスに対して、 SSMA
安全なウェブサイトの作り方~失敗例~ - goruchan’s blog
安全なウェブサイトの作り方を読んだので、理解した内容を自分なりにまとめておきます。資料 上記は3章構成になっていてそれぞれ長めの内容なので、ここでは3章の『失敗例』について、Ruby on Rails ではどうするかについてをまとめます。 SQL インジェクション OS コマンドインジェクション パス名パラメータの未チェック例（ディレクトリトラバーサル） 不適切なセッション管理例（セッション ID の推測） クロスサイト・スクリプティングの例（エスケープ処理） CSRFの例 HTTP ヘッダ・インジェクションの例 メールヘッダ・インジェクションの例 参考 SQL インジェクション 参考資料内の SQL インジェクション例を見て、Ruby on Rails ではどのように対策できるかを確認しました。 例えば、下記ような $uid, $pass をユーザ入力とし、SQL 文を動的に生成する場合
Google I/O 2023 セッション動画を見たメモ - Qiita
Google I/O 2023 のいろんなセッション動画を見たメモ。 全てのセッションではないです！ What's new in Kotlin for Android Android における Kotlin に関する更新を紹介するセッション。 K2 Compiler Kotlin 1.8 よりも最大 2 倍高速 Kotlin 1.9 の期間で Compose Compiler と KSP で K2 を Experimental で使えるよう取り組んでいる Android Studio も来年には K2 対応予定 Kotlin DSL for Gradle builds Android Studio G からデフォルトを Kotlin DSL に Version catalog へのコードジャンプもサポートされる KSP KSP は kapt に比べて stubs を作らずに Kotlin
Google I/O 2023 の #WebML （ブラウザで実行できる機械学習）のセッションで気になった部分をざっくり日本語で記事にしてみた - Qiita
Google I/O 2023 の #WebML （ブラウザで実行できる機械学習）のセッションで気になった部分をざっくり日本語で記事にしてみたJavaScript機械学習TensorFlow.jsMediaPipeGoogleIO2023 はじめに この記事は、以下のツイートに書いている Google I/O 2023 の #WebML のセッションに関する話です。 話の内容は、ブラウザで実行できる機械学習の話です。 どんな技術的なキーワードが関係するかを書いてみると、例えば、今まで自分が触ったことがある内容・キーワードでは、以下の内容が関係しています。 ・JavaScript（ブラウザ上での実行） ・TensorFlow.js ・MediaPipe の JavaScript版 ・WebAssembly その他、まだ自分がきちんと手を出せていない内容のキーワードでは、以下に関する話も登場し
好みのセッション ID を利用する - kendik.net
昨日はセッション状態を Memcached に格納しましたが、次はセッション ID を好みの形に変えてみます。 実装 セッション ID を任意の値にするには ISessionIDManager インタフェースを実装したカスタムマネージャクラスを作成します。 作成しますが…実は、セッション ID の既定の実装である SessionIDManager クラスを継承して、CreateSessionID メソッドと Validate メソッドをオーバーライドするだけでもいけます。 めっちゃ簡単なので、クッキーレスな環境でもセッションを使えるようにする必要がなければ後者をオススメします。 ※追記：クッキーレス環境でも、独自セッション ID を使いたいだけであれば後者で問題無いです。 URL への差し込み方(既定では(S(SessionID)))を変えたかったり、独自エンコーディングを使いたい時に前者
ASP.NET Web Form認証でログイン時にセッションIDを更新する - Qiita
きっかけ セッションハイジャックへの対応策として「ログイン成功後に、新しくセッションを開始する」⇒ 「ログイン成功時に、以前のセッションを破棄し新しいセッションIDを割り振る」という方法があるが、ではWeb Formでの認証時にはどのようなコーディングを行えばよいのかを調べたので、メモとして記事を書くことにした。 基本的な考え方 行うことは単純で ログイン前から存在するセッションを破棄する 新しいセッションIDを割り振る の2点だけである。 ASP.NETは標準ではCookieにセッションIDを保持し、そのキーは"ASP.NET_SessionId"という事実があるので、それを考慮する。 ログイン成功後は、当初要求のあったページへのリダイレクトを行うとすると、リダイレクト処理の直前にこれらの処理を入れてあげるのがよいと思われる。 実装 Login成功後の処理をどこに記述するかは好みの問題が
ASP.NET でのセッション周りの設定を弄る - しばやん雑記
今まではあまり ASP.NET のセッションを使わなかったのですが、最近必要になったのでカスタマイズの方法をいろいろと調べました。想像以上に拡張性が高くておすすめです。 セッションクッキーの名前を変える ASP.NET のセッションで使われるクッキーの名前は、デフォルトでは "ASP.NET_SessionId" となっていますが、この名前は Web.config を少し修正するだけで簡単に変更が可能です。 <sessionState mode="InProc" cookieName="sessionid"></sessionState> これで "sessionid" という名前のクッキーが発行されます。 セッション ID の値を制御する そしてセッションのために発行されるクッキーの値は、デフォルトではランダムな英数字になっていますが、こっちも簡単に値を制御することが可能です。 ASP.
セッション管理に関するチートシート - OWASP
Web 認証、セッション管理、およびアクセス制御 Web セッションとは、同一ユーザーに関連付けられた、ネットワーク HTTP リクエストおよびレスポンスの一連のトランザクションのことです。最近の複雑な Web アプリケーションでは、複数のリクエストの間、各ユーザーについての情報や状態を保持することが必要になります。そのため、セッションには、アクセス権やローカライズ設定などの変数を確立できる機能があります。その変数は、セッションが終わるまで、ユーザーと Web アプリケーションとのあらゆる対話に適用されます。 Web アプリケーションは、最初のユーザーリクエストの後に、匿名ユーザーを追跡記録するセッションを作成できます。ユーザーの言語設定の維持が一例です。さらに、Web アプリケーションは、一度ユーザー認証が完了してから、以後のセッションを使用します。これにより、後続のリクエストでユーザー
TCPとQUICの比較
ジェフ・ヒューストンのブログより。 QUICトランスポート・プロトコル(RFC 9000)は、オリジナルのTCPトランスポート・プロトコルを改良したものに過ぎないという一般的な見解があります[1][2]。私は、この意見に同意し難く、私にとってQUICは、通信のプライバシー、セッション制御の完全性、柔軟性の面で、アプリケーションが利用できるトランスポート機能における重要な変化を象徴しています。QUICは、より多くの形式のアプリケーションの動作に本質的に役立つ、異なる通信モデルを体現しています。そうです。TCPよりも高速です。私の意見では、公衆インターネットは、いずれQUICがTCPに取って代わると思っています。ですから、私にとってQUICは、TCPに少し手を加えただけのものではありません。ここでは、TCPとQUICの両方について説明し、QUICがトランスポート・テーブルに加えた変更について見
xss 脆弱性のあるサイトを作ってセッションハイジャックを試す - Qiita
はじめに xss については何となく理解したけど、結局それがどう攻撃に使われるのかが良く分からなかったので、セッションハイジャックと言うものを試してみた。 やりたいこと 攻撃者の立場に立ち、被害者に対して攻撃用 URL を送りつけ、被害者のセッション ID を取得する。 脆弱性のあるサイトを作る まずは被害者がログインできるサイトを作る。 javascript + express で作ったけど、あんまり使ったことないフレームワークだったから認証の仕組みを入れるのに時間がかかった。 といっても認証の方法は「どんなユーザー名でもパスワードでもログインできる」という感じ。 （ログイン状態さえ作り出せれば良いため） ↓ソースコード https://github.com/ahyaemon/express-training ↓ログインページ ↓ログイン後ホーム クッキーにセッション ID らしきものが
AWS Summit Online 2022のセッション「アーキテクチャ道場！」がすごく勉強になった話 - Qiita
AWS Summit Online 2022のセッション「アーキテクチャ道場！」がすごく勉強になった話AWSアーキテクチャマイクロサービスQiitaEngineerFesta2022awssummit2022 概要 2022年5月25日~26日にAWS Summit Online 2022が開催されました。 こちらのカンファレンス、現在も登録していただくと各セッションオンデマンド配信をしているので、ぜひ気になれば登録しちゃいましょう！ そんなAWS Summit Online 2022のセッションの一つ、「アーキテクチャ道場！(AWS-51)」のセッションレポート及び感想を今回はご紹介していきたいと思います。 セッション概要 今回記事にしていく**アーキテクチャ道場！(AWS-51)**のセッションでは下記のような内容を扱ったものとなっております。 優れたアーキテクチャを設計するためのプラ
【PowerShell】Start-Transcriptを使用したセッション記録方法 - buralog
Start-Transcriptは、PowerShellのセッションを記録します。 管理作業やプログラミングに便利です。 ローカルホストおよびリモートセッションでのStart-TranscriptおよびStop-Transcriptの使用方法について説明します。 Start-Transcriptについて PowerShellでStart-Transcriptと打ち込むと、ホームディレクトリにセッションが記録されます。 自動で作成されたテキストファイルには日付と、ホストネームが記録されています。 PS C:\> Start-Transaction ホームディレクトリのドキュメントを開くと、ファイル名が以下のような形式で出力されています。 -Pathについて ファイル名と出力パスを指定したい場合は、-Pathで指定します。 Start-Transcript -Path c:\tmp\logfi
安全なウェブサイトの作り方 - 1.4 セッション管理の不備 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
安全なウェブサイトの作り方 - 1.4 セッション管理の不備 概要 ウェブアプリケーションの中には、セッションID（利用者を識別するための情報）を発行し、セッション管理を行っているものがあります。このセッションIDの発行や管理に不備がある場合、悪意のある人にログイン中の利用者のセッションIDを不正に取得され、その利用者になりすましてアクセスされてしまう可能性があります。この問題を悪用した攻撃手法を、「セッション・ハイジャック」と呼びます。 また、推測や盗用以外に、セッション管理の不備を狙ったもう一つの攻撃手法として、「セッションIDの固定化（Session Fixation）」と呼ばれる攻撃手法があります。悪意ある人があらかじめ用意したセッションIDを、何らかの方法（脚注1）で利用者に送り込み、利用者がこれに気付かずにパスワードを入力するなどしてログインすると起こりうる問題です。悪意のある
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Google Chrome」にCookieの盗難を防ぐ技術「DBSC」が導入へ／公開鍵暗号技術やTPMを活用して、セッション盗難の被害を最小限に
PHPで学ぶ Session の基本と応用 / web-app-session-101-2024
