Androidで安全にパスワードを保存する(4)｜TechRacho by BPS株式会社
前回は、暗号化の方法について紹介しました。 しかし、元に戻せる方法で保存する以上、何かしらの共通鍵を保持しておく必要があります。 単純にアプリ内の定数として保持しておくと、リバースエンジニアリングに非常に弱いので、多少の工夫が欲しいところです。 ところで、タイトルには反しますが、アプリ内で元に戻せる形でパスワードを保存する以上、本当に安全な方法は存在しません。 簡易的な対策を組み合わせることで、ちょっとした用途なら必要十分なセキュリティを確保するのが目的です。 先に、APKのリバースエンジニアリング方法を簡単にご紹介しておきましょう。 リソース、マニフェスト apktoolが便利です。 インストールしたら、適当なAPKファイルのあるところで apktool d myapp.apk すれば、フォルダに展開されます。リソースやマニフェストは完全に見放題。 ソースコード まず、apkの拡張子を.
設定ガイド：オープンリゾルバー機能を停止するには【BIND編】
--------------------------------------------------------------------- ■設定ガイド：オープンリゾルバー機能を停止するには【BIND編】 株式会社日本レジストリサービス（JPRS） 初版作成 2013/04/18（Thu） --------------------------------------------------------------------- ▼はじめに 本資料は、オープンリゾルバーとして動作しているBINDを使ったDNSサーバー の設定を、簡単なステップで修正する事を目的としています。 オープンリゾルバーについての技術的な解説は本資料では行いません。手順 に沿った操作で設定を変更し、読者が運用するDNSサーバーがオープンリゾル バーではなくなることを目指しています。 オープンリゾルバーおよびそれを利用し
DNSサーバーをオープンリゾルバーにしない
今年に入って、DNSの再帰的な問い合わせを使ったDDos攻撃が報告されているようです。 DNSキャッシュサーバーとして運用している場合でも、制限を設けて適切に設定をしておかないと、 DDos攻撃の踏み台にされてしまいます。 詳しくはこちらのサイトを参考にしてください。 http://www.jpcert.or.jp/pr/2013/pr130002.html 管理しているサーバーがオープンリゾルバーになっていないかどうかを確認するサイトが開設されています。 http://www.openresolver.jp/ OSやBINDのバージョンによっても異なりますが、設定例をご紹介します。 まず、オープンリゾルバーになっていないかを確認します。 前述したオープンリゾルバー確認サイトも確認できますが、ここではコマンドラインで確認します。 $ wget -qO - http://www.openre
DNSベストプラクティスとは「隠す」そして「重ねる」 ― ＠IT
第2回 DNSベストプラクティスとは「隠す」そして「重ねる」 澁谷 寿夫 Infoblox株式会社 Systems Engineer 2007/12/14 軽視されがちのDNSにもう一度明かりをともす新連載。第2回ではDNSの最新情報と、前回の最後で図だけ提示した「DNSのベストプラクティス」構成の意味を解説します（編集部） いまだに設定ミスの多いDNS 今回も引き続きDNSについて説明していきたいと思います。まずは、おさらいをかねて、2007年11月に発表されたDNS関係のリリースを紹介したいと思います。 11月19日に開催されましたDNS DAYでも話題に上がっていたのですが、いまだに多くのDNSサーバに設定ミスが多いという問題があります。設定ミスの内容としては、いくつかありますが、その中でも深刻な問題としてはオープンリゾルバのサーバになってしまっているというものです。 前回説明した「
＠IT：Snortでつくる不正侵入検知システム 第1回
※ご注意 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「IDS」という言葉をご存じだろうか。IDSとは「Intrusion Detection System」の略で、日本語では「侵入検知システム」と訳される。この連載ではフリーのIDSであるSnortを題材に、IDSのインストールから運用までを解説していきたいと思う。 IDSとは何か 「IDSとは一体何なのか」。そう疑問に思った方は少なくないであろう。簡単にいえば、「ネットワークを流れるパケットに対してあるパターンに合致しているか否かを判定し、合致している場合はあらかじめ定められた処理を行う」ものである。 「あらかじめ定められた処理」とは具体的にどのような処理なのかというと、
OpenBlocks AX3 で PacketFence を動かしてみる
OBDNマガジン - OpenBlocks Developers Network Magazine OBDNプライマルアドバイザ・後藤敏也 Toshiya Goto を責任編集者としてつづる、OpenBlocksやマイクロサーバ、Linux、オープンソースソフトウェアの最新技術やニュース定点観測ブログです。 関連情報に興味を持つ技術者や管理者に、Linux業界第一人者としての視点から見たIT最新情報をお届けします。 OpenBlocks Developers Network はこちら http://openblocks.plathome.co.jp/support/ はじめに PacketFence は、ネットワークアクセスコントロール（Network Access Control, NAC）システムのオープンソース実装です。2004年頃から開発が行われ、現在に至るまでアクティブに開発が行
脆弱性スキャナ「OpenVAS」でのセキュリティチェック | さくらのナレッジ
これらはそれぞれ同一のマシンで実行させることもできるし、異なるマシンで実行させることも可能だ。なお、Greenbone Security DesktopおよびOpenVAS CLIについてはLinuxおよびWindows向けのバイナリがリリースされているが、それ以外のコンポーネントについては基本的にはLinux向けとなっている。ダウンロードページではソースコードのほか、CentOS 6およびFedora 15～18、Red Hat Enterprise 6向けバイナリパッケージの入手方法が案内されている。なお、Debian GNU/LinuxやFedoraなどはその公式リポジトリでOpenVASのバイナリパッケージが提供されている。ただし、必ずしも最新のバージョンが提供されているわけではないので、それらを利用する際は注意してほしい。 今回は、CentOS 6.3をインストールした1台のサー
cloudpackブログ - skipfishを早く終了させるために
以前、skipfishでWebアプリのセキュリティ診断の記事にてskipfishを利用したセキュリティ診断の方法を紹介しました。 しかし、このskipfishは実際に利用してみると診断に時間がかかり、なかなか終了しません。 そこで、アクセスログ等でアクセス内容を確認してみると、延々と、膨大な辞書ファイル上のキーワードに対して、それらをファイル名としたURLのチェックをしていました。 このURLチェックは、実行時間を考えると現実的ではないので、下記のようなオプションで、このチェックを行わないようにすることができます。 ./skipfish -LVY -W /dev/null -o admin http://www.suz-lab.com/ オプションは下記の通りです。 -L: do not auto-learn new keywords for the site -V: do not upd
「skipfish」でWebアプリの脆弱性をチェックする | さくらのナレッジ
近年では多くの分野でWebアプリケーションが使われるようになり、大量の個人情報や重要な秘密情報を扱うようなアプリケーションも少なくない。そのため、Webアプリケーションも攻撃対象として狙われやすくなっている。今回はWebアプリケーションのセキュリティ対策として、Googleが公開しているセキュリティ調査ツール「skipfish」を使ったセキュリティスキャンを紹介する。 Webアプリケーションに特化したセキュリティ調査ツール「skipfish」 今日では、Webブラウザ経由でさまざまな操作を行えるWebアプリケーションが広く浸透している。Webブラウザは最近のほぼすべてのPCにインストールされており、専用のクライアントを用意せずにアプリケーションを操作できるというのがその浸透の理由の1つだ。しかし、Webアプリケーションでは簡単にその一部（HTMLやJavaScript）のソースコードを閲覧
SSHの設定 - DenyHostsでSSHへの攻撃を防ぐ：tech.ckme.co.jp
例えばopenSUSE 10.0で/var/log/messagesを見ると時々 Mar 26 22:01:32 linux sshd[18645]: Invalid user test12 from 65.205.238.12 Mar 26 22:01:34 linux sshd[18647]: Invalid user test12 from 65.205.238.12 Mar 26 22:01:35 linux sshd[18649]: Invalid user test12 from 65.205.238.12 Mar 26 22:01:37 linux sshd[18651]: Invalid user test12 from 65.205.238.12 Mar 26 22:01:38 linux sshd[18653]: Invalid user test12 from 65.
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
ssh scp sftp の正しい自動実行方法
Landscape トップページ | < 前の日 2004-11-15 2004-11-17 次の日 2004-11-18 > Landscape - エンジニアのメモ 2004-11-17 ssh scp sftp の正しい自動実行方法 当サイト内を Google 検索できます * ssh scp sftp の正しい自動実行方法この記事の直リンクURL: Permlink | この記事が属するカテゴリ: [ssh] [セキュリティ] scp と sftp について調べていると、正しい自動実行についての文書を見つけた。cron から scp や sftp を自動実行しようと考えている私には役に立つ文書だ。 - 「専用のパスフレーズなしの鍵を作って権限限定」がベスト正しいssh/scpの自動運転は ぴろ日記 http://www.banana-fish.com/~piro/20040609.
勘違いしたくないAndroidセキュリティ「アプリインストール」に関する5つのポイント - ReDo
※正しくはsignatureOrSystemです。typoすいません。 最近話題のAndroidのセキュリティについて、確かに何も無いとは思っていないのですが、少々煽りが過ぎるんじゃないかと思うので、少しでも誤解が解ければいいなということで、「勝手に他のAndroidアプリをインストールする権限」について少しだけ噛み砕いて説明したいと思います。 【注】噛み砕いたつもりが、エントリの対象者が専門家なのか開発経験者なのか一般ユーザなのかレベルがバラバラの表記になってしまっております。そのうちもう少しわかりやすく改稿してリベンジしたいです...orz 2011.07.26 一部表現を修正。 「アプリケーションの権限」を確認し、「インストール」を選択する画面を呼び出すには特別な権限は何も要りません。 MIME-Typeがapplication/vnd.android.package-archive
セキュリティアカデメイア
4月の応募数は829件で、当選数は26件です。 当選したものは今月の抽選とは言い切れないので、単純に当選率を計れませんが、あえて計算すると3.1%になります。 3月に続けて高確率を維持しています。3%超ならかなり割がよ ...
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CentOS6 - Apache2 working but when installing / enabling SSL, server won't start because of permissions error
Snort2.7のインストール - satospo
https://www.vigiliti.com/en/support/docu/html/nlive4_manual/ch02s04.html