第28回 「続けてパスワード送付」欧米でまったく使われないワケ
「添付ファイルがパスワードロックされたメール」とそれに続けてやって来る「パスワードだけ書かれたメール」。 多くの日本企業で当たり前のように採用されているメールセキュリティのガイドラインですが、前回取り上げた通り、これらは完全に日本だけのガラパゴスなルール／システムです。 なぜ日本だけの独自文化なのか、また欧米はどのように対応しているのかを確認しましょう。 日本独自のガラパゴスルールが広がったワケ まずは、日本でこのようなガラパゴスルールが当たり前になってしまった背景から。実際に情シス担当者の方に導入理由を聞くと、おおむね次のような答えが返ってきます。 「情報漏えい事件の防止や、起きてしまった場合のリスクヘッジである」 まず挙がるのがこちらです。この手のシステムの検討にあたり、稟議書の最初に書かれるであろう理由でもあります。 未然に防げれば何よりですし、「万一、誤送信してしまっても、暗号化さ
五島夕夏がセキュリティのプロ 徳丸浩先生に一日密着！今すぐ使えるテクニックを盗んできました | NO MORE 情報漏えい
こんにちは、五島夕夏です！ 普段はフリーランスとしてイラストレーターやモデルのお仕事をしている私ですが、今日はNO MORE 情報漏えいプロジェクトの一員として、一日インタビュアーに挑戦します！ 突然ですが皆さんは、毎日の生活の中で「セキュリティ」についてどれくらい気をつけていることがありますか？ 私もTwitterやFacebookをよく利用しますし、お仕事もメールで受けています。PCを使う機会も多いので情報の管理には気をつけなきゃと思っているのですが、「具体的に何をどう気をつければいいのかわからない！」という人は私だけではないはずです。 ということで今回は、セキュリティのプロフェッショナルと呼ばれる徳丸 浩（とくまる ひろし）先生に密着取材！ プロがどんなところに気をつけているのか、私たちの生活にも活かせそうなテクニックを盗んできたいと思います！ 徳丸 浩（とくまる ひろし）先生 HA
Amazon EC2への侵入テスト申請について | DevelopersIO
最新の情報は以下ブログをご参照ください。 2017年版 AWSの侵入テストについて はじめに 今日はAWSの侵入テストの申請についてまとめたいと思います。 代行して申請する際にお客様にヒアリングをしている内容となります。 AWSの侵入テスト申請 AWS環境にて侵入テスト・脆弱性スキャンを実施する場合は、事前にAWSに申請を行い許可を得る必要があります。 事前に申請が必要な理由は、侵入テスト・脆弱性スキャンをAWSの適正利用規約と区別するためです。 侵入テストページからの引用 私たちの適正利用規約には、禁止されたセキュリティ違反およびネットワーク不正利用の説明を含む、 AWS 上で許可される行為および禁止されている行為についての説明があります。 しかし、侵入テストはこれらの行為と区別できないことがよくあるため、 当社は侵入テストおよび脆弱性スキャンを実施するための許可をお客様が申請できるポリ
米国家安全保障局、Puppetベースのセキュリティフレームワーク「SIMP」を公開 | OSDN Magazine
米国家安全保障局（NSA）がサイバーセキュリティツール「Systems Integrity Management Platform（SIMP）」公開を発表した。「Puppet」をベースとし、Red Hat Enterprise Linux上で動くシステムのセキュリティ管理の自動化を支援するという。 Systems Integrity Management Platform（SIMP）は同局が採用する「多層防御」アプローチの重要な技術となるもので、ネットワーク化されたシステムがセキュリティ基準に準拠するのを支援する。システム自動管理「Puppet」を土台とし、認証基盤にはOpenLDAPを利用する。対応プラットフォームはRed Hat Enterprise Linux 6.6/7.1またはCentOS 6.6/7.1-1503-01。ライセンスはApache License v2.0。 セキ
Flash Playerに致命的な脆弱性、修正プログラムなくIPAは無効化を推奨
画面●「Adobe Flash Player」のダウンロード画面。2015年7月13日時点の最新版（Windows版およびMac版は18.0.0.203）にも脆弱性があるとされ、修正プログラムは公開されていない 情報処理推進機構（IPA）は2015年7月13日、Windows版やMac版などの「Adobe Flash Player」の最新バージョンおよびそれより前のバージョンに脆弱性があるとして、注意喚起する文書を出した。細工されたWebサイトを閲覧すると、第三者に任意の命令を実行される可能性がある。米アドビシステムズは、この脆弱性の深刻さを4段階中最悪の「致命的」と位置付けている。7月13日時点で修正プログラムは公開されておらず、Flash Playerをアンインストールするか無効化する以外に対策はない（画面）。 IPAの注意喚起は、アドビシステムズの7月10日から12日にかけての発表を
VPC にプライベートサブネットを作るのはエンジニアの思考停止か？ | はったりエンジニアの備忘録
タイトルは若干釣りです ;-) 一般的な Web サービスにおいて、VPC にプライベートサブネットは必要ですか？という話です。 VPC の設計でよくあるのが、パブリックサブネットとプライベートサブネットを持つ 2 層レイヤの VPC です。公式ドキュメントにも例があります。 シナリオ 2: パブリックサブネットとプライベートサブネットを持つ VPC パブリックサブネットがいわゆる DMZ セグメントで Web / App サーバが配置されます。プライベートサブネットはインターネットから隔離されたセグメントで DB サーバが配置されます。 このプライベートサブネットは AWS の良さを殺してしまうだけで意味がないと思っています（AWS を前提に書いていますが、オンプレミスにも同じことが当てはまると思います）。 プライベートサブネットが不要だと思うワケ Web / App サーバの設定ファイ
新日本プロレスに不正アクセス、顧客情報の漏えいも
新日本プロレスリングは7月2日、最大1万8000件の個人情報やクレジットカード情報が外部に漏えいしたと発表した。公式サイトのWebサーバの脆弱性を突いた不正アクセスが原因だとしている。 同社によると、漏えいした情報は公式サイトで2014年8月28日から2015年4月28日までの間に、「チケット購入」や「オフィシャルファンクラブ入会・更新」をした顧客のクレジットカード情報と氏名、住所、電話番号、メールアドレス。1万8000件のうちクレジットカード決済は1万1155件。 漏えいの疑いは4月28日午後6時頃に決済代行会社からの連絡で発覚し、同日午後9時頃に公式サイトの運営・保守委託先を通じてクレジットカード決済を停止したという。決済代行会社と委託先が調査を開始し、5月1日からは第三者機関のPayment Card Forensicsによるログ解析などの調査も開始した。 Payment Card
AWS Solutions Architect ブログ
Amazon Web Servicesでは強力な暗号化は標準機能の一つであり、（以前はSSLとよばれた）TLSという暗号化プロトコルが必要不可欠です。 TLSは全てのAWS APIで用いられており、Elastic Load Balancing (ELB), AWS Elastic Beanstalk, Amazon CloudFront, Amazon S3, Amazon RDS, Amazon SESなどのお客様が直接使うサービスでも使われています。 過去18ヶ月程の間は、TLSプロトコルの波乱に満ちた期間でした。優れた暗号解析技術はこれまで考えられていたよりも深刻であるいくつかのTLSアルゴリズムの欠陥をハイライトし、セキュリティ研究はTLSのいくつかのソフトウェア実装に問題を明らかにしました。総体としてはこれらの開発は正しくセキュリティを向上させるものでしたが、ソフトウェアアップグ
LINE DEVELOPER DAY 2016 開催のお知らせ « LINE Engineers' Blog
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。 LINEヤフー Tech Blog saegusa2017-04-16Yoshihiro was a network engineer at LINE, responsible for all levels of LINE's infrastructure. Since being named Infra Platform Department manager, he is finding ways to apply LINE's technology and business goals to the platform. こんにちは。LINEでネットワークやデータセンターを担当している三枝です。2017年1月にJANOG39で登壇する機会を頂きましたので、今回
本当に PHP の DoS 脆弱性 (CVE-2015-4024) キツくない？ - はちゅにっき
hakaikosen.hateblo.jp 上記記事を「あら大変(棒読み)」とか思いながら読んでいたけれど、PHP の BTS の方を読んでみたら確かに原理から再現手順まで細かく記載されていて 「なんかこれまずそう」と思ったので、docker を使って検証してみることに。 PHP 入りの Docker コンテナは、Official のものを利用しました。registry.hub.docker.com 今回の脆弱性、POST しないページには関係ないのかな？と思ってましたが、よくよく見ると PHP さえ動くページであればなんでもいいらしい。 ということで以下のような PHP ファイルを用意し、ここにアクセス (攻撃) をします。 htdocs/index.php <!DOCTYPE html> <html> <head> <title>PHP Bugs #69364</title> </he
AgileBits、1Password miniとブラウザ拡張機能間に存在する「XARA」脆弱性についてコメント。
1Passwordを開発しているAgileBitsが「XARA」脆弱性（ゼロデイ攻撃）と1Passwordが受ける影響について同社のブログに記事を投稿しています。詳細は以下から。 昨日公開されたOS XとiOSのKeychainの脆弱性を利用したXARA攻撃はインディアナ大学の研究チームによってレポートにまとめられており、この中でWebSocketを用いたXARAはKeychainだけではなく1PasswordやEvernoteなどにも影響があると記載(PDF)されていますが、 これについて1Passwordを開発しているAgileBitsのチーフ開発者Jeffrey Goldbergさん(@jpgoldberg)が「我々は2014年の11月からXARAについてXingさんと議論を重ねており、彼らのチームは我々にどの様な攻撃が可能かを提示てくれた」とXARAと1Passwordが受ける影響
日本年金機構の情報漏えいについてまとめてみた - piyolog
2015年6月1日、職員PCがマルウェアに感染したことにより、情報漏えいが発生したことを日本年金機構が発表しました。ここでは関連情報をまとめます。 公式発表 日本年金機構 2015年6月1日 (PDF) 日本年金機構の個人情報流出について 2015年6月3日 (PDF) 個人情報流出のお詫び - 日本年金機構 理事長 水島藤一郎 (平成２７年６月２日) 2015年6月3日 (PDF) 個人情報流出の報道発表を悪用した不審な電話等にご注意ください！ 2015年6月3日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月6日 (PDF) 日本年金機構ホームページの一時停止について 2015年6月8日 (PDF) 日本年金機構ホームページの暫定対応について 2015年6月22日 (PDF) 日本年金機構の個人情報が流出したお客様へのお詫びについて 2015年6月
クレジットカード処理におけるTLS 1.0の使用が非推奨に | スラド セキュリティ
各カード会社のログイン画面を調べたところ、セゾンカード [saisoncard.co.jp] が、TLS 1.0 までの対応で、脆弱な SSL 3 も有効という酷い状況でした。 なんとかして下さい中の人。セゾンカード持ってるんですorz セゾンカード … × TLS 1.1 と TLS 1.2 に非対応 (TLS 1.0 まで対応、SSL 3 も有効) [saisoncard.co.jp] ダイナースクラブカード … × TLS 1.1 と TLS 1.2 に非対応 (TLS 1.0 まで対応、SSL 3 は無効) [citicards.co.jp] 三井住友VISAカード … ◎ TLS 1.2 まで対応 [smbc-card.com]MUFGカード・DCカード・NICOSカード (三菱UFJニコス株式会社) … ◎ TLS 1.2 まで対応 (3ブランドとも) [cr.mufg.jp]
ELBによるSSL Terminationをご利用中の方へ、TLSの脆弱性「Logjam」対策のご案内 - サーバーワークスエンジニアブログ
こんにちは、サーバーワークスの三井です。 少しばかり遅くなってしまいましたが、HTTPSやSSH、IPSecなどセキュアな接続に幅広く使われているTLSプロトコルに、「Logjam」と呼ばれる脆弱性が見つかり、日本でもぼちぼち話題となっています。まずは慌てずに状況を確認し、対策を実施しましょう。 （※本記事は、AWS環境でELBを用いたSSL Terminationを行っている方を主たる対象としています。予めご了承ください。） この脆弱性の成立するロジック自体は、3月に大きな話題となった「FREAK」と似ていますが、前者はOpenSSLの実装の脆弱性であったのに対し、今回のLogjamは鍵交換のプロトコル自体に潜在的にある脆弱性です。中間攻撃者にこの脆弱性を悪用されると、TLS通信を暗号強度の低い輸出グレードの暗号方式にダウングレードされ、通信内容が傍受される可能性があります。 クリティカ
分散DoS攻撃、この1年間で倍増
ESETは5月21日(現地時間)、「DDoS attacks have doubled in a year, says Akamai」において、分散型サービス拒否攻撃(DDoS; Distributed Denial of Service attack)が増加傾向にあることを伝えた。Akamaiの発表を引き合いに出し、報告されるDDoS攻撃がこの1年で前年の2倍を超えていると説明している。 攻撃方法も変化しており、より長期にわたってDDoS攻撃を実施できるようになってきているほか、これまでよりも大きなダメージを与えられるようになってきていると指摘。先年は短期間で大量のバンド幅を消費するようなDDoS攻撃がメインだったものが、2015年は小さいバンド幅でより長期にわたって攻撃を継続する傾向を示しているという。 増加傾向を見せているDDoS攻撃は3つの国からの攻撃開始が全体の過半数を占めている
パスワード用途以外にinput要素のtype=
たとえばクレジットカード決済で、カードのセキュリティコードを入力する欄が <input type="password" > 要素で用意されているといった場合です。 Chrome を使って調べていたのですが、ログイン ID とパスワードの組み合わせを Chrome に保存していた場合、同じサイトの別ページに type="text" の入力欄と type="password" の入力欄があったら、問答無用でそのサイトの保存済みのログイン情報がオートコンプリートされてしまいます。 ↑ こんな感じでオートコンプリートされる。 セキュリティコードのところは maxlength="4" を指定しているがそれも無視。 ブラウザのオートコンプリートは感覚的に name 属性やら id 属性が同じだったらオートコンプリートされるのかなぁというイメージだったので問題ないだろうと思っていたのですが、違いました。
HashiCorp社が出したVaultとはどういうものなのか - 理系学生日記
HashiCorp 社から、新たなソフトウェアである Vault by HashiCorp がリリースされました。 - HashiCorp Blog: Vault この Vault について、Getting Started を一通り実施した後に Docs の一部を確認してみたので、簡単にその内容をまとめてみます。 Vault とは何なのか Vault を一言で言うと、機密情報(Secret) を管理するツールです。 これだけ IT が広がっている現在、機密情報の範囲も広がり続けており、データベースにアクセスするためのユーザ/パスワードや、連携するシステムの API キー等、多岐に渡ります。こういった情報、おまえのところのシステムではどう管理してた？XML に生で書いてる、あるよねそういうの。jdbc.properties に直書き、うんうんわかるわかる。ちょっとがんばったら crypt で
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHubが安全性に問題のあるSSH鍵を無効化
serverspec for CVE-2015-0235
TLSに新たな脆弱性「Logjam」、多数のサーバーや主要ブラウザーに影響 
