こんにちはこんにちは ! ! はまちや2です! 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか!今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう!
こんにちはこんにちは ! ! はまちや2です! 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか!今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう!
実は厄介、ケータイWebのセッション管理:再考・ケータイWebのセキュリティ(3)(1/3 ページ) “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます(編集部) 「Cookieを使えない端末」でセッションを管理する方法は? 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション(ケータイWeb)のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
Facebookのアカウントは本名が基本ですので、フレンド申請される人の名前をみていて「以前このハンドル名で会った人かな?」と、確信がないまま承認してしまうことがたまにあります。 しかしそうしたことを繰り返していると、アカウントをのっとられてしまう可能性があることが The Blog Herald の記事で紹介されていました。その方法とは以下の通りです。決して悪用してほしくないですが、簡単にできてしまいますね…。 アカウントをのっとりたい相手にむかって3名分のダミーアカウントでフレンド申請を行う 相手がそれを承認したら、相手のアカウントに対してでたらめなパスワードでログインを数回試みる メールと携帯電話番号、そして秘密の質問による認証にもでたらめに答えて すると「3人の友人にあなたが本人であることを認証してもらってください」という表示があらわれ、3人を選択できます。乗っ取りを目的としている
セキュリティ対策企業の英Sophosは5月23日(現地時間)、ソニー・ミュージックエンタテインメント(SME)の日本語サイト(sonymusic.co.jp)がSQLインジェクションによる攻撃を受け、不正アクセスされた可能性があるというブログ記事を掲載した。 記事によると、あるハッカーが、SMEの日本語サイトをハックしたことをTwitterで報告し、脆弱性のあるURLとデータベース構造をネット上に公開した。このデータベースにはユーザーの個人情報は含まれていないようだが、ハッカーによるとほかにデータベースは2つあるという。 ハッカーがデータベースに不正アクセスできたかどうかは不明。万が一不正アクセスに成功された場合、データベースに悪意のあるプログラムを仕込まれ、SMEサイトを閲覧したユーザーが被害を受ける可能性もある(マイクロソフトによるSQLインジェクション攻撃の解説)。 同ブログは前日に
愛宕山太郎坊 アニメーション制作進行支援ソフト 愛宕山太郎坊 ログイン 会社id ユーザー名 パスワード ユーザー名またはパスワードが正しくありません。 閉じる ログイン
地方公共団体が運営するホームぺージの改ざん防止等に資するため、Webアプリケーションの脆弱性の有無を診断し、その対処方法をお知らせします。個人情報漏えいの危険性があるSQLインジェクション等の脆弱性についても診断できます。 ウェブ健康診断とは? 「ウェブ健康診断」とは、人間に例えるなら、その名のとおり 「健康診断」にあたるような位置づけの診断です。人間ドックに比べたら精密ではありませんが、平成19年度に実施したWebアプリケーション脆弱性診断結果等も考慮しながら重要な診断項目を検討しました。 本診断は「基本的な対策が出来ているかどうかを診断するもの」とご理解ください。また、診断対象のWebアプリケーションの全てのページを診断するものではなく、診断対象の規模にもよりますが、基本は抜き取り調査(診断)です。 Webアプリケーションとは? ホームページの閲覧者が何らかの情報を書き込む等して、
先日、LastPassで発生したセキュリティリスク。改めて、「セキュリティ度の高いパスワードが必須だ」ということを認識した方も多いことでしょう。とはいえ、実際パスワードを設定するとなると、どうしてもパターン化してしまいがち...。これが、ハッカーの標的になってしまうかもしれません。 セキュリティの専門家Roger Grimes氏は、IT系メディア「InfoWorld」で、容易に類推されやすいパスワードについて述べ、パスワードはもはや、よく使われている6~8ケタでは十分でなく、それ以上長いものを設定すべきと指摘しています。 Photo by reidrac. この記事によると、パスワード破りのプロのほとんどは、2分の1の確率でユーザのパスワードに一つ以上の母音が含まれていることを知っているとか。また、数字が含まれている場合、それはたいてい「1」か「2」で、パスワードの最後にくるのだそうです。
非凡な攻撃センスに基づく脆弱性診断・ペネトレーションテスト サイバーディフェンス研究所の脆弱性診断(セキュリティ診断)・ペネトレーションテストは、高度な技術、豊富な経験、非凡な攻撃センスを併せ持つ一流のセキュリティエンジニアが実施します。 Webアプリケーションやネットワークはもちろん、組み込み機器、IoTデバイス、制御システム、ソーシャルゲームなど様々なシステムを対象に、自動化されたツールに依存することなく、ハッカーの思考にもとづく戦略的なハッキングを行ないます。 スキャンツール主体の脆弱性診断や、簡易的なペネトレーションテストとは一線を画する独自のアプローチにより、脆弱性の検出のみならず、企業経営、組織運営に潜在する真の脅威を明らかにし、診断対象となるシステムの安全な運用に貢献します。 Webアプリケーション 脆弱性診断
Internet Explorer/Firefox/Google Chrome/Operaに保存されている各サイトのパスワードを抜き出して表示してくれるのがこのフリーソフト「WebBrowserPassView」です。極めてシンプルな機能なのですが「あのサイトのパスワードってなんだったっけ?」という時に地味に役立ちます。 使い方などは以下から。 ※パスワードを抜き出すというソフトウェアの特性上、常駐させて使用しているアンチウイルスソフトやセキュリティソフトによってはスパイウェアやマルウェアとして反応することがありますが、誤検知なので問題ありません。 WebBrowserPassView - Recover lost passwords stored in your Web browser http://www.nirsoft.net/utils/web_browser_password.h
キャッシュレス決済やキャッシングの関連犯罪を解説するページです。あらかじめ知識を得ておけば、無用な犯罪に巻き込まれるリスクが減りますよ。 スキミング詐欺: スキミング詐欺とは? スキミング詐欺の事例: 国内におけるスキミング詐欺の現状: 古いキャッシュカードが狙われる: 海外におけるスキミング詐欺の現状: 対策は厚みを確認したり揺らしてみるなど: アナログな方法で盗まれることも: フィッシング詐欺: フィッシング詐欺とは? フィッシング詐欺例: Amazonからのフィッシング詐欺メール: 銀行名義で届いたフィッシング詐欺メール: 昔はおかしな日本語メールも多かった: フィッシング詐欺への対策: 1.送信元のメールアドレスを確認 2.文章の中身を確認 3.Gmailを利用する クレジットマスター: クレジットマスターとは? なぜ有効な番号を見つけ出せるのか: クレジットマスターの現状: 芸能
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ はてブさんは #の切り分けやめてくれないかな……。 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinS
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
先日ペコリンという Web サービスを公開したのですが、これが初めての WordPress との複合会員向けサービスだったためか、ログインが途中で切れたり、記事投稿時のリダイレクトがかかるタイミングなどで SESSION が切れてしまうことがありました。 しかし Twit Delay では長期的にログインが保持されていたり、mixi とかではログイン時間を指定できたりするので、なんとかできるものだろうと考えていたら Twitter で教えてもらいましたのでまとめておきます。 SESSION だけを使ったログインの保持では長期ログインは不可 私は今までログインの保持は以下のようにしていました。 1 2 3 4 5 <?php ini_set('session.gc_maxlifetime', 60*60*24); ini_set('session.gc_divisor', 10000); s
「モバゲーが退会しても個人情報を削除してくれない」の続きでございます。 多分、今日の昼間に会議があったと思うので、先のメールでこっちの提案を書いとけば良かったなーと後悔しつつ。「退会してから90日後にメールアドレスと携帯電話番号部分だけNULL埋め」が、モバゲーも開発コストがそれほどかからず(簡単なスクリプト書いて1日1回走るcronセットするだけ)不正を防げて、元ユーザーも安心で一番いいかなーと思っていたんですが。 モバゲー事務局から私への返信: 差出人: support <support@mbga.jp> 件名: お問い合わせについて[スマートフォン] 日時: 2011年4月25日 19:40:07JST 宛先: <xxx@example.jp> 返信先: support <support@mbga.jp> モバゲー事務局です。 このたびは、ご連絡が遅くなり申し訳ございません。 ご連絡
グーグルは、同社のデータセンターでセキュリティ対策やデータ保護がどのように行われているのかを紹介するビデオを公開しました。 Official Google Enterprise Blog: Security First: Security and data protection in Google data centers このビデオはOfficial Google Enterprise Blogにポストされたエントリ「Security First: Security and data protection in Google data centers」で紹介されました。「多くの人がグーグルでデータがどのように守られているのか興味を持ち、データセンターへの訪問を希望しているが、全員を招待することはできないのでこのビデオを作成した」と、ビデオの目的が語られています。 ビデオはおもにGoogl
あー、どっから話せばいいかな。正直にそもそものところから書くのが公平でしょう。あれなんすわ、Twitter でウオッチしてる人はわかるとおり、ぼくオカマなんすわ。女装も女っぽい言動もしてないけど、心は女というか、似合いさえすれば女の子の格好したいんすわ、ゲームのキャラやアバターは必ず女性にするんですわ。ネカマと言ったほうが正しいかな。 んで、ちょっと前にウェブ業界の調査と好奇心でモバゲーに入会しました。あ、スマートフォン版です(私の所持端末は iPhone 3G)。その際、あとでアバターは自由に着せ替えられると思って、性別の欄は「男性」にしたんすわ。戸籍上、男性だし。そしたら、アバターいじろうウフフと思ったら、男性形固定で女性形にできないんすわ。 んで、しょうがないから別アカウント作ろうと思って、別のメアドでアカウント作った。そこで立ち塞がるのが「携帯電話番号認証」。携帯電話番号を入力して
iPhoneおよびiPad 3Gが、ユーザーの位置情報(経度・緯度・時刻)の履歴を過去10ヶ月に渡り記録していることが判明。 公開されているツールで、比較的簡単にデータを取り出せることが報告されています。 [source: O’Reilly Radar 他 ] 現在開催中の位置情報系のイベント「Where 2.0」で、2人の研究者 (Alasdair Allan と Pete Warden)が発表したもので、以下がその要点。 iOS 4.xを搭載したおそらく全てのiPhoneおよびiPad 3Gが対象 携帯基地局による位置情報を時刻とともに記録 本体およびバックアップに暗号化なしで保存されている 地図上にプロットするツールが公開されている 問題となるデータは、「consolidated.db」と呼ばれるファイルに、iOS 4.0が公開されて以来記録され続けており、緯度・経度・時刻のデータが
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く