JSONデータをクロスドメインアタックから守るためにwhile(1)を使うことをやめましょう - hoshikuzu | star_dust の書斎
これはなに 既にご存知の方がいらっしゃるかどうかも知りませんが今さっき関連文献に行き当たって驚愕したので念のためにメモを書いておきます。私はメーリングリストなどに加入していませんので論議が済んでいるかどうかも知らないのです。もしもウェブ上に解説記事があるようでしたら逆に私に是非とも教えてください。 JSONデータの先頭に JSONデータの先頭にwhile(1)を置いておくことで無限ループを発生させておいて、受動的攻撃のページの悪意あるscriptの実行を失敗させるというアイデアには欠点があるということを、先程とある文献から知りました。これはwhile(true)についても同様です。JavaScriptは柔軟で強力な言語ですから、ブラウザがJavaScriptエンジンをまじめに実装しているのであれば、アタックのチャンスを与えていることになります。しかしこれはブラウザの脆弱性とは捉えられません
ディスクワイプも免れるBIOS攻撃手法 | スラド セキュリティ
アルゼンチンの研究者らが、ハードディスクワイプも免れるBIOSレベルの攻撃手法を発表したとのこと（本家/.、Threatpostのブログより）。 Core Security TechnologiesのAnibal Ortega氏とAlfredo Sacco氏は、先週カナダで開催されたCanSecWestでこの攻撃のデモを行った。この手法は脆弱性を突くものではなく、BIOSにちょっとしたコードを当ててマシンを乗っ取るというもので、WindowsマシンやOpenBSDを搭載したマシン、またVMware Playerでも同様に攻撃可能という。リブートするたびにBIOSに再感染させることも可能とのこと。ただ、攻撃の実行にはルート権限もしくは物理的アクセスが必要だ。2人は現在、攻撃を実装するBIOS rootkitに取り組んでいるそうだ。 アプリケーションやOSの保護機構の高機能化にともない攻撃は困
英プライバシ擁護団体，GoogleのStreet Viewについて苦情申し立て
英国のプライバシ擁護団体Privacy International（PI）は英国時間2009年3月23日，米Googleが同月20日に英国でサービスを開始したオンライン地図サービス「Street View」について，英情報長官局（Office of the Information Commissioner）の情報長官であるRichard Thomas氏にあてた書簡を公開した。 PIは，書簡を通じて同サービスにおけるプライバシ保護策に対して苦情を申し立てるほか，同サービスがデータ保護法（Data Protection）に違反するとして，早急に措置を講じるように求めている。 Street Viewは，プライバシ保護策として人物の顔にぼかしを入れる技術を採用しているが，この保護策はGoogleが事前に示していた水準に達していないとPIは指摘。また，データ保護策として，「Googleへの依頼により
顔認識カメラ，もう一つの機能 - 日経ものづくり - Tech-On！
顔優先モードの付いたカメラが2年前に出た時に，現日経Automotive TechnologiesのH編集委員は「心霊写真」大量生産への期待について述べていました。その後のデジタルカメラの進歩で，最近出てきたのは個人の顔を認識する機能。「登録した人の顔のデータを基に撮影時にその人の顔を見つけて優先的にピントと露出を自動で合わせる」（パナソニック）とか。主に持ち主や，持ち主に親しい人の顔を認識する趣旨だと思いますが，別に誰の顔でも構わないはず。ここは指名手配被疑者の顔を認識させれば，「見当り（みあたり）捜査」の機械化ができるに違いありません。 「見当り捜査は，指名手配被疑者の写真を多数記憶した捜査員が，繁華街や駅などで，指名手配被疑者を発見・逮捕するという捜査員の目と勘に頼る極めてシンプルな捜査手法である。（中略）捜査員が1人で記憶する被疑者写真の数は300から500枚くらいになる。写真の記
ミクシィやAll About、ヤフーのターゲティング広告「インタレストマッチ」導入
ヤフーと子会社のオーバーチュアは3月25日、Webサイトの利用者が興味を持つ分野の広告を選んで表示するターゲティング広告サービス「インタレストマッチ」を、提携企業が運営するパソコン向けサイトに4月より順次導入すると発表した。これまでポータルサイト「Yahoo! Japan」を中心にインタレストマッチの広告を掲載してきたが、今後はソーシャルネットワーキングサービス「mixi」や総合情報サイト「All About」にも掲載する。 インタレストマッチは、サイト利用者が閲覧しているWebページの内容や過去の閲覧履歴、最近の検索キーワードを分析し、利用者の興味、関心により近い広告を表示する。 閲覧中のWebページ内容だけを分析して広告を表示する従来のサービス「コンテンツマッチ」を採用する企業が、4月から5月にかけてインタレストマッチへと切り替えていく予定。mixiやAll Aboutのほか、ポータル
マルウェア対策に最も優れたブラウザはこれ
セキュリティ製品の検証を手掛ける米NSS Labsは、主要なブラウザ6製品のマルウェア検出率を比較する実験を行い、このほど結果を公表した。 実験では、マルウェアの50％以上がインターネットからのダウンロードを通じて感染している現状を踏まえ、各ブラウザがソーシャルエンジニア型のマルウェアをどの程度検出できるかを調べた。 その結果、MicrosoftのInternet Explorer（IE） 8はマルウェア検出率が69％と、ほかのブラウザに比べ群を抜いて高かった。以下、Mozilla Firefox 3.07は30％、Apple Safari 3は24％、Google Chrome 1.0.154は16％の検出率だった。Opera 9.64は5％、Microsoft IE7は4％で、事実上マルウェア対策が無いに等しい状態だった。 IE 8は、マルウェア対策に関して格段の進歩を遂げ、安定性も優
株式会社ウェブマネーはユーザのフィードバックを活用する能力が低い
株式会社ウェブマネーはwebmoney.co.jp、webmoney.jp、webmoney.ne.jpといったドメインを使用している。webmoney.jpでチャージの手続きをした後、他のサイトからウェブマネーを使おうとしたら、ログイン画面のドメインがwebmoney.ne.jpだった。 その時は複数のドメインを使っている事を知らなかったのでフィッシングかと思って、証明書を確認するなど余計な手間がかかったし、何より不安で仕方なかった。 だから、ドメインを統一すればいいのに、と思って下のメールを送ってやった。 ウェブマネー 担当者様 御社ではドメイン名としてwebmoney.co.jpやwebmoney.jpも使用しているようですが、 他社のサイトからウェブマネーウォレットを利用する場合に ログイン画面のドメインがwebmoney.ne.jpになっている場合があります。 ドメイン名が違うた
あどみちゃんの超常識セキュリティ検定
いまや“情報セキュリティ”は社会人の常識です。4月から新社会人になる方々のために、会社でまず最初に気を付けなければいけない情報セキュリティに関する検定問題を用意しました。楽しみながら学んでください。 これから新社会人になる方を脅すつもりはないのですが、いま、企業はかつて経験したことのないような厳しい状況下にいます。 2009年3月の決算期には日本版SOX法が適用され、上場企業はきちんと内部統制にも対応しなければならなくなりました。また、連日のように報道されているWinnyなどによる情報漏えい事件はあなたも見聞きしたことがあるかと思います。 内部統制では、経営者つまり社長は従業員をきちんと“統制”しなければなりません。しかし、上場企業の場合、社員は数百人?数万人規模になりますが、この人数を社長が1人で把握できるわけがありません。そこで、ワークフローや統制システムを導入することで、きちんと社内
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPAが「10大脅威」の相関図を作成、攻撃手法の“多様化”解説
企業の無線LANセキュリティ、「WEP以外による暗号化」は2割だけ
米国の次世代電力インフラ、「スマートグリッド」に深刻な脆弱性