HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
銀行から個人まで駆け込む ネット風評“掃除業”が急拡大
inside 産業界・企業を取り巻くニュースの深層を掘り下げて独自取材。『週刊ダイヤモンド』の機動力を活かした的確でホットな情報が満載。 バックナンバー一覧 今月、新たな業界団体が正式に発足する運びだ。その名称は「風評被害対策事業者連絡会」。 インターネット上の風評被害や誹謗中傷対策を引き受ける大手“イレイサー”（消しゴム≒削除者の意）専門会社で構成する初の業界団体だ。 今夏から国の関係省庁との協議や情報交換を重ねており、急拡大を続ける一方で悪質業者もはびこる業界の健全化を図ることが、設立目的という。 団体設立の音頭を取った業界大手、シエンプレは、過去3年で売り上げを2倍以上に伸ばし、今期は15億円の売り上げを見込む。
子供を取り巻くインターネットとその問題点
兵庫県の小学校で2013/02/20発表するための資料。 話す際のノートを含め公開しているので、再利用される場合は参考にどうぞ。 セッションを受けた人の感想とか↓に書いてます http://d.hatena.ne.jp/hanazukin/20130312/1363069453
【これは分かりやすい!】『コクヨの5ステップかんたんロジカルシンキング』下地寛也 : マインドマップ的読書感想文
コクヨの5ステップかんたんロジカルシンキング 【本の概要】◆今日ご紹介するのは、先日の「未読本・気になる本」の記事でも評判だった1冊。 ロジカルシンキング関係の書籍は、当ブログでも何冊かご紹介してきましたが、その中でも分かりやすさの点ではピカイチだと思います。 アマゾンの内容紹介から。「論理的に考えているつもり」を解消して、最大の成果を生み出そう!誰でも論理思考が身につく。コクヨで実践している究極のコミュニケーションスキルを伝授。 各ステップごとに指示通りにこなしていけば、ロジカルシンキングが実践できることウケアイです！ いつも応援ありがとうございます！ 【ポイント】■1.「論点」→「結論」→「理由」→「行動」の流れで話す 他人の話がわからない場合、以下の4点が原因になっているはずです。(1)そもそも何について話しているのか「論点」が分からない (2)結局何が言いたいのか「結論」がわからな
＠ITイベントカレンダー
平素よりイベントカレンダー＋ログをご利用いただき、誠にありがとうございます。 イベントカレンダー＋ログは「IT・製造業・ビジネス関係のイベント（セミナー・展示会・勉強会・コンテスト・Webイベントなど）を開催する企業・コミュニティが登録したイベント情報のポータルサイト」として約7年間運営をしてきました。これまでサービスを続けることができたのは、イベントカレンダー＋ログのコンセプトに共感をいただき、適切なイベント情報をお寄せいただいた皆さまのご支援があったからこそと考えております。重ねて御礼申し上げます。 しかしながら、イベント情報の入手方法の多様化やイベント紹介サービス市場の状況、＠ITの今後のメディア運営方針などを検討した結果、2020年6月30日（火）15:00をもちましてイベントカレンダー＋ログのサービスを終了することにしました。 これまでご利用をいただきました皆さまには残念なお知ら
和訳: 君はウィルスの中でハッカーと会話したことがあるか？ - APM in the hole
（アンチウィルスソフトで有名なAVGのblogより） Have you ever chatted with a Hacker within a virus? http://blogs.avg.com/news-threats/chatted-hacker-virus/ — 君はウィルスの中でハッカーと会話したことがあるか？ それは印象的で、私のアンチウィルスに携わった経歴の中でも初めての経験だった。ウィルスの分析中、ハッカーとチャットをしたのである。そう、本当だ。それはThreatチームがDiablo III向けのkey loggerを研究している時に起こった（多くのプレイヤーがアカウント盗難の被害にあっているのだ）。研究用のサンプルは台湾のbattle.netで発見された。 そのハッカーは「InfernoのIzualでファームする方法」というタイトルのトピックを投稿し（IzualはD
GitHubのセキュリティホールがふさがったのでSSH Keyを確認しよう - ただのにっき(2012-03-08)
■ GitHubのセキュリティホールがふさがったのでSSH Keyを確認しよう 先日、Railsアプリにありがちなセキュリティホールがあることが判明したGitHub。詳細は@sora_hによる「github の mass assignment 脆弱性が突かれた件」が非常によくまとまっているので参照のこと。脆弱性の内容そのものもだけど、開発者として脆弱性指摘をどのように受容、対応すべきかを考えさせられる事例だった。 で、これはようするに赤の他人が任意のリポジトリへのコミット権を取得できてしまうという事例だったのだけど、脆弱性の内容をみる限りその他のさまざまな入力もスルーされていた可能性がある。ということで、その対策が(おそらく)なされたのだろう、今朝になってGitHubから「SSH Keyの確認をせよ」というメールがいっせいにユーザに配信された。3日で修正とか、GitHubの中の人もずいぶん
暗証番号はなぜ4桁なのか? セキュリティを本質から理解するための考え方 | ブクペ
概要セキュリティに関する身近な疑問を専門用語をなるべく使わずに教えてくれる1冊 ATMの大きな役割「識別と認証」◆ATMでお金をおろすときの銀行側の2つステップ ①識別：ATMにやってきた人が銀行に口座を持っている ・持っていないのにおろせたら、銀行は成り立たない ②認証：口座を持っている人と、引き出す人が同じか確認する ・誰でもおろせてしまったら、盗難と同じ ◆なければ利用者の手間もなくなるのに暗証番号はなぜ必要？ ・「お金をおろしたい」という人が本人であるかどうか銀行側はチェックをしたい ・認証（本人であるということを確認するステップ）が必要である ・この認証の役割を果たすのが、暗証番号 ◆認証ではなぜ暗証番号を入力するのか？ ・認証するだけなら、カードキーを使う(車だって盗難防止は鍵)でも問題はない ・カードキーを使った場合、識別と認証を1つで同時に行なえる ・つまりカードキーを盗ま
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
2011年9月版 インターネットを支える根幹への指摘相次ぐ － ＠IT
山本洋介山 bogus.jp 2011/10/12 9月は、現在のWebにおける暗号化通信の基盤となるSSLや認証局に関する脆弱性が話題となりました。 さらに、日本の国防に関わるいくつもの企業がサイバー攻撃を受けていたことが分かり、絵空事だと思っていたサーバ戦争が現実に起こり得るものだと自覚した人も多かったのではないでしょうか。 また、新たに発表された都道府県型JPドメインによって新たな問題が引き起こされる危険性が指摘されるなど、今月もさまざまな話題がタイムライン（TL）を駆け巡りました。 SSLを巡る2つの問題が浮上 Webブラウザによる暗号化通信を行うときに使われるSSLという技術があります。9月はこれに関連した大きな出来事が2つありました。SSLの信頼性が失われると、日常で使うサービスへのログインや買い物などに大きな支障が出ることになります。TLでも心配する人が少なくありませんでした
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
ソフトバンクのゲートウェイ型SSLの脆弱性を振り返る
WEB & NETWORK SSL/TLSより引用 わざわざSSLの場合にもゲートウェイを割り込ませている目的としては、ケータイID（UID）を付与することと、絵文字の変換があるようです。 ※注意:EZwebにもゲートウェイ型のSSLがあります（仕様）がProxyサーバーのホスト名が見えているわけではないので、今回報告するような問題はありません。 ゲートウェイ型SSLの問題点 ゲートウェイ型SSLが廃止されるきっかけは、高木浩光氏と、ソフトバンクモバイル取締役専務執行役員CTOの宮川潤一氏のtwitter上のやりとりであると言われています。この内容は、Togetterにまとめられています。これを読むと、ゲートウェイ方式のSSLでは、httpとhttpsでドメインが異なるため、Cookieを引き継ぐことができないことが問題として説明されています。現場のニーズとしてこの問題は大きいと思うのです
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
地獄のJavaScriptセキュリティ
例外設計における大罪 - 契約