Dropboxは5つ星！ Amazonは2つ星！ ｢米国政府によるプライバシー侵害に立ち向かう企業｣の成績表が公開
Dropboxは5つ星！ Amazonは2つ星！ ｢米国政府によるプライバシー侵害に立ち向かう企業｣の成績表が公開2017.07.14 19:005,843 塚本 紺 プライバシー問題、｢政府への対応｣が焦点に。 デジタル時代の人権を守るために1999年から活動を続ける非営利団体Electronic Frontier Foundation（EFF）はここ7年間、毎年ユーザーのプライバシー保護への取り組みという観点で大手テック企業を五つ星で評価をし、その成績を公開しています。 と、ユーザーのプライバシー保護というと｢ああ、データを暗号化しているかとかそういうのね、そりゃしてるでしょ｣と簡単に片付けてしまいそうですが、違うんです。アメリカでのプライバシー保護の最前線は｢政府機関の個人情報取得からどれだけ守ってくれるか｣にシフトしているんです。今回発表されたレポートには次のように書かれています。
Mailsploitは何が脅威なのかを考えてみる その1 - nakansukeのブログ
SendGridエバンジェリストの @nakansukeです。 ここ数日メール周りではMailsploitが注目を浴びてますね。海外出張中だったため若干出遅れてしまいました。。 ‘MAILSPLOIT’ LETS HACKERS FORGE PERFECT EMAIL SPOOFS (by WIRED) メール送信者を偽装できる脆弱性「Mailsploit」が発見される、多くのメールクライアントに影響 (INTERNET Watch) メールソフト多数で「Mailsploit」の脆弱性発覚--スパム対策も回避 送信元を偽装できる脆弱性Mailsploit、30以上のメールソフトに影響 (ITpro) 「送信元を偽装できる」のはメールのもともとの仕様でありどうも脆弱性ということで不用意に騒ぎすぎているように思います。なので、Mailsploitのどこにどういう脅威があるのか整理したいと思いま
Masato Kinugawa Security Blog: U+2028/2029とDOM based XSS
ECMAScriptの仕様では、0x0A/0x0D以外にU+2028/2029の文字も改行とすることが明記されています。 これはあまり知られていないように思います。 以下はアラートを出します。 <script> //[U+2028]alert(1) </script> 知られていないだけでなく、知っていたとしても、スクリプトで文字列を処理するときに、U+2028/2029まで考慮する開発者がどれだけいるのかという話です。 実際、U+2028/2029を放り込むと文字列リテラル内にその文字が生のまま配置され、エラーが出るページは本当にたくさんあります。まあ、エラーがでるだけなら、大抵の場合大きな問題にはなりません。 ところが、U+2028/2029によってXSSが引き起こされてしまう場合というのを最近実際に見ました。 Googleのサービスで見つけた2つのケースを取り上げたいと思います。 ケ
Nasty Android Malware that Infected Millions Returns to Google Play Store
HummingBad – an Android-based malware that infected over 10 million Android devices around the world last year and made its gang an estimated US$300,000 per month at its peak – has made a comeback. Security researchers have discovered a new variant of the HummingBad malware hiding in more than 20 Android apps on Google Play Store. The infected apps were already downloaded by over 12 Million unsusp
SECCON 2016
"SECCON Beginners盛岡"登録開始しました→追加登録受付中！2017年6月19日 15:57 2週連続SECCON Beginnersの1週目は6月24日（土）の盛岡で開催です。今年度は仙台でも開催を予定しているので、東北の皆さんはぜひ参加してください。 盛岡では盛岡情報ビジネス専門学校様のご協力のもと、SECCON Beginnersのワークショップを開催いたします。 盛岡では簡単な交流会と昨年度の決勝大会で販売したSECCONグッズも数量限定ですが販売します。 Tシャツ：2,000円、パーカー：5,000円、ステッカー：100円（キラキラモデル） 参加費は無料ですのでどなたでもご参加いただけますが、応募者多数の場合は抽選とさせていただきます。 全文表示 2週連続SECCON Beginnersの2週目は7月1日（土）の名古屋で開催です。 名古屋での開催は多くの方から期待さ
[PDF]DNS水責め（Water Torture） 攻撃について /2014年9月27日 SECCON 2014 長野大会 DNS Security Challenge 株式会社日本レジストリサービス（JPRS） 森下 泰宏（Yasuhiro Orange Morishita）
Copyright © 2014 株式会社日本レジストリサービス 1 DNS水責め（Water Torture） 攻撃について 2014年9月27日 SECCON 2014 長野大会 DNS Security Challenge 株式会社日本レジストリサービス（JPRS） 森下 泰宏（Yasuhiro Orange Morishita） 最終更新：2014年10月2日 どんな攻撃なのか？ • 2014年1～2月頃から世界的に観測され始めた、 DNSサーバーに対するDDoS攻撃の手法 – 攻撃は現在も続いている模様 • 2014年6～7月にかけて国内の複数のISPで発生 した「DDoS攻撃によるDNS障害」の原因の多く は、この攻撃によるものであったと考えられる – 複数の状況証拠 – 複数のISP関係者からの伝聞 Copyright © 2014 株式会社日本レジストリサービス 2 攻撃の
What's VISA Problem
What's New! 後日談 虚しきインターネットの宴 (中京大学評論誌 八事 No.22,Mar.20,2006) VISA問題 VISA問題の詳しい経緯(English only) VISA問題の簡単な解説 他の事例 消防庁 他の事例は追って報告(するかも、、、) '06/10/17現在、約5万JPドメイン(約78万JPドメイン中)をサンプリング調査してみると、107ドメインにNXDOMAINなNSレコードが存在しており、そのうち数個のJPドメインがいますぐハイジャック可能であることを把握しています。 JPRSの対応後もほとんど問題は解決しなかったため、危険そうなところについて直接あるいはIPAを通して連絡を進めています。 有益なリンク DNSの不適切な運用が生むドメインハイジャックの危険性について(E-ONTAP管理人) DNS(前野さん) 推奨 DNS/Security(前野
理解してるつもりの SSL/TLS でも、もっと理解したら面白かった話 · けんごのお屋敷
apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH
インターネット10分講座：DNSキャッシュポイズニング - JPNIC
今回の10分講座は、最近になって新たな攻撃方法が発見され、対応の緊急性が高まったDNSキャッシュポイズニングについて解説します。 DNSの問い合わせの流れ まずはじめに、DNSではクライアントがどのようにドメイン名の情報を得るのか、その流れについて説明します（図1）。 エンドユーザーのPCなどのDNSを利用するクライアントから、問い合わせを行うネームサーバに対し、問い合わせを依頼します。 依頼を受けたネームサーバは、問い合わせ内容を元に、ルートサーバから委任をたどりながら順に問い合わせを行い、目的のドメイン名情報を持つ権威サーバから結果を取得します。 依頼を受けたネームサーバは、問い合わせの結果をクライアントへ返答します。 図1：DNS 問い合わせ DNSのキャッシュ 問い合わせを処理するネームサーバは、処理の途中で得たドメイン名の情報を一時的にローカルに保存することができます。この処理を
VPS 借りたら、せめてこれくらいはやっとけというセキュリティ設定 - dogmap.jp
さくらのVPSやら、ServersMan@VPS やらの出現で、やたらと敷居のさがった感のある VPS 。 かく言うこのサーバもめ組VPSで運用されてるわけですが、VPSを既存のレンサバ感覚で使ってる人にせめてこれくらいのセキュリティ設定はやっておいたほうが良いよっていうお話です。 今回、対象にする OS は CentOS です。 さくらVPS 借りて Ubuntu とか、別の OS で運用するような中上級者は自分でできるよね。 リモートからの root ログインを無効にする ssh 経由で root でログインして作業したりしてませんか？ これ root パスワードが破られたら、サーバが乗っ取られちゃうので、大変に危険です。 root ログインを無効にして、権限のあるユーザでログインしてから sudo or su して作業するようにしましょう。 root ログインを無効にする方法は、こん
今時のShellcodeとセキュア／防御的プログラミング
(Last Updated On: 2018年10月12日)コンピュータセキュリティのことを考えるとShellcode（シェルコード）のことを忘れる訳にはいきません。Shellcodeとはバッファーオーバーフローを利用してコンピューターに任意コードを実行させるコードの総称です。そもそもは/bin/shなどのシェルを奪うコードが主だったので、この種のコードはShellcodeと呼ばれています。現在はシェルを奪う物だけでなく、他の操作を行う物もShellcodeと呼ばれています Shellcodeを作る方は、山があるから登るのと同じで、Shellcodeが作れるから作る、のだと思います。 私個人はShellcodeを作ること、使うことに全く興味はないです。しかし、Shellcodeとそれを利用した攻撃は、防御の為に興味を持っています。簡単に今どきのShellcodeはどのようになっているのかま
ServerMan@VPSでのOpenSSH設定
やっぱしリモートでマシン管理の起点はSSHでFAだろ、つーことで今回はOpenSSHの設定について。(CentOSのSSHサーバがOpenSSHなのでOpenSSHの設定について書く) SSHはリモートにあるUnix系マシンへの安全なログイン方法としてのデファクトスタンダードであるが、デファクトスタンダードなだけに、攻撃者に狙われる確率も高い。 例えば以下は /var/log/secure* を invalid で grep した結果の一部だが、oracle や test, admin, mysql など、ありがちなアカウントに対してアタックが仕掛けられていることがわかる。このサーバは 4/15 午後から運用しているのだが、1日もたたずに最初のアタックを仕掛けられているわけだ。 root@bangasa# grep invalid /var/log/secure* |head /var/l
12月27日追記・お詫びと訂正あり：「.vvv」ウイルスの被害と対策（三上洋） - エキスパート - Yahoo!ニュース
★12月27日追記 「.vvv」ウイルスについて以下の記事で、続報しております。ご参考までに。 ・暗号化で身代金要求「ランサムウェア」対策：読売新聞サイバー護身術 2015/12/27 →vvvウイルスなどのランサムウェアの対策、及び被害にあった場合の対処をまとめ ・「ｖｖｖウイルス」被害…添付ファイル、改ざんソフトで拡大：読売新聞サイバー護身術 2015/12/11 →vvvウイルスがTwitterなどで問題になった経緯とお詫びです。 ★12月11日追記（お詫び） いわゆる「.vvv」ウイルスについて、この記事で「ウェブサイト上の不正広告が原因」と取り上げましたが、セキュリティ各社の調査によると、不正広告による被害は確認できず、とのことでした。 筆者の調査不足、および誤認によるもので、大変申し訳ありませんでした。お詫びし、訂正します。 このランサムウェアが問題になる2日前に、偶然にもトレ
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
『例えば、PHPを避ける』以降PHPはどれだけ安全になったか
この記事はPHPアドベントカレンダー2014の22日目の記事です 。 2002年3月に公開されたIPAの人気コンテンツ「セキュアプログラミング講座」が2007年6月に大幅に更新されました。そして、その一節がPHPerたちを激しく刺激することになります。 (1) プログラミング言語の選択 1) 例えば、PHPを避ける 短時日で素早くサイトを立ち上げることのみに着目するのであれば、PHPは悪い処理系ではない。しかし、これまで多くの脆弱性を生んできた経緯があり、改善が進んでいるとはいえまだ十分堅固とは言えない。 セキュアプログラミング講座（アーカイブ）より引用 「PHPを避ける」とまで言われてしまったわけで、当然ながらネット界隈では炎上を起こし、現在はもう少しマイルドな表現に変わっています(参照)。 本稿では、当時のPHPの状況を振り返る手段として、この後PHPのセキュリティ機能がどのように変化
PHPの脆弱性を検出するソリューションを作る - Qiita
モチベーション Webアプリの脆弱性を検出するアプリケーションをオープンソースで出せば、サポートで儲かるかなと思って作ります。 ちなみに、PHP言語とかの使い方を説明したものではなく、構想を描いたもので、PHPの勉強したい人が読んでも役に立たない可能性があるから注意 脆弱性検出の原理 とりあえず、今考えているシステムは、機械学習によりソフトウェアの脆弱性を検出しようというもので、基本的にはMITライセンスのオープンソースで作ろうとしている。 機械学習においては、トレーニングセット、特徴抽出などが必要になる。僕は、脆弱性の種類ごとにそれぞれのトレーニングセット、特徴抽出をしようと思う。 こうなると、スキャンの時にかなりのコンピューティングパワーを使うことになりそうだが、まあ仕方がない。 特徴抽出 とりあえず、SQLインジェクションの特徴抽出を書いていこうかと思う。 とりあえず、ファイルの中か
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHubへの社内からのアクセスをブロックする会社 | スラド IT
OSSの脆弱性を探すためにやったこと
Bug Bounty Program List | Bugcrowd
フリーでやろうぜ！セキュリティチェック！
