How To：「Heartbleed」から身を守るには--セキュリティ専門家に聞く
「Heartbleed」と呼ばれる新しい重大なセキュリティ上の脆弱性が米国時間4月7日夜に明らかになり、ウェブ全体に深刻な影響が示唆されている。このバグによって、ユーザー名、パスワード、クレジットカード番号といった個人データをはじめ、慎重に扱うべきユーザーデータが保管されているサーバのメモリから、データを取得されてしまうおそれがある。 これは極めて深刻な問題であり、インターネット調査会社Netcraftによれば、約50万台のサーバに影響があるという。本記事では、自分の情報を保護するためにできることについて、米CNETがセキュリティの専門家に聞いた方法を紹介する。 影響を受けているサイトのアカウントには、その企業が問題にパッチを適用したことを確認できるまでログインしないこと。セキュリティとコンプライアンスを専門とするTrustWaveのセキュリティリサーチマネージャーであるJohn Mill
slideshareにはいつの間にかに他のユーザーでログインしている致命的なバグがある - UNIX的なアレ
先ほど気づいたのですが、かなり危険なバグかつ脆弱性なので手短に共有します。 他人でいつの間にかログインしていた facebook上のTLに流れてきたslideshareへのリンクを踏んで普通に資料を読んでいました。最初は気付かなかったのですが、なぜか右上にあるアイコンが自分のものではないアイコンが出ています。 ウチの会社の社長のアカウントなのですが、意図せずに勝手にユーザーアカウントが切り替わっています。 コメントも可能 ちょっと下にいくと、コメントができる欄がありますがここにも自分のアカウントではなくアカウントに切り替わっています。アイコンのURLが同一だからキャッシュしているなどではなく、完全に別ユーザーとしてログインをしている状態になっています。非常に危険な状態。 この時点で明らかにおかしいので本人に伝えました。 ※上記のキャプチャはコメント後に取得したキャプチャです。 コメント投稿
各種ブラウザーで Java (applet) を無効にする方法
こちら（米国）では、見つかった Java のセキュリティホール（＋それを利用した実際のアタック）が大問題になり、米国政府が「ただちに Java を無効にするように」と声明を出し（参照）、全国ニュースでも大きく取り上げられている。 実質的な危険があるのは Java applet なのだが、Java と Java applet の違いの分からない報道機関は、大々的に「Java が危険」と報道しており、Sun Microsystems を買収して Java を入手した Oracle にとっては大きなブランドイメージの損失だ。Oracle は火曜日には５６カ所のセキュリティホールを塞いだパッチを提供するそうだが、そんなパッチでは、今回作られてしまった「Java は危ない」というイメージは拭えない。 どのみち、Java applet にはほとんど価値がないので、これを機会に無効にする人も多いようだ（
最新版クレジットカードおすすめランキング！すぐに使えるのはこれ！
この記事では、最新版クレジットカードおすすめランキング10選について解説します。 クレジットカードは、商品を購入する際に所持金がなくても後から代金が支払えるカードです。 ポイント還元などさまざまな特典があるクレジットカードですが、カードによって特徴が異なるため、あなたに合うクレジットカードを選択するのは容易ではありません。 この記事で分かること オススメクレジットカードを口コミや年会費、ポイント還元率で選出 ポイント還元率が0.5％以上は還元率がよい ポイントアップがあるクレジットカードはポイントが貯まりやすい クレジットカードを初めて発行する人は年会費やポイント還元率に注目する 旅行や出張が多い人は旅行傷害保険が手厚いクレジットカードを選択する セキュリティを重要視する人はナンバーレスカードを選択する 2枚目のクレジットカードを作成する際は1枚目にない特典があるカードを選択する それぞれ
WordPress使いならこれだけはやっておきたい本当のセキュリティ対策10項目
どうも、ブルーです。秋ですね。 季節がめぐるごとに「WordPressがクラックされたので、セキュリティ対策について調べてみました」的なブログ記事がソーシャル上で出まわり、そのたびにWordPressを扱うデベロッパー層が「また無意味な対策がはてブされてる…」と嘆くのが恒例行事のようになっております。例えば… 「WordPressのバージョンを隠す」 「データベースのプレフィクスを変更する」 「サブディレクトリーにインストールする」 うん、気休め程度かな… 「2年以上放置されている怪しげなセキュリティ対策プラグインを入れる」 そっちのほうがこええよ！ 「サーバーのディレクトリー一覧の非表示」 それ見えちゃってるサーバー管理者では、何しても不安だよ！ とはいえ、そう思いつつも「これが決定版だ！」的な記事を書くのは勇気がいるものです。特にセキュリティ業界は怖いお兄さんが多…うわ何をするやめr
CSRFによる冤罪、誤認逮捕か。大阪市ウェブに大量殺人予告での逮捕の件: ホットコーナー
ブログ(iiyu.asablo.jpの検索) ホットコーナー内の検索 でもASAHIネット(asahi-net.or.jp)全体の検索です。 検索したい言葉のあとに、空白で区切ってki4s-nkmrを入れるといいかも。 例 中村(show) ki4s-nkmr ウェブ全体の検索 ASAHIネット(http://asahi-net.jp )のjouwa/salonからホットコーナー(http://www.asahi-net.or.jp/~ki4s-nkmr/ )に転載したものから。 --- 橋下徹市長の大阪市のウェブで「大量殺人をする」と投稿したという容疑で、 アニメ演出家が逮捕された件。 たとえば、 http://mainichi.jp/select/news/20120827k0000m040038000c.html 殺人予告:大阪市ＨＰに書き込んだ疑いで４２歳演出家逮捕 http://
CSRF | 鳩丸ぐろっさり (用語集)
用語「CSRF」についてCSRF (しーえすあーるえふ)話題 : セキュリティ CSRF は Cross Site Request Forgeries の略です。"forgery" は偽造の意味で、サイトをまたがって捏造された攻撃リクエストを送信する、という程度の意味になります。 ※ちなみに、CSRF は「シーサーフ」と発音するのだという説もありますが、少なくとも日本では「しーえすあーるえふ」と呼ぶ方が主流のようです。 たとえば、blog などは Web 上の管理画面で記事の削除ができるようになっています。削除を実行するには、削除を行うような HTTP のリクエストをサーバに送れば良いのですが、この画面は Cookie なり、Basic 認証なりでアクセス制御がされています。そのため、正規のユーザ以外が削除のリクエストを送っても何も起きません。ログイン済みの正規のユーザが「削除」のリクエス
PHPプロ！PHP講座新着順
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
パスワードの入力さえ不要なWebブラウザ用公開鍵認証技術·TrustAuth MOONGIFT
TrustAuthはWebサイトにおける公開鍵を使った認証システムです。 Webサイトを使う際の認証と言えばログインIDとパスワードを使ったものと相場が決まっています。問題があるシステムとは分かっていつつも未だにいい解決策が出てきていません。そこで新しい認証システムとしてTrustAuthを紹介します。 Firefoxアドオンをインストールします。 アドオンの設定です。特に変更することはありません。 こちらはデモサイトです。 ツールバーにビールのアイコンがあります。なぜかデフォルトでは表示されずツールバーのカスタマイズで追加しました。 Unlockを選んで最初にマスターパスワードを決めます。 後はパスワード無用です。demoとユーザIDを指定すればログインできます。 無事ログインできました！ TrustAuthでは公開鍵を使って認証を行います。サーバサイド、クライアントサイドの双方で用意し
Securing Rails Applications — Ruby on Rails Guides
This manual describes common security problems in web applications and how to avoid them with Rails. After reading this guide, you will know: All countermeasures that are highlighted. The concept of sessions in Rails, what to put in there and popular attack methods. How just visiting a site can be a security problem (with CSRF). What you have to pay attention to when working with files or providin
Ruby On Rails Security Guideの訳 : 概要 + 1.Introduction｜株式会社 フラッツ
こんにちは。木村です。 今、Ruby on Rails Securityプロジェクト公式サイトに掲載されている、 Heiko Webers 氏が書いた「Ruby on Rails Security Guide」の訳をしています。 ペースは遅くなるかもしれませんが、1セクションずつ掲載していく予定です。 ということで、今回は第1回。冒頭の概要と「1.Introduction」の訳です。 読みやすいように、原文の単語の意味と違う言葉に置きかえている場合もあります。是非、原文ページと併せて、ご覧下さい。気になる箇所や間違っている箇所があれば、どうかご指摘下さい。 Ruby On Rails セキュリティガイド このマニュアルはWebアプリケーションでの共通のセキュリティ問題とRailsにおいてそれらの回避方法を記述しています。もし、質問や提案があれば、私にメールして下さい。Heiko We
日本の超SFなサイバー攻撃警告システムに世界のネットユーザー大興奮！ 海外の声「攻殻機動隊キター！」
» 日本の超SFなサイバー攻撃警告システムに世界のネットユーザー大興奮！ 海外の声「攻殻機動隊キター！」 特集 日本の研究者たちが開発したサイバー攻撃アラートシステムに、現在世界のネットユーザーが大興奮している。 このシステムの名前は「DAEDALUS（ダイダロス）」といい、これを使えばネットワークが攻撃されている様子をリアルタイムで見られるようになる。詳細は以下の通り。 中心にある球がインターネットを表しており、その周りを回っているサークルの1つ1つが現在観測中のネットワークを表しています。これら、攻撃の様子は、3Dグラフィックで表示され、任意の視点から眺めることが可能です。（DigInfo TVより引用） ここで着目すべき点は、3Dグラフィック！ 「サイバー攻撃をリアルタイムに可視化、警告を発する『DAEDALUS』」という動画にも映し出されているように、このシステムの凄いところはその
潜むセキュリティ問題を事前に暴きだす·Rails Brakeman MOONGIFT
Rails BrakemanはRailsアプリケーションのリポジトリを読み込んでセキュリティチェックしてくれるサービスです。 セキュアなプログラミングをするためのノウハウは幾つかあります。つまりそれに沿って現状のコードを確認すれば、万一のセキュリティインシデントを未然に防げるかも知れません。Railsアプリケーションについてそれを行うのがRails Brakemanです。 プロジェクト詳細。こうやって一覧で確認できます。 セキュリティウォーニング、モデル、ビューのセキュリティウォーニングが出ています。 クロスサイトスクリプティング関係のウォーニングが多いです。 クリックするとどの行における警告か確認できます。 Rails Brakemanでは盲目的にパラメータを放り込んだり、その結果をそのままリダイレクトに使ったりすることを禁じています。なおこのチェックはバグを発見している訳ではなく、セキ
攻撃者側から見た侵入前の事前調査（下見）
メディア ローコード／ノーコードセントラル クラウドネイティブセントラル 連載一覧 ＠IT Special セミナー ホワイトペーパー クラウド AI IoT アジャイル/DevOps セキュリティ キャリア&スキル Windows 機械学習 eBook その他 Server & Storage HTML5 + UX Smart & Social Coding Edge Java Agile Database Expert Linux ＆ OSS Master of IP Network Security & Trust System Design Test & Tools Insider.NET ブログ AI for エンジニアリング サプライチェーン攻撃 脆弱性管理 OSS管理 Windows 11/365 GitHub その他の特集 ＠IT セキュリティ Security & Tru
セキュリティアナリストのつぶやき
2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません(山本一郎) - 個人 - Yahoo!ニュース
Webサイトの閲覧にパスワード制限をかけられるシンプルなWordPressプラグイン・Password Protected
Ruby on Railsのセキュリティの脆弱性
http://www.mnc.waseda.ac.jp/security/server.html