GitLabで1クリックアカウント乗っ取りが可能だった脆弱性から学ぶ、OpenID Connect実装の注意点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。 最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービスで見かけると思います。しかし、OpenID Connectの仕様をよく理解せずに不適切な実装を行うと脆弱性を埋め込むことがあります。 そこで、突然ですがクイズです。以下のTweetをご覧ください。 ⚡️突然ですがクイズです！⚡️ 以下の画面はOAuth 2.0 Best Practice上は推奨されないような実装になっており、潜在的リスクがあります。https://t.co/bXGWktj5fx どのようなリスクが潜んでいるか、ぜひ考えてみてください。このリスクを用いた攻撃についての解説記
「ZIPで送ります。パスワードはあとで送ります」は、一体なぜダメなのか
平井卓也デジタル改革担当相は2020年11月17日、中央省庁の職員を対象に「パスワード付きZIPファイル」の送信ルールを廃止する方針を明らかにしました。政府の意見募集サイト「デジタル改革アイデアボックス」に投稿された意見を採用したものです。 この流れに乗り、クラウド会計ソフトを提供するfreeeは、2020年12月1日から対外的に「メールによるパスワード付きファイルの受信を廃止する」と発表しました。メールは、当然ですが受信者がいれば送信者がいます。そのため“受信しません”と表明をすることは重要でしょう。 freeeは今後、パートナー企業や取引先からのZIPファイル付きメールを添付ファイルを削除して受信するとのことです。本文はそのまま維持されるため、これで困ることはないと思われます。 プライバシーマーク制度を運営する日本情報経済社会推進協会（JIPDEC）は、2020年11月18日に「メール
パスワードの定期的変更がセキュリティ対策として危険であること | まるおかディジタル株式会社
【これは約 16 分の記事です】 （2015年の投稿のため、リンク切れや情報が古くなっている部分が一部ございます） 定期的なパスワード変更を奨めるサービス提供者や行政 ID・パスワードが流出する事件を受け、提供者や行政提供者側からユーザに対してセキュリティ対策の実施を喚起しています。 IDとパスワードの適切な管理 ：警視庁（リング切れ） この中で、「パスワードの定期的変更」がうたわれています。このパスワードの定期変更については、セキュリティ対策として余り有効ではないという方は結構いらっしゃいます。 パスワードの定期的変更に関する徳丸の意見まとめ http://tumblr.tokumaru.org/post/38756508780/about-changing-passwords-regularly 実際、パスワードはどれくらいの頻度で変えるべきですか？ ｜ ライフハッカー［日本版］ ht
アンチウイルス、アンチスパム、盗難防止、システム監視などがひとまとめになったAndroid用セキュリティツール『ESET Mobile Security』 | ライフハッカー・ジャパン
Android：『ESET Mobile Security』は、セキュリティーやプライバシー対策に必要なツールが1つにまとめられたアプリ。アンチウイルス、マルウェアスキャン、着信・SMS・MMSのブラックリスト作成、盗難防止機能などにメイン画面からアクセスできます。 ビルトインシステム監視機能も付いており、実行中の処理とそれぞれのリソース使用量も表示されます。このアプリは今のところまだベータ版ですが、見映えと同じくらいスムースに動作してくれます。しかも無料です。 ESETのアンチウイルススキャンは、業界の中でも最も信頼されているものの一つです。しかも、携帯版だからといってあらゆる機能が削られているというわけでもありません。 フルシステムスキャンは随時可能で、ダウンロード中のファイルをバックグラウンドでスキャンすることもできます。ベーシックスキャンはデフォルトで有効になっていますが、SDカー
フリーの圧縮・解凍ソフトに脆弱性、ユーザーはアップデートを
情報処理推進機構（IPA）とJPCERTコーディネーションセンターは10月12日、フリーの圧縮・解凍ソフト「Lhasa」や「Lhaplus」にそれぞれ脆弱性が発見されたとして、セキュリティ情報を公開した。 Lhasaで確認された脆弱性は、実行ファイルを読み込む際のファイル検索パスに関する問題から、意図しない実行ファイルを読み込んでしまうもので、バージョン0.19以前に存在する。Lhaplusの脆弱性は、DLLを読み込む際の検索パスに関する問題から意図しないDLLを読み込んでしまうもので、バージョン1.57以前に存在する。いずれの脆弱性も、プログラムを実行している権限で任意のコードを実行される可能性がある。 それぞれのソフトの開発者は、脆弱性を修正したバージョン（Lhasaは0.20、Lhaplusは1.58）を公開済み。ユーザーに早期の適用を呼び掛けている。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
We Choose the Moon: Celebrating the 40th Anniversary of the Apollo 11 Lunar Landing