IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
平成24年度春期情報セキュリティスペシャリスト試験のXSS問題 | 水無月ばけらのえび日記
公開: 2012年4月30日13時35分頃 今年の春の情報処理技術者試験の問題が公開されていますね。 平成24年度春期(1)試験 問題冊子・解答例・採点講評・配点割合 (www.jitec.ipa.go.jp)面白いと思ったのは「情報セキュリティスペシャリスト試験」の午後Ⅰの問1。こういうコードがあります。 out.println("<a name=\"#\" onclick=\"alert('" + escape(word) + "')\">"); out.println("previous search word"); out.println("</a>"); 以上、平成24年度 春期 情報セキュリティスペシャリスト試験 午後Ⅰ 問題 図4(続き) より
サイバーセキュリティ注意喚起サービス「icat for JSON」：IPA 独立行政法人 情報処理推進機構
サイバーセキュリティ注意喚起サービス「icat for JSON（アイキャット・フォー・ジェイソン）（注釈1）」は、IPAが公開した「重要なセキュリティ情報」をリアルタイムに配信するサービスです。 本サービスをウェブサイト上で活用することにより、IPAが公開した最新の「重要なセキュリティ情報」の一覧を自動的に取得・表示することができるようになります。組織のポータルサイトや会員向けウェブサイト上などに設置をすることで、ウェブサイト利用者に向けてセキュリティ対策をリアルタイムに周知することが可能になります。利用方法は下記の機能概要を参照ください。 コンセプト icat for JSON 機能概要 ウェブページにHTMLタグを埋込むことで、IPAから発信する「重要なセキュリティ情報」とリアルタイムに同期できます。 本ツールの特長は以下の通りです。 表示方法は「縦表示」または「横表示」の指定が可能
「2010年度 国内における情報セキュリティ事象被害状況調査」報告書について：IPA 独立行政法人 情報処理推進機構
近年、組織の情報システムや情報資産をターゲットとした攻撃が巧妙になってきており、防衛関連産業界を狙った標的型攻撃が発生するなど、組織の情報システム等は危険にさらされています。このような状況の中、最新の情報セキュリティ被害の動向や対策の実施状況を把握し、適切な普及・啓発活動に役立てるため、「2010年度 国内における情報セキュリティ事象被害状況調査」を実施しました。本調査は、1989年度から毎年行っており、今回で22回目になります。 2010年度は、12,000企業を対象としたアンケート調査を行い、1,642社から回答を得ました。 1. 調査概要 （1） 調査対象：業種別・従業員数別に抽出した12,000企業 （2） 調査期間：2011年8月～10月（調査対象期間は2010年4月～2011年3月） （3） 調査方法：郵送調査法 （4） 回収結果：1,642件（有効回収率13.7%） （5）
入札公告 「ソースコードセキュリティ検査ツール開発」に係る一般競争入札：IPA 独立行政法人 情報処理推進機構
予算決算及び会計令（以下「予決令」という。）第70条の規定に該当しない者であること。なお、未成年者、被保佐人又は被補助人であって、契約締結のために必要な同意を得ている者は、同条中、特別の理由がある場合に該当する。
国内のインターネットバンキングで不正アクセスが相次いでいる問題について：IPA 独立行政法人 情報処理推進機構
第11-29-227号 最終更新日：2011年8月3日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター(IPA/ISEC) 2011年6月下旬以降、日本国内のインターネットバンキングにおいて、不正アクセスの被害件数が増加しています。現在、地方銀行を中心に20件以上の注意喚起が行われています。それらによると、不正アクセスに使われている手口は不審メールやスパイウェアによるものであり、これによりパスワードなどの顧客情報を不正に窃取され、実際に振込被害が発生しているという状況です。 インターネットを利用する際は、「セキュリティパッチを定期的に適用する」、「極力新しいバージョンのソフトウェアを使用する」、「不審なサイトや心あたりのないメールは開封しない」などの利用上の注意事項を常に心がける必要があります。さらに、インターネットサービスを利用する上で大事な鍵となるパスワードをいかに保護し
セキュリティ＆プログラミングキャンプ2011
セキュリティ＆プログラミングキャンプ2011実施報告会（仮称）開催決定 2011年11月16日 2011年12月17日（土）秋葉原で、セキュリティ＆プログラミングキャンプ2011実施報告会（仮称）を開催いたします。（参加費無料） プログラム等の詳細は、近日中に発表いたします。 セキュリティ＆プログラミングキャンプ2011が終了しました 2011年8月16日 セキュリティ＆プログラミングキャンプ2011は、8月14日(日)の閉講式をもって全ての日程を無事終了いたしました。 参加者のみなさんの、充実感に満ちあふれたキラキラした笑顔が印象的な閉講式でした。 セキュリティ＆プログラミングキャンプ実行委員および講師、ファシリテーター、チューターの皆さま、また運営事業者や会場のスタッフの方々など、ご協力いただきました多数の皆さまに感謝申し上げます。
プレス発表 ウェブサイトの脆弱性対策に関する注意喚起：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、ウェブサイトに対する攻撃事件が目立っていることを受け、ウェブサイト運営者に広く対策の徹底を呼びかけるため、注意喚起を発することとしました。 近年、ウェブサイトを用いたサービスが増加、多様化しており、企業活動の中核として位置づけられているものも少なくありません。こうしたサービスでは、製品やサービス提供の決済機能を有するものが多く、氏名や住所、電話番号などの個人情報のほか、クレジットカード情報など重要な情報が取り扱われています。他方、これらのサービスに対する妨害行為や、企業が保有する重要情報の奪取を意図した悪質な行為が目立ってきています。これらの事件の中には、ウェブサイトの脆弱（ぜいじゃく）性を狙った攻撃によって情報が漏えいし、事業の継続に多大な影響を及ぼす結果となったものも複数存在します。例えば、2010年には、アウトドア用品のサ
プレス発表 「安全なウェブサイトの作り方 改訂第5版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、ウェブサイトの開発者・運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方」に、携帯電話向けウェブサイトに関する注意点4項目などを追加した改訂第5版を、2011年4月6日（水）からIPAのウェブサイトで公開しました。 URL： http://www.ipa.go.jp/security/vuln/websecurity.html 国内の携帯電話向けウェブサイト（以下「携帯サイト」）には、携帯ID（*1）を用いたいわゆる「かんたんログイン」機能等、セキュリティ上特有の問題点があり、情報セキュリティの研究者などから、情報漏えいにつながる可能性が指摘されていました。2010年10月には、指摘されていた問題が原因となり、宅配便サービスの顧客向け携帯サイトで個人情報漏えい事故が発生しています。
「2011年版 10大脅威 進化する攻撃．．．その対策で十分ですか？」を公開 | アーカイブ | IPA 独立行政法人 情報処理推進機構
本解説書は、2010年にIPAへ届け出のあったセキュリティ情報や一般報道を基にして、情報セキュリティ分野の研究者や実務担当者127人で構成する「10大脅威執筆者会」で纏めたものです。 本解説書は3章構成となっており、第1章では2010年に実際に発生したセキュリティの被害事例を基に組織へのビジネスインパクトを考察しています。第2章では、2010年に「社会的影響が大きいもの」「特徴的であったもの」「印象が強かったもの」などの観点から「10大脅威執筆者会」の構成メンバーによる投票で選定した10の脅威について、脅威の概要と影響を解説しています。第3章では、10の脅威に対するセキュリティ対策の考え方や方向性について解説しています。 近年の情報セキュリティを取り巻く状況の理解や、今後の対策の参考になることを期待します。次のPDF資料をダウンロードの上、参照下さい。 資料のダウンロード 2010年の特徴
プレス発表 「安全なウェブサイトの作り方」のダウンロード件数が250万件を突破：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、セキュリティを考慮したウェブサイトを作成するための資料「安全なウェブサイトの作り方」のダウンロード件数が累計250万件を突破したことを発表します。 URL： http://www.ipa.go.jp/security/vuln/websecurity.html 「安全なウェブサイトの作り方」は、脆弱性届出制度(*1)によってIPAに届出られた脆弱性情報を基に、ウェブサイトの開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための情報をまとめた資料です。攻撃による影響が大きい、または数多くのウェブサイトに存在している脆弱性を作り込まないよう、脆弱性の原因を根本から作らない方法について説明しています。また、脆弱性届出において実在した誤った対策例についての解説および修正例を示しています。 本資料は、2006年1月からI
「情報セキュリティ読本 三訂版」教育用スライド資料・まとめと演習：IPA 独立行政法人 情報処理推進機構
企業内での社員教育、学校での授業、各種セミナーや研修などで利用できるように、テキストに準拠したPowerPointのファイルを作成しました。 また、まとめと演習問題のファイルは、講師用と生徒用の2種類を作成しました。 このファイルには、1章から6章まで、各節の各項目ごとに、要点をまとめ、演習問題をつけています。 教師用には、演習問題の解答と解説も掲載しています。 章別ダウンロード 第1章 今日のセキュリティリスク （554KB）/ (287KB) 1.1 今日のセキュリティリスク 1.2 危険の認識と対策 第2章 情報セキュリティの基礎 （390KB）/ (375KB) 2.1 情報セキュリティとは 2.2 外部のリスク要因 2.3 内部のリスク要因 2.4 情報リテラシーと情報倫理 第3章 見えない脅威とその対策-個人レベルのセキュリティ対策- （1,981KB）/ (1,826KB
コンピュータウイルス・不正アクセスの届出状況[2010年11月分]について：IPA 独立行政法人 情報処理推進機構
第10-44-202号 掲載日：2010年12月 6日 独立行政法人情報処理推進機構 セキュリティセンター(IPA/ISEC) IPA (独立行政法人情報処理推進機構、理事長：藤江 一正)は、2010年11月のコンピュータウイルス・不正アクセスの届出状況をまとめました。 (届出状況の詳細PDF資料はこちら) 2009年から2010年にかけて猛威を振るったガンブラー※1ではウェブサイトを閲覧しただけで、利用者のパソコンにウイルスを感染させられてしまう"ドライブ・バイ・ダウンロード（Drive-by Download）"攻撃の手法が使われていましたが、この手法を用いて国内の多数のウェブサイトに影響を及ぼした新たな攻撃が、2010年9月と10月に相次いで発生しました。今後も様々な形で"ドライブ・バイ・ダウンロード"攻撃が行われると思われるため、引き続き注意が必要です。 ここでは、改めて"ドライブ
「ガンプラー」連呼のズッコケ事業仕分け | 水無月ばけらのえび日記
公開: 2010年11月27日20時0分頃 IPAの事業が事業仕分けの対象となって議論されたそうで。Ustreamに録画があるというので見てみました……「行政刷新会議 事業仕分け WG-B B-26 （独）情報処理推進機構 経済産業省 (www.ustream.tv)」。 まず吹いたのが29分過ぎあたりからのシーン、ウィルス対策事業の効果についての議論でGumblarの名前が出ているところです。私はこの前のCSS Nite in Ginza, Vol.52 (cssnite.jp)で「ガンプラーじゃないよ」というネタをやったわけですが……この録画では、勝間和代さんと思われる方が……何度聞き直しても「ガンプラー」と言っているように聞こえるのですよね……。他の人は「ガンブラー」と言っているのに、何度も何度も「ガンプラー」と連呼しているという光景が、あまりにも衝撃的でした。 CSS Nite i
『ウェブ運営者向けセキュリティ対策セミナー』
本日は駒込と巣鴨の間でセミナーに出席。 ウェブ運営者向けセキュリティ対策セミナー IPAセキュリティセンター 7月14日（水）午後2時から午後5時 1.IPAの取り組みからわかるウェブサイトの脆弱性対策の実情 2.脆弱性により引き起こされた被害 3.安全なウェブサイト開発のための企画・発注・要件・検収 4.安全なウェブサイト運営のためのWAF WAF : Web Application Firewall ウェブアプリケーションの脆弱性を悪用した攻撃など からウェブアプリケーションを保護するソフトウェアまたは ハードウェア 5.IPAコンテンツ 6.質疑応答 情報セキュリティ対策の基礎知識のCDを会場でもらう（希望者）。 CDの中身（今晩は電話会議があるから明日みてみよう） ・5分でできる！情報セキュリティポイント学習 ・安全なウェブサイト運営入門 ・15分でわかるウィルスの脅威 ・ウィルス
プレス発表 「安全なウェブサイトの作り方 改訂第4版」の英語版「How to Secure Your Web Site 4th Edition」を公開 を公開：IPA 独立行政法人 情報処理推進機構
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、ウェブサイト開発者や運営者が、適切なセキュリティ対策を考慮したウェブサイトの作成が行えるようにすることを目的にまとめた資料です。この資料には、届出件数の多かった脆弱性や攻撃による影響の大きい脆弱性を取り上げており、安全なウェブサイト作成の参考にすることができます。 英語環境下でのウェブサイト開発者が、適切なセキュリティ対策を考慮したウェブアプリケーションの実装が行えるよう「安全なウェブサイトの作り方」の英語版の公開を望む声がIPAに寄せられています。今回の英語版は、2010年1月20日に公開した「安全なウェブサイトの作り方 改訂第4版」を英訳したもので、内容は日本語版と同様です。 第3版から第4版への改訂内容は次のとおりです。 英語版第3版（3rd Edition）で2項目あった失敗例に4項目を追加し、合計
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
経路のセキュリティと同時にセキュアなセッション管理を：IPA 独立行政法人 情報処理推進機構
【魚拓】IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第7章 エコーバック対策：スクリプト注入: #1 対策
ウェブ運営者向けセミナー開催のお知らせ：IPA 独立行政法人 情報処理推進機構
はてなブログ | 無料ブログを作成しよう
