総務省｜報道資料｜「リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）」の公表
昨今、リスト型アカウントハッキングとみられる不正アクセス事案が急増していることに鑑み、総務省では、サイト管理者などのインターネットサービスを提供する事業者が適切な対策を講じることによって、被害の拡大を防ぎ、安心・安全なインターネットの利用環境の確保に資するよう、事業者向けの対策集を作成しましたので公表します。 昨今、国内のウェブサイトに対して、リスト型アカウントハッキング（リスト型攻撃）※とみられる不正アクセス事案が急増しています。 このようなリスト型攻撃に対しては、関係者が適切な対策を講じ、今後の被害の拡大を防ぐことが重要です。このため、総務省では、「情報セキュリティアドバイザリーボード」（参考1）のワーキンググループ（参考2）での議論を踏まえ、サイト管理者などのインターネットサービス提供事業者が、サービスを運営する際に参考にしていただきたいリスト型攻撃への対策集を作成しました。 ※ リ
無料で読める情報セキュリティ文書をまとめてみた - ろば電子が詰まつてゐる
最近は何かとセキュリティ流行りなので、こういうのがあると誰かに便利かなーと思ってまとめてみました。半分は自分用のリンク集です。 一応、取り上げた基準としては、以下の感じ。 日本語であること。 無料でWebで読めること。 「文書」であること（ブログでも有用なものはもちろんたくさんありますが、敢えて外しました）。 セキュリティを学ぼうとする人に役立つもの。 Webラーニングプラザ eラーニング [科学技術振興機構] http://weblearningplaza.jst.go.jp/ 「文書であること」と言いながらいきなり違う気がするけど、これはJSTがやっている無料のeラーニング。「情報通信」のところに、情報セキュリティコースがある。内容はかなり初歩の初歩だけど、高校生など、まずどこから手を付けていいかも分からない……という人にはここからがおすすめかな。 Linuxセキュリティ標準教科書 [
30万台以上のワイヤレスルーターがパスワードや設定を変更するハッキング攻撃を受けていることが判明
By Tod Kurt セキュリティファームのTeam Cymruは、D-Link・マイクロネット・Tenda・TP-Linkなどが個人・小規模オフィス向けに販売している30万台以上のワイヤレスルーターがハッカーから攻撃を受けていることを明らかにしています。 TeamCymruSOHOPharming.pdf(PDF) https://www.team-cymru.com/ReadingRoom/Whitepapers/2013/TeamCymruSOHOPharming.pdf TeamCymruによると、ハッカーはワイヤレスルーターを乗っ取り、コンピューターのドメインネームをIPアドレスに変換するDomain Name System(DNS)サーバーに攻撃を仕掛けたとのこと。ハッカーが使用した攻撃方法はクロスサイトリクエストフォージェリ(CSRF)という、パスワードなどを含むワイヤレス
iOSのセキュリティ、Appleがホワイトペーパーを改訂
改訂版ではアプリセキュリティとインターネットサービスの項目が加わり、iCloudなどのサービスに実装されたデータ保護や不正アクセス防止の仕組みについても解説している。 米Appleは、iOSのセキュリティ対策について解説したホワイトペーパーの改訂版を2014年2月付で公開した。iOSを巡っては、単純なコーディングのミスのために接続の認証がチェックされない重大な脆弱性が発覚したことなどから、改めてセキュリティ対策に注目が集まっていた。 ホワイトペーパーは全33ページ。「システムセキュリティ」「暗号化とデータ保護」「Appセキュリティ」「ネットワークセキュリティ」「インターネットサービス」「デバイスコントロール」などの項目で構成される。 このうち、Appセキュリティとインターネットサービスの項目は、今回の改訂で新たに加わったという。Appセキュリティではアプリのコード署名やランタイムプロセスセ
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
FireEye、iOS 7.0.6に脆弱性を発見 - 不正アプリで端末操作を監視される恐れ
米FireEyeは、iOS 7に不正アプリを使ってユーザーの端末操作を監視できる脆弱性があると同社公式ブログで発表した。脆弱性を悪用されると、ユーザーの入力した情報が流出する恐れがある。 同社は脆弱性を検証するために、iOS 7搭載のiPhone 5s内にユーザーが入力した情報をバックグラウンドで監視するアプリを作成した。検証用のデモでは、不正アプリを使ってタッチパネル、ホームボタン、音量ボタンなどの操作を記録し、外部サーバーに送信できることを確認した。 今回検証を行ったのは、iOS 7.0.4を搭載したiPhone 5sだが、iOS 7.0.5/7.0.6、iOS 6.1.xを搭載したiPhoneにも同様の脆弱性があるという。同社は、これらの脆弱性を悪用されると、ユーザーの情報が流出する恐れがあるとしている。 脆弱性に対する対処法として、同社は「iOS タスクマネージャー」を使ってバック
最新iOSにまたセキュリティホール発見。入力内容全部、傍受されてるかも。
最新iOSにまたセキュリティホール発見。入力内容全部、傍受されてるかも。2014.02.27 07:35 福田ミホ 脱獄してなくても、あやしげなアプリに注意。 iOS 7に大セキュリティホールが見つかり、そのパッチが公開されて間もないですが、新たな穴も見つかっています。セキュリティ会社のFireEyeによると、悪意のアプリが入って入れば、最新バージョン（7.0.6）のiOSでも、iPhoneへの入力が簡単に傍受されてしまうんです。 これまで、同様の問題は脱獄iPhoneでは確認されていましたが、脱獄してなければ大丈夫だと思われてました。FireEyeは自らこの発見を検証すべく、App Storeからダミーの監視アプリを配信し、脱獄していないiPhoneにインストールしました。そして監視アプリをバックグラウンドで動かしていると、他のアプリを使っているときも含めて、全アクションを傍受できてしま
リスクを抱えたサーバ内蔵機器を見つけて――IPAが方法指南
サーバ機能を持つオフィス機器や家電が増加し、不正アクセスなどのリスクも高まっていることから、IPAではツールを使ってこうした機器の把握に努めてほしいとしている。 「Internet of Things」と呼ばれるネット接続環境が広がる中、最近ではWebサーバなどの機能を内蔵するオフィス機器やネットワーク家電が増加し、不正アクセスによる情報漏えいなどのリスクが高まっているという。情報処理推進機構が2月27日、技術解説資料の「増加するインターネット接続機器の不適切な情報公開とその対策」を発表した。こうした機器の把握や対策実施を呼び掛けた。 サーバ機能を内蔵する機器には、例えばWebインタフェースで業務アプリケーションを連携できる複合機や、スマートフォンなどからインターネット経由で操作できるデジタルレコーダーなどがあり、その種類は年々増えている。IPAによれば、機器の設定不備や脆弱性などが原因と
JavaScript文字列のエスケープ
これらの中で注目すべきは ‘ と ” と \ です。シングルクォート、ダブルクオートは文字リテラルを作成する為に利用され、\ でエスケープできることです。つまり、文字リテラルの最後に \ が現れると文字列の終端が無くなります。単独で不正なJavaScriptの挿入が可能になる訳ではありませんが、プログラムの構造が破壊される事を意味します。 PHPにはJavaScript文字列用のエスケープ関数が用意されていません。htmlspecialchars()やhtmlentities()で代用している場合も多いと思います。しかし、これらの関数ではJavaScript文字列のエスケープを十分に行う事ができません。 JavaScriptプログラムの構造が破壊される例 <?php $msg1 = 'test string\\'; $msg2 = ');alert(document.cookie); //
twitter XSS脆弱性の観測記録 - close your eyes...
2010年9月21日に twitter で起きた XSS脆弱性攻撃の個人的な観測記録です。 twitterの現状 対応・修正済み。 Twitter Status - XSS attack identified and patched. Twitterのステータス - XSSアタックについて認識し、パッチによる修復作業を行いました。 Twitter / Del Harvey: The XSS attack should now ... Twitter / Yoshimasa Niwa: 修正作業を行い、先程のXSS問題は修正されました。多 ... この問題は何か スクリプト挿入脆弱性 Script Insertion Vulnerability XSS脆弱性 Cross-Site Scripting Vulnerability どんなバグか URLで、/(slash)に挟まれた@(atmar
Bridge Word
This shop will be powered by Are you the store owner? Log in here
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログ
ライブドアブログからのお知らせ
まとめよう、あつまろう - Togetter
tsukaisute.net