本ガイドでは、Webアプリケーション全般におけるセキュリティの問題と、Railsでそれらの問題を回避する方法について説明します。 このガイドの内容: Rails組み込みの認証機能ジェネレータの利用法 本ガイドで取り上げられている問題に対するあらゆる対策 Railsにおけるセッションの概念、セッションに含めるべき項目、有名なセッション攻撃 Webサイトを開くだけで（CSRFによる）セキュリティ問題が発生するしくみ ファイルの取扱い上の注意、管理インターフェイスを提供する際の注意事項 ユーザーを正しく管理する（ログイン・ログアウトのしくみ、あらゆるレイヤにおける攻撃方法） 最も有名なインジェクション攻撃方法の解説 1 はじめに Webアプリケーションフレームワークは、Webアプリケーションの開発を支援するために作られました。フレームワークの中にはセキュリティを比較的高めやすいものもあります。実

SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接

この攻撃パターンは、個々のユーザーまたは企業から見ると、それぞれが別々のログイン失敗のように見えるため、ほとんどの検出手法 (例えばロックアウトなどの設定) をすり抜けてしまいます。 攻撃者にとっては数字を当てるナンバーズの宝くじのようなもので、攻撃者はよく当たりそうな最も一般的なパスワードをいくつも知っています。これらの最も一般的なパスワードを使用しているアカウントは全体の 0.5 〜 1.0％ 程度ですが、1000 個ほどアカウントがあれば、数個は攻撃が成功するため十分効果的です。 攻撃者は、ログインが成功したアカウントを使用して電子メールからデータを取得し、連絡先情報を収集したり、フィッシングのリンクを送信したり、さらにパスワード スプレーの標的を広げようとします。 攻撃者は、最初の標的が誰であるかについては気にせず、最初の成功をきっかけにその後どれだけ攻撃を広げられるか試していきま

Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ ライター：米田 聡 一般メディアにもニュースとして取り上げられたので，2017年末からにわかに騒がれだした「CPUの脆弱性」については，4Gamer読者も多くが聞き及んでいることだろう。海外では，「Spectre」（スペクター）や「Meltdown」（メルトダウン）といったおどろおどろしい名前が付いているので，そちらを目にしたという読者もいると思う。 「Intel製のCPUだけが持つ脆弱性で，AMD製のCPUなら問題ない」から始まって，「いやいやAMD製のCPUも同様の脆弱性を抱えている」，さらには「メモリページング方式の仮想記憶を使うCPUのすべてが持つ脆弱性である」などと，情報が錯綜しているので，何を信じたらいいのか分からないという人も多いのではなかろうか。そもそも，メモリページング方式

HashDoS脆弱性との戦い！ Rubyコミッター・卜部昌平が明かすプログラム堅牢化のノウハウ 過去、HashDosの影響を受けたRuby。言語開発者はいかにしてこうした問題に対応してきたのでしょうか。コミッターである卜部氏の貴重な記録を公開します。 2011年の末頃、HashDoSという脆弱性が公表され、Rubyもこの影響を受けた。本稿の筆者である卜部昌平（うらべ・しょうへい／@shyouhei／以下、卜部）は、報告当初からRuby側のチームメンバーとしてプログラム本体の修正を担当した。以下はその記録である。言語開発者たちが普段どのようなことを考え、どういった技術を用いて開発やバグフィックスを行っているのか。その概要を知ってもらえれば幸いだ。 オブジェクト指向スクリプト言語 Ruby HashDoSの概要 なぜ約6年後の今、修正内容を公開するに至ったか？ 前史：すでに内包されていたリスク

Encryption for Everybody A nonprofit providing free TLS certificates to more than 600M600M websites. Explore our work to improve security and privacy Our 2024 Annual Report highlights the progress we've made toward a better Internet.

マイナビニュースのセミナー 本音をぶっちゃけ! 帰ってきたセキュリティ三銃士座談会 ―2014年を振り返り、2015年を予測する― http://news.mynavi.jp/ad/2015/enterprise/security_sp01/ 続きを読む

2015年1月27日(現地時間) Qualysはglibc(GNU C Library)に脆弱性を発見し、情報を公開しました。ここでは関連情報をまとめます。(暫定まとめなので精度低め、網羅性無しです。。) (1) 脆弱性関連情報 Qualysが公開した脆弱性情報 The GHOST Vulnerability Qualys Security Advisory CVE-2015-0235 注意喚起 IPA (注意) libc の脆弱性対策について(CVE-2015-0235) 脆弱性の概要 glibcの__nss_hostname_digits_dots() にヒープバッファオーバーフローの脆弱性。 当該関数はglibcのgethostbyname()とgethostbyname2()から呼ばれている。 アプリケーションによっては、DoS、またはリモートから任意のコードが実行可能となる可能性

Hiromitsu Takagi @HiromitsuTakagi あなたの利用サイト、クッキーにセキュア付いてます？ Safariで確認 ①ログインし、登録情報変更の画面へ行き、https://であることを確認 ③コマンド+オプション+Iで「Webインスペクタ」を表示 ④リソースでcookieを選ぶ ⑤「保護」にチェック有りが1個以上あるか 2014-12-14 23:35:37 ナカムラッコ @nakamurakko ANAから「パスワード変更するためにログインしてね」って連絡来てるけど、ログインIDとパスワードはSSLで暗号化していないトップページで入力する事になっている… 2014-09-05 12:09:06

弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください⁠）⁠ www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日

AppStoreから削除された状態のiLoveMusicが、アプリ内からアップデート先として、AppStoreに似せたウェブページからインストールさせるようにしています。実際に、AppStoreではないそのページから、iPhone（iOS7）に、簡単にアプリをインストール・実行できてしまいました。こういうAppStore以外からのアプリインストールは脱獄なしにはできないと思っていました。そこで、リジェクト状態のアプリがAppStore外でのアプリ配布をどうやっているのかについて、ちょっと覗いてみたので、メモしておきます。 iLoveMusicは、このインストール方法を使っている具体例にすぎず、アプリに問題があるのかどうかは別の話になるのですが、今後同じような"偽AppStore"的なウェブページから、悪意のあるアプリをインストールさせる例が出てくるかもしれないので、注意が必要と感じています

技術を活かし、新しい価値を創造する DeNAのエンジニアは、想像を超えるDelightを届けるために何ができるかを考え、技術力と発想力で新しい価値を生み出しています。 多様な専門性を持ったエンジニアが切磋琢磨し、互いに刺激し合える環境や制度がさらなる成長へとつなげます。

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

※(2014/10/1 追記) 脆弱性の番号を誤って CVE-2014-6721 と表記してしまっていました 正しくは "CVE-2014-6271" です 失礼致しました ※(2014/10/7 追記) 2014/10/7 14:00時点で Shell Shock への修正パッチは6個 公開されています 既に対応済みのシステムでもパッチの漏れがないか注意してください シェルに脆弱性が見つかったらしいです このコマンドを実行すると脆弱性があるバージョンかのチェックができるようです $ env x='() { :;}; echo vulnerable' bash -c "echo this is a test" 以下のように表示されたらアウトです vulnerable this is a test どうやら、このコマンドが正常に実行できるというのがこの脆弱性の正体らしく、 echo vuln

bashに脆弱性が確認されたとして騒ぎになっています。ここではCVE-2014-6271に関する情報をまとめます。 #記載内容について、誤っている、追記した方がいい等情報がございましたら@piyokangoまでご連絡お願いします。 脆弱性情報 脆弱性の愛称 ShellShock Bashbug CVE番号 Bash周りで発行されているCVEは6つ。その内詳細が不明なのが2つ。(CVE-2014-6277,CVE-2014-6278) CVE 発見者 想定脅威 特記 CVE-2014-6271 Stephane Chazelas氏 任意のコード実行 ShellShockの発端となったバグ。 CVE-2014-7169 Tavis Ormandy氏 任意のコード実行 CVE-2014-6271修正漏れによる脆弱性 CVE-2014-7186 Redhat DoS メモリ破壊(Out-of-Bo

「ワンタイムパスワード」破る…送金先口座凍結 : ＩＴ＆メディア : 読売新聞（YOMIURI ONLINE） http://www.yomiuri.co.jp/it/20140916-OYT1T50063.htm ログインしただけで不正送金　新型ウイルス国内で検出 - 朝日新聞デジタル http://www.asahi.com/articles/ASG9J3Q7VG9JULFA00F.html 時事ドットコム：大手銀の５２口座凍結＝ネットバンク不正送金で－警視庁 http://www.jiji.com/jc/zc?k=201409/2014091600744&g=soc ネットバンキング不正送金、５２口座凍結　新種ウイルス解析・警視庁 - MSN産経ニュース http://sankei.jp.msn.com/affairs/news/140916/crm14091622270013-n1

IPAが公募している「ID・パスワードのセキュリティ対策促進に関する広告等業務(https://www.ipa.go.jp/about/kobo/kobo20140903.html)」の内容に「ID・パスワードの定期変更を促進する内容」があるということで、パスワードを定期的に変更することを啓蒙することが有効策なのか、有効だとすればなぜ有効なのか、そしてそれは本当に有効なのか？と言う事を議論されていました。 ちょっと長いです。

各所から「模倣サイト」に関する注意喚起が出されています。多くの注意喚起は 「コンピュータウィルスに感染するなどの恐れがあり」といったような文言を添えて注意喚起をしています。模倣サイトとされているサイトのドメインは伏せられていることが殆どですが一部の発表によると「3s3s.org」というドメインのようです。 このあたりについてはpiyokangoさんがまとめを作られているので参照いただければと思います。 さて、この「3s3s」は一体どのようなサイトなのか？ということなのですが、それについてはトップページに書かれています。 Your favorite site someone has blocked? You do not like censorship? Enter the site address in the text box below and click “Unblock”. 「あな

日経クロステック IT @nikkeibpITpro 祝日で旅行する方が多いかもしれません。パスワード変更はお忘れなく。 JALマイレージWebサイトに不正アクセス、約2700万人にパスワード変更を依頼 itpro.nikkeibp.co.jp/article/NEWS/2… 2014-02-11 12:34:55 Hiromitsu Takagi @HiromitsuTakagi .@nikkeibpitpro こんにちわ〜o(^^)o なぜパスワード変更を忘れてはいけないのですか（･＿･）？ RT @nikkeibpitpro 祝日で旅行する方が多いかもしれません。パスワード変更はお忘れなく。 2014-02-11 15:20:29