“日本は特殊な国”か、通信を可視化してみたら意外な事実が分かった
例えばFacebookやTwitterなどのソーシャルサービスは、実際にどれくらい国内企業ネットで使われているのか---。大手ファイアウォールベンダーの米パロアルトネットワークスは、半年に一度、世界中のユーザー企業を対象に大規模なトラフィック調査を実施し、様々なデータを収集および分析している。来日した調査担当者に、日本の国内企業におけるトラフィック傾向などについて話を聞いた。 まずは調査の概要について教えてほしい。 2008年から約半年に1回の割合で、世界中のユーザー企業を対象にトラフィック調査を実施している。最新のデータは2011年5月に実施した調査で得たもので、調査対象となった企業の数は全世界で合計1253社、そのうち日本の企業は87社入っている。調査対象企業の数は回を重ねるごとに大きく増えており、前回（2010年10月）は723社、前々回（2010年3月）は347社だった。具体的な企
webアプリケーションの脆弱性とは？ - OKWAVE
こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんに
Webアプリケーションの脆弱性テストフレームワーク「w3af 1.0」リリース - SourceForge.JP Magazine : オープンソースの話題満載
Webアプリケーションの脆弱性を発見するフレームワーク「Web Application Attack and Audit Framework（w3af） 1.0」が公開された。SourceForgeのプロジェクトページよりダウンロードできる。 w3afはWebアプリケーションの脆弱性を発見したり、実際に脆弱性に対する攻撃を行うためのフレームワーク。開発者やセキュリティ研究者が、Webアプリケーションのセキュリティ検査やテストに利用することを想定している。プログラムはPythonで書かれており、GPLで公開されている。コアのほか、SQLインジェクション、クロスサイトスクリプティング（XXS）などをチェックできる130種以上のプラグインを持つ。 初の正式版では、コードの安定性、自動アップデートなどの特徴を持つ。クラッシュを最小限に抑え、常に最新機能を使えるという。 新機能としては、PHPの静的
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
サイトを公開する際に最低限抑えておきたい Apache の設定 | バシャログ。
こんにちは nakamura です。最近トルシエさんテレビ出すぎじゃありません？ウィイレヤロウヨ。オフサイドダヨ！ さてさて今回は意外と知られてないけど、サイトをインターネットに公開する際には知っておいた方が良い Apache の設定をいくつかご紹介します（一部 PHP の設定もありますが）。この設定をしていないからといって即危険にさらされるという訳でもありませんが、リスクの芽は摘んでおくに越した事はありませんよね。 無駄な HTTP ヘッダを返さない ディストリビューションにより異なるかもしれませんが、CentOS デフォルトの設定の場合 Apache が返してくる HTTP ヘッダは以下のようなものです。 HTTP/1.1 200 OK Date: Mon, 05 Jul 2010 01:01:14 GMT Server: Apache/2.2.3 (CentOS) X-Powered
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
パスワードの定期変更という“不自然なルール”
しばしば「パスワードは○日ごとに変更しましょう」といわれるけれど、それで本当にクラックの危険性は減るの？ ペネトレーションテストの現場から検証します（編集部） ※ご注意 本記事に掲載した行為を自身の管理下にないネットワーク・コンピュータに行った場合は、攻撃行為と判断される場合があり、最悪の場合、法的措置を取られる可能性もあります。また、今回紹介するツールの中には、攻撃行為に利用されるという観点から、アンチウイルスソフトにウイルスとして検出されるものも存在します。このような調査を行う場合は、くれぐれも許可を取ったうえで、自身の管理下にあるネットワークやサーバに対してのみ行ってください。また、本記事を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください。 今回は久しぶりに、ペネトレーションテストの現場の話から始めよう。 ペネトレーショ
X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
SSL 証明書 比較チャート
Comodoは一時的 - 疑似CAであって、信頼されたルートを所有しない－その結果、Comodoは彼らの証明書がブラウザによって信頼されるためにUTN/AddTrust・ チェイニング・プログラムを使用しています。 UTN/AddTrustのSSL証明書を出すために使われるUTN/AddTrustのルート証明書は、また、Comodoの証明書を出すために使われ ます。 XRampもまた、一時的 - 疑似CAであって、信頼されたルートを所有しない－その結果、XRampは彼らの証明書がブラウザによって信頼されるためにGlobalSign・チェイ ニング・プログラムを使用しています。 * RapidSSL.comは、現在Comodo InstantSSL顧客に対して、無料でRapidSSL証明書を発行するサービスを提供しています。 InstantSSL Wildcard顧客に対しても、無料のRap
第7回■文字エンコーディングが生み出すぜい弱性を知る
文字コードに関する問題は大別すると文字集合の問題と文字エンコーディングの問題に分類できる。前回は文字集合の取り扱いに起因するぜい弱性について説明したので、今回は文字エンコーディングに起因するぜい弱性について説明しよう。 文字エンコーディングに依存する問題をさらに分類すると2種類ある。（1）文字エンコーディングとして不正なデータを用いると攻撃が成立してしまう点と，（2）文字エンコーディングの処理が不十分なためにぜい弱性が生じることがある点だ。 不正な文字エンコーディング（1）――冗長なUTF-8符号化問題 まず，（1）の不正な文字エンコーディングの代表として，冗長なUTF-8符号化問題から説明しよう。前々回に解説したUTF-8のビット・パターン（表1に再掲）を見ると，コード・ポイントの範囲ごとにビット・パターンが割り当てられているが，ビット・パターン上は，より多くのバイト数を使っても同じコー
『Facebook』を使わない6つの理由 | WIRED VISION
前の記事 「シングル版電子書籍」が持つ可能性 環境に良い車：ホンダ5年連続で1位 次の記事 『Facebook』を使わない6つの理由 2010年10月13日 社会メディア コメント： トラックバック (0) フィード社会メディア David Rowan (the editor of Wired UK ) 私はFacebookを使っていないが、それについて、「ずいぶん時代遅れだな！」とからかわれたことがある。からかったのは、ソーシャル・ファイナンス・サイト『Kiva』を運営するMatt Flannery氏で、彼は私に対して、「何を怖がっているんだい？ プライバシーについてうるさいのは年寄りだけだよ」と言った。 たしかに私は30代後半だし、いまだに、フォーマルなメールでは顔文字は使わない。しかし、私がなぜFacebookを利用せず、Blippyではクレジットカードを使った買い物をせず、Goog
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性体験学習ツール AppGoat | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
Webアプリケーション脆弱性チェックツール:Chorizo:phpspot開発日誌