ゼロトラストネットワーク
ゼロトラストネットワークとは、ファイアウォールやVPNに代表される従来型のセキュリティ（境界防御モデル）が通用しなくなった現状を踏まえ、すべてのトラフィックを信頼しないことを前提とし、検証することで脅威を防ぐというアプローチです。近年、クラウドサービスやモバイルの普及により、セキュリティで守るべき内外の境界があいまいになってきたことにより、強く注目を集めています。本書は、ゼロトラストネットワークの概念と実装するために必要な知識が学べる解説書です。基本的な概念の説明に始まり、デバイス、ユーザー、アプリケーション、トラフィックの信頼を実際にどのように確立していくかについて、詳しく紐解いていきます。また、Googleのゼロトラストモデル「BeyondCorp」を含む2つの詳細なケーススタディも収録しており、実装に役立つ知識を深めることができます。 はじめに 1章 ゼロトラストの基礎 1.1 ゼロ
2020年7月16日（日本時間）、Twitter上で複数の著名なアカウントや有名企業のアカウントからビットコイン詐欺の投稿が行われました。Twitterはその後の調査で、社内サポートチームが使用する管理ツールが不正利用されたことが原因と発表しました。ここでは関連する情報をまとめます。 何が起きたの？ 2020年7月16日未明から著名アカウントを中心に詐欺投稿が行われた。その後アカウント侵害の影響は大部分が回復した。 一連の投稿にはTwitter社内のサポートチームが使用する管理ツールが悪用された。さらに複数のアカウントでDM閲覧やデータのダウンロードが行われた恐れがある。 社内ツールはソーシャルエンジニアリングにより不正利用された。Slackがその舞台となったと報じられている。 1. アカウントのっとり詐欺投稿 4時間続く 7月16日に発生したビットコイン詐欺の投稿は大まかに2種類が確認さ
社内で毎週公開してるセキュリティコンテンツ3ヶ月分を公開します【2020年4月〜7月】 - Qiita
はじめに 普段はWeb開発を生業としている おりばー(@oliver_diary) です。 今年の4月から情報処理安全確保支援士として、社内のセキュリティ向上に努めているのですが、その取り組みの一つとして社内Slackに毎週セキュリティトピックを公開しています。 毎週続けて3ヶ月が経過しましたが、社内だけに閉じておくのは勿体ないと思ったので、記事としてまとめて投稿します。みなさんのセキュリティ意識向上の助けになればと思います。 またセキュリティ研修用に使用したアプリケーションの記事も公開しているので、そちらも併せてご覧ください。 Gitの脆弱性（2020/04/23） みなさん、既にバージョンをあげている方もいると思いますが、Gitにとても深刻な脆弱性が発見されました。 http://www.security-next.com/114201 https://github.com/git/g
インターネットイニシアティブ（IIJ）は11月15日、パスワード付きZIPファイルをメールに添付して送信し、パスワードを記載したメールを別送する、いわゆる「PPAP」を廃止すると発表した。2022年1月26日以降はパスワード付きZIPファイルをフィルターによって削除し、メール本文のみを受信する。 同社は「PPAPは、日本で多く見られる情報セキュリティ対策の一つだが、（情報漏えいを防ぐ）効果が薄いだけでなく、ウイルススキャンをすり抜けてしまう」と説明。この仕組みを悪用したマルウェアが、今後も発生すると予想し、同社とその顧客、取引先の情報を守るためにも対応が必要と判断したという。 今後、IIJは別のファイル共有手段に移行する方針で、顧客や取引先には個別に連絡するとしている。 PPAPは、日本の企業を中心に広く普及したセキュリティ対策であったが、メールを傍受された時の情報漏えいリスクが高く、パス
カネも思い出もすべてを奪われる…米国で被害が急増中の｢Apple ID泥棒｣の卑劣すぎる手口 鉄壁のセキュリティの｢最大の弱点｣を悪用している
被害者たちは、外出先でiPhoneを盗まれ、わずか数分後にはアカウントから閉め出される。次いで自宅のMacはログインができなくなり、24時間以内に数百万円という預金が口座から消える――。そんな事例をウォール・ストリート・ジャーナル紙が報じている。 被害のきっかけは、iPhoneの4桁または6桁の簡易的なパスコードを盗み見られたことだ。これによって、より強力なパスワードを設定したはずのApple IDのセキュリティが同時に無力化されてしまった。 同紙が今年2月に「脆弱性」として報じ、さまざまなテックメディアで取り上げられ大きな反響を呼んでいる。Appleは現時点で対策措置を発表していない。 被害はiPhoneからほかのApple製品に広がる… これはiPhoneの6桁のパスコードさえわかれば、Apple IDのアカウントを丸ごと乗っ取れる状態であることを意味する。 Apple IDとは、多く
by Marcin Wichary Appleの共同設立者で2011年に亡くなったスティーブ・ジョブズ氏は、自身が設立したAppleから一度追い出され、その後Appleに復帰したという経歴があります。そんなジョブズ氏が復帰して最初に発表されたiMacは500万台も売れた大ヒットマシンとなりました。Apple関連のニュースを扱うサイト・appleiniderが、3年足らずで500万台も売れるまでの経緯を解説しています。 How Apple went from bust to five million colorful iMacs sold https://appleinsider.com/articles/20/04/19/how-apple-went-from-bust-to-five-million-colorful-imacs-sold 1998年8月15日にアメリカで、8月29日にヨ
情報処理推進機構（IPA）は1月20日、気になるサイバー攻撃や自社の情報セキュリティ対策状況といった情報を入力すると、想定損害額や対策、効果などの情報を出力するExcelシート「NANBOK」を公開した。 従業員数やサービスの提供状況、「インシデントの初動対応を自社で実行できますか？」といった対策状況を入力すると、想定損害額を算出。攻撃手口の解説、具体的な対策製品・サービス、国内の導入状況、対策で得られる効果なども提示できる。 IPAは、情報セキュリティ製品購入の予算確保において「担当者は情報セキュリティ対策を経営者が理解できる言葉で説明することに苦悩し、自社のセキュリティ対策を遂行するための予算確保に苦労する方が多い」として、支援ツールの提供を決めたとしている。 関連記事 年末年始はいつも以上にご用心！ IPAの「情報セキュリティ注意喚起」で万全な仕事納めを 年末年始の長期休暇では、シス
物理カード「PassCard」を使えば、複雑なパスワードを何パターン作っても、忘れることなく安全に管理できる！ | ライフハッカー・ジャパン
パスワードは、ネットワーク経由のサービスに欠かせないもの。ところが、“簡単なパスワードはNG” 。しかも、“パスワードを使い回すとリスクが高まる” ため、もはや記憶に頼った運用は、実質的に不可能になっています。 そこで、強固にガードされたパスワード管理サービスを利用するのが、現状の最適解となっているところですが、実は、アナログな手法に回帰するという手段もあるのです。 「PassCard」は、完全にネットワークから遮断された環境でパスワードを管理できるセキュリティツールです。 アナログを経由すればハッキングは怖くないImage: TITLEincイタチごっこを繰り返すセキュリティ対策を単純化できる最も効果的な手段は、ネットワークとは隔離された環境でパスワードを管理することです。 「PassCard」は、物理的な暗号・復号化ツール。このカードの現物を盗難し、かつ復号するためのパターンを入手する
インターネット決済などで、セキュリティーを高めるために使われる「２段階認証」をねらった偽のサイトが増えているとして、情報セキュリティー会社が注意を呼びかけています。 情報セキュリティー会社の調査によりますと、この「２段階認証」をねらった偽のサイトがことし９月だけで94件確認され、前の月から倍以上に増えていたということです。 具体的な手口としては正規の金融機関などを装って、情報を盗み取る偽のサイトに誘導してＩＤやパスワードを盗み取り、そのうえで、スマートフォンなどに送られてきた２段階認証の暗証番号も入力するよう求めるメッセージが表示されるということです。 入力してしまうと不正に決済されるなどの被害にあうおそれがあるということで、セキュリティー会社ではいつもと異なる手順で暗証番号の入力が求められるなど違和感があった場合は、改めてサイトを確認するよう注意を呼びかけています。 調査を担当したトレン
ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2023 の 初日の記事です。 こちら、参加者を募集中です！気軽に参加してみてください！してくれよ！はよ！ なんの話か ちょっと想定以上に反応をいただいたこちらの記事について、ちょっとだけ補足をしたいと思います。 なんの話か詳しく 自分のはてブのコメントをつけたポストにもたくさん反応いただきました。 実際、海外のサービスはメアドをキーにして参照してるところも多く これはサービスのDBのUserテーブルがemailをプライマリキーにしているという話ではありません(が、そう思われた方からDMが来ました)。 最初にパスワード認証やメールでリンクを送信して認証させる仕組みを実装している状態から、ソーシャルログインを実装しようとする際に "email" をキーにした参照をすることがあるんよ
SlackでDMを受け取るとパブリックチャネルに優しく誘導してくれるDM警察というBOTを作って公開しました - rocky-manobi's blog
この記事はLAPRAS Advent Calendar 2019の9日目の記事です 概要 LAPRASに入る前、業務の内容をDMでたくさん受け取って辛いという課題があった DMを受け取るとパブリックチャネルに優しく誘導してくれるDM警察というBOTを作ったがLAPRASに入ったら需要がなかった なんでや？じゃあLAPRAS関係ないやろ！？ まとめ 課題 - 業務の内容をDMでたくさん受け取るのは辛い このような内容をDMで受け取ると少し困ります。 パブリックチャネルの発言であれば、僕がこの質問に答えられない場合でも「@知っていそうな人 さん、わかりますか？」とメンションするだけで事が足ります。たまたま会話を見ていて知っている人が能動的に答えてくれる事もあるでしょう。また、後々一連の会話をシェアしたくなったときでも、この会話へのリンクを貼れば経緯を伝えることができます。DMではいずれも叶いま
これは はてなエンジニア Advent Calendar 2019 2日目の記事です。 こんにちは、 id:masawada です。2ヶ月前まではブログチームのエンジニアでしたが、最近はマンガビューアを開発するチームに在籍しています。 弊社では開発に利用する端末を決められた上限額の範囲内で自由に選ぶことができます。多くのエンジニアがmacOS上で仕事をしており、WindowsやLinuxをデスクトップ環境として利用しているエンジニアはどちらかというと少数です(少なからずいます)。近年では多くのプロダクトのローカル開発環境でDockerを利用できるようになっており、OSの差異によってセットアップに躓くことがなくなった結果Linuxデスクトップへの移行のハードルが下がる傾向にあります。 自分も去年まではmacOS上で仕事をしていましたが、今年の頭にLinuxデスクトップに切り替えてようやく1年
Trelloは豪Atlassianが運営するプロジェクト管理ツール。付せんのようなユーザーインタフェースで簡単にToDoやプロジェクトの進行状況を管理できるのが特徴。米Fog Creek Softwareが2011年に立ち上げ、14年に企業としてスピンアウト。Atlassianが17年2月に買収した。 Atlassianはヘルプページで「公開したボードはインターネット上の誰にでも表示され、Googleなどの検索エンジンに表示される。リンクを知っているすべての人が、Trelloアカウントを持っているかどうかにかかわらず、ボードを表示できる」と記載している。 関連記事 名刺SNS「Eight」で情報機関員などの本名が閲覧できる状態に 非公開にする方法は 治安や防衛、情報収集活動に関わる人物の中でも、Sansanの名刺SNS「Eight」を利用している人の一部の所属と本名がGoogle検索で誰で
光ファイバー回線が普及したことで、一般の家庭でも1Gbpsや10Gbpsで当たり前にインターネットが利用できるようになりました。しかし、賃貸住宅では100MbpsのVDSL回線しか利用できないケースも数多く存在します。無料のオープンソースソフトウェア「OpenMPTCProuter」を使うと、複数の回線を同時に利用して高速なインターネットを楽しむことができます。 OpenMPTCProuter - Internet connection bonding - Home https://www.openmptcprouter.com/ OpenMPTCProuterが使っているMultiPath TCP(MPTCP)とは、複数のインターフェースを利用してTCPコネクションを確立し、通信のスループットや冗長性を向上させる技術です。OpenMPTCProuterでは、PCやタブレット端末といったク
ソリトンシステムズが発表した「日本人のパスワードランキング2021」。2021年に発生した209の情報漏えい事件から日本人が利用するパスワードを分析したもので、1位は「123456」、他は「password」や「000000」などよく見掛けるものだが、少し変わったものとして、4位に「1qaz2wsx」がランクインしている。 一見ランダムに生成されたものに思えるが、実際にキーボードをタイプしてみれば納得がいく。QWERTY配列のキーボードを左から縦2列打ち込むと「1qaz2wsx」となるわけだ。「qwerty」の亜種みたいなものだが、ランキングを見るとこの手の配列に沿ったパスワードが多いことが分かる。
政府が、高い安全性をうたうマイナンバーカード（以下マイナカード）。松野博一官房長官は、「マイナンバーカードは、オンラインでも確実な本人確認ができる安全安心なデジタル社会のパスポートだ」と語り、保険証利用、運転免許証との一体化など積極的な活用を進めている。 だが、東京都の練馬区役所が誤って、マイナカード再発行者50人の住所、氏名などを利用者に手渡して流出させていたことが、「週刊文春」の取材でわかった。練馬区は「深くお詫び申し上げます。事故の発生を重く受け止め、再発防止に向けて取り組んでまいります」としている。 広報パンフレットともに手渡された〈カード発行一覧表〉 政府の個人情報保護委員会の2021年度年次報告によれば、情報漏洩などのマイナンバー法違反、または違反の恐れがある事案が、1年の間に111機関、170件あった。ただし「いずれもマイナンバーが悪用されたとの報告は受けていない」と記してい
自分探しは続いても、明るく生きたい。55歳の大槻ケンヂさんが語る“老い”とこれから｜tayorini by LIFULL介護
自分探しは続いても、明るく生きたい。55歳の大槻ケンヂさんが語る“老い”とこれから #エンタメ#老いの準備#楽に生きる 公開日 | 2022/01/11 更新日 | 2022/01/11 ロックミュージシャンとしても作家としても、唯一無二の存在感で第一線を走り続けている大槻ケンヂさん。大槻さんがボーカルを務めるバンド「筋肉少女帯」はデビューから33年を経た現在もライブを続け、活動の幅を広げています。 そんな中、個人としても40代で新たにアコースティックギターを始めたり、コロナ禍でTwitterやInstagramといったSNSを一挙に始めるなど、年齢を重ねる中で次々と新しいチャレンジを続けている大槻さん。その背景には、40代を過ぎ、50代になった現在もずっと「自分探し」をしている感覚があるそう。しかし50代を迎えたことで、以前よりも前向きな気持ちが芽生えてきたと語ります。 今回そんな大槻さ
こんにちは。shirou(@r_rudi) と申します。アーキテクトという名の雑用係をしています。 Alpaca Japanでは、2021年8月に「アルパカ証券」という証券サービスをはじめました。 この一連の文章は、アルパカ証券の裏側のシステムやその開発体制などについて述べたものです。なるべく証券分野に限らず説明していく予定ですので、証券サービスを立ち上げようとしている人たちにはもちろん、それ以外の方にも参考にしていただけるような文章を目指したいと思っています。 アルパカ証券とはアルパカ証券の詳細はホームページをご覧ください。また、第一種金融商品取引業者登録完了時のプレスリリースにも、「アルパカ証券」サービスの特徴が記載されています。 全体設計方針まず最初に、アルパカ証券を構成するシステムの全体設計方針について説明します。 マイクロサービス vs モノリシック設計は2018年中頃ぐらいから
Windows開発環境構築メモ
開発環境構築用のメモを自分用に書き残しておく。 GUIアプリケーション この辺りを入れる。 Google Chrome Google日本語入力 1Password 4 Dropbox Docker Desktop for Windows 未だに購読版に移行せず買い切り版の1Password 4を利用している。 Windows + Vを利用するとクリップボード履歴を有効化できるので、済ませておく。 Google日本語入力の設定 HENKANキーでIMEを有効化 MUHENKANキーでIMEを無効化 というキー設定を普段利用しているのでそのように設定する。 直接入力 入力文字なし 変換前入力中 変換中 以上の4つのモードについて、それぞれキー設定のエントリを追加する。 Windowsライセンス認証 Windows 10 Pro 64bit辺りをライセンスキー無しでインストールしていると思うので
弊社始め多くのショッピングサイトは、地域振興や地域の自律的成長を支援するべく、地方自治体に負担を求めないポイント等でのプロモーションも含めて、「ふるさと納税」を応援してまいりました。地方への恩返しという納税者の思いも強く、ショッピングサイトを通じた「ふるさと納税」は、多くの地方自治体にとってかけがえのない財源となるだけでなく、地産品の振興にも大きく貢献しながら成長してまいりました。 総務省による今回のポイント付与禁止の告示は、民間原資のポイントまでも禁止し、地方自治体と民間の協力、連携体制を否定するものであり、各地域の自律的努力を無力化するものです。地方の活性化という政府の方針にも大きく矛盾しています。本告示については撤回するよう、皆さんの声を代表して政府、総務省に強く申し入れたいと思いますので、ご賛同いただける方はぜひオンラインでの署名をお願いします。 ＊総務省の告示 https://w
書籍「ソフトウェアテスト技法ドリル」ではテスト設計の考えとツールの使い方まで学べちゃいました | DevelopersIO
私は開発寄りのエンジニアであり、テストやQA専門の方と同じチームで頑張る機会が少なかったのですが、「なるほど、こうやって考えて、こういうツールを使っているのか」と非常に勉強になりました。 こんにちは。AWS事業本部モダンアプリケーションコンサルティング部に所属している今泉（@bun76235104）です。 最近ではアジャイル開発やスクラム開発が多く採用され、ビジネスのスピードに負けないようにプロダクト開発・リリースのスピードが求められれている中で、「いかに効率よく、かつ効果的なテストをしていけるか」というのはテスト担当だけでなく、開発メンバー全員で考える必要があると思います。 とはいえ、実際のチームには「専任のQAエンジニアやテストアナリストはいない」ということは非常に多いと思います。 基本的なテスト技法は本で学んできたけど、どういう時にどんな技法でテストを設計すればよいの？ 本職のテスト
これまで Macbook Pro を開発環境としていたんだけど、価格は高いし Docker for Mac は重いしでいいことないなということで Linux の開発環境に移ることにした。前職の最初の数年はすべて VM（当初は jail）にログインして開発していたのでその頃に戻った感じ。ただ GUI は macOS が何かと楽なので Intel NUC を購入して自宅に置いてリモートでログインして使っている。Core i7、メモリ 64GB で10万ちょいと安いのにめちゃくちゃ快適でさいこう。 ここからは備忘録としてリモートを開発環境とするうえで実施した作業を残す。あと作ったものもあるので宣伝。 外部からログインしたい自宅以外からも使うだろうということで（最近京都からリモートで働くこともあり）、VPN サービスとして Tailscale を導入した。 Best VPN Service for
さわだ【はなきんテレビ】 @HanakinTV1st 信じられないことが起こりました。 某税務署がわたしと同姓同名の方に、わたしのe-Taxの識別番号と暗証番号を教えたらしく、その同姓同名の方から連絡がきました。 確認の前に暗証番号を変えてしまったらしく、わたしがログイン出来なくなることを心配されてのことでした。 さわだ【はなきんテレビ】 @HanakinTV1st その方が確認されたところ、わたしの情報が載っていたとのことで。 暗証番号もその方から教えて頂いたものでログインできました。 その方は申告の際に某税務署に行った際にフツーにわたしの識別番号とパスワードを教えられたそう。というか同姓同名と言っても漢字も違う。まずあり得ない話です。 さわだ【はなきんテレビ】 @HanakinTV1st 今日は税務署がお休みなので、取り急ぎうちの顧問税理士に連絡はしました。 休み明けに某税務署に対して
日本における「マイナンバーカードによる『SIMハイジャック』発生事案」の被害報告。立憲議員が携帯電話を乗っ取られた経緯をツイートする
すまほん!! @sm_hn これ日本における「マイナンバーカードによる『SIMハイジャック』発生事案」なので注目すべき。政府は原則読み取り必須にすべし。 x.com/setagaya_k/sta… 風間ゆたか 東京都議会議員 立憲民主党 世田谷区選出 @setagaya_k 昨日昼頃、スマホにPayPay通知が表示され「1000円チャージしました」と。自動チャージ設定？なんだろうとアプリを確認してもよくわからず放置。（この時にPayPayに確認すべきだった！）午後にメールチェックをしていると画像のようなメールが突然届き、これはおかしい、とパスワード再設定しようと... pic.twitter.com/z81IF167aP x.com/setagaya_k/sta… 風間ゆたか 東京都議会議員 立憲民主党 世田谷区選出 @setagaya_k 携帯電話乗っ取られました。すぐに気づいてソフトバ
AWSマルチアカウントにおけるIAMユーザー設計戦略を考えてみる - How elegant the tech world is...!
はじめに 2020年3月以来の投稿になりますが、「AWS案件に携わる中で、いろいろと貯まった知見を世のエンジニアの皆さんと共有したいな..」という思いに突然駆られ、本稿ではAWSマルチアカウントにおけるIAMユーザ設計の戦略をご紹介します。 ビジネスの要件・制約等により、取り得る設計は様々ですが、一つのベストプラクティス例としてご参考になればと思います。 IAMポリシーに関する基本方針 カスタマー管理ポリシーの利用 AWS利用において、避けては通れないIAM設計。 AWSでは、AWSアカウント（ルートユーザー）の通常利用は推奨しておらず、 AWSアカウント作成後は速やかにIAMユーザーを作成される方も多いのではないでしょうか。 AWS アカウントのルートユーザー 認証情報を使用して AWS にアクセスしないでください。また、認証情報を他のだれにも譲渡しないでください。代わりに、AWS アカ
「BOOTHアカウントは持って無いので、Amazonで同人誌を出して～！」という声を、友人からよく聞きます。 確かにBOOTHと言うのはどちらかと言うとデザイナ向けのサービスですので、プログラマや一般の方々になじみが無いのは仕方の無い事でしょう。 「これ以上アカウントを増やして、パスワードを覚えるのも嫌だ！」という気持ちも良く分かります。会社の同僚からも「BOOTHのアカウントを作りたくないから、同人誌を買わない」とハッキリと言われるご時世です。 で、じゃあAmazonで同人誌を売ればいいじゃないか、という事になるのですが、そうは出来ない事情があるのですよね。 出店費用Amazonで出品する為には、出品サービスに登録して商店を開く必要があります。 https://services.amazon.co.jp/services/sell-on-amazon/fee.html 出品サービスには小
【10分で確認】AWSでやりがちなセキュリティ脆弱性を生み出すアンチパターン集（随時追加・更新） - Qiita
AWSを使うなら見ておきたいチェック項目20選 AWSを実務で触られている方で「セキュリティ対策はばっちしだ💪」と言い切れる人はどれくらいいるでしょうか。特に創業間もないベンチャー企業や内製化直後のエンジニア組織の場合、サービスローンチや追加機能開発がビジネス上の最優先事項になってしまい、セキュリティ対策などの非機能要件のレビュー、設定などは後回しにされがちです。 そこで今回は、"時間がない人"でも注意したいセキュリティ脆弱性を生みやすい設定や設計の凡ミス集をまとめてみました。また、参考になりそうな記事も併せて紹介しています。 ご注意ください 筆者はAWSリソースに関するセキュリティの専門家ではありません。また本記事では、最低限の内容にとどめているためより詳細な内容は、公式ドキュメントや以下の資料をご覧ください。 1. IAM ポリシーの広すぎる権限 IAMポリシーに適切でない広い範囲の
「画像の一括ダウンロード」「ページ情報の抽出」などの操作をプログラミング不要で自動化できる「Browserflow」レビュー
インターネットを利用していると「Googleマップの検索結果をスプレッドシートにまとめる」「Twitterのフォローを全て解除する」といった手動でポチポチ作業するのは面倒な作業が必要になることがあります。Google Chrome向け拡張機能「Browserflow」を使えばブラウザ上の面倒な作業をプログラミングの知識がなくとも簡単に自動化できるとのことなので、実際にBrowserflowを使って使い勝手や自動化の方法を確認してみました。 Browserflow - Automate your work on any website https://browserflow.app/ Browserflowの公式サイトにアクセスすると、拡張機能配布ページへリンクする「Add to Chrome」と記されたボタンが用意されているのでクリックします。 配布ページに移動したら「Chromeに追加」
国税庁が、確定申告の書類作成に関し、「Apple社のM1チップ搭載端末をご使用の方へ」と題した情報を公開している。AppleのM1搭載Macでは、ICカードリーダライターの種類によってはマイナンバーカード等の電子証明書による電子署名等が正常に動作しないことを確認しているという。 同庁では、電子証明書が利用できない場合は「ID・パスワード方式でのe-Tax提出」または「申告書等を印刷して書面提出」することを推奨。 印刷して書面提出する場合にも、プリンタの機種によっては、M1 Macに対応していないことがある。この場合には確定申告書等作成コーナーで作成したPDFデータを取り出して、コンビニエンスストアのマルチコピー機で印刷することを提案している。 関連記事 国税庁、年末調整控除申告書作成アプリをiPhoneとMac向けに公開 国税庁がApp Storeで公開するアプリは2つ目。 M1 Mac、
【2019年】CTF Web問題の攻撃手法まとめ (Web問題のwriteupぜんぶ読む) - こんとろーるしーこんとろーるぶい
CTF Advent Calendar 2019 - Adventarの25日目の記事です。 1つ前は@ptr-yudai氏の2019年のpwn問を全部解くチャレンジ【後半戦】 - CTFするぞでした。 はじめに 対象イベント 問題数 読み方、使い方 Cross-Site Scripting(XSS) SVGファイルを利用したCSPバイパス GoogleドメインのJSONPを利用したCSPバイパス サブリソース完全性(SRI)機能を利用した入力チェックバイパス Chrome拡張機能のパスワードマネージャーKeePassの悪用 HTML likeコメントを使用したコメントアウト jQuery.getJSONのJSONP機能を使用したスクリプト実行 DOM Clobberingによるコードハイジャック Service Workerを利用したスクリプト実行 XSS Auditor機能のバイパス
2021年3月以降、政府や各自治体による新型コロナウイルス感染症のワクチン接種予約や管理を行うシステムが稼働を始め、住民への予約受付が開始されています。しかし、アクセス過多による接続障害など複数の自治体でトラブルが発生しています。ここではこれまでに発表や報道されたトラブルについて関連する情報をまとめます。 １．複数の自治体で起きた予約システムのトラブル 事例① アクセス過多による接続障害 予約開始直後など、急増するアクセスに耐え切れずにシステムに接続できない、しにくくなるなどの事象が発生した（あるいは関連性のある）事例は以下の通り。 自治体 発生/報道日 概要 沖縄県糸満市 4月15日 市が利用する予約受付システムが全国複数の自治体で利用されており、同日複数から大量アクセスを受けたことで受付不可となった。 兵庫県神戸市 4月21日 20日に不適切な設定によるものとみられる内部起因の障害によ
SQLアンチパターン簡単まとめ
「SQLアンチパターン」について、自分の勉強がてら内容を簡単にまとめました。 「とりあえずSQLは触れてWebアプリが作れる」「シンプルなアプリを実務で作ったことがある」くらいの人が読むととても勉強になると思います。 また、「現場での良くない設計」が詳細に言語化されているので、経験豊富な人でも新たな発見があると思います。 詳しく知りたい方は是非本を買って実際に読んでみて欲しいです。 第一章 ジェイウォーク パターン 1カラムにコンマ区切りで値を入れて複数の紐付きを表現しようとする なぜダメか 検索しづらい 文字列カラムの文字数制限という暗黙の制約を受ける バリデーションかけられない 解決策 交差テーブルの作成 第二章 ナイーブツリー パターン 木構造を表現するとき、常に親のみに依存する(parent_idだけ持ってしまう) 隣接リスト なぜダメか 階層を深く掘ろうとするとそのぶんSQLをか
パスキーに入門してみた話 - Qiita
久しぶりの投稿です。 はじめに 昨今、様々なサイトがどんどんパスキーに対応しはじめてきました。 まだまだパスキーがデフォルトになっていくには時間が掛かりそうですが、どのような仕組みでパスキーを実装するのか、早めにキャッチアップしておくのも悪くないと思い、パスキーについて色々と調べてみました。 パスキーとは？ パスワードの代わりに、自分の持つデバイスによる生体認証やパターンを用いて認証を行う方法のことです。 次世代認証技術であるFIDO（Fast IDentity Onlineの略で、「ファイド」と呼びます）を使った認証方式（詳細は後述）で、Apple、Google、MicrosoftがFIDOを普及させるために命名したブランド名になります。 FIDOとは？ 脆弱なパスワードは安全ではありません。 2段階・2要素認証を採用してもそれを有効にするユーザーは少なく、昨今では2段階認証を突破する攻
えー毎度毎度、トラブルの話題で申し訳ないのですが、先日、スマホを落としました。 オチだけ申し上げますと、善良な方に拾われ、無事、手元に戻ってまいりました。 ありがとうございます。 それでも拾得されているとわかるまでの20時間ほどは、落ち着かないなんてものではありませんでした。 今回のことでわかったのは、「落としてからじゃ遅い」対策がいろいろあること。 また、以前から使っているアプリはともかく、ここ3年ぐらいで愛用しはじめたものに関しては、「落としたら」を考えたことがなかったこと。 そのあたりの経験をシェアできればと、記事を書きました。 「平凡さんは間抜けだなあ」と思いつつ、万が一に備えていただけますと幸いです。 何を紛失したか やったこと（時系列順） 時系列 ※忙しい方は、ここを飛ばして「ふだんからやっておくとよいこと」へ ふだんからやっておくとよいこと 愚痴１ 愚痴２ 愚痴３ 何を紛失し
LINEがオープンソースで「LINE FIDO2 Server」公開。パスワード不要でログインできる「FIDO2/WebAuthn」を実現
LINEがオープンソースで「LINE FIDO2 Server」公開。パスワード不要でログインできる「FIDO2/WebAuthn」を実現 LINEは、スマートフォンやPCの指紋認証や顔認証などを用いることでパスワード不要でログイン処理を可能にする標準技術「FIDO2」や「WebAuthn」に対応したサーバ「LINE FIDO2 Server」をオープンソースで公開しました。 これにより、さまざまなWebアプリケーションやモバイルアプリケーションなどでFIDO2/WebAuthnを利用したログインが容易に実装できるようになることが期待されます。 LINE Security R&DチームがFIDO2認証標準を実装したFIDO2 ServerをOSSとして公開しました。 FIDO2-Serverは、FIDO2の登録と認証の主要部分を提供します。さまざまなWebブラウザとOSプラットフォーム、お
ゼロトラストアーキテクチャ 適用方針
ゼロトラストアーキテクチャ 適用方針 2022 年（令和 4 年）6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-210 〔キーワード〕 ゼロトラスト、ゼロトラストアーキテクチャ、 〔概要〕 政府情報システムのシステム方式について、より堅牢なシステム構築の観 点からゼロトラストアーキテクチャの適用方針を示す。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 初版決定 i 目次 １ はじめに ......................................................... 1 １.１ 背景と目的 .................................................. 1 １.２ 適用対象 .................................................... 1
食事宅配サービス「ナッシュ」を展開するナッシュ（大阪市北区）は1月4日、第三者によるランサム攻撃を受け、約6000件の顧客情報が流出した可能性があると発表し、謝罪した。社内PCの一部に保存されていた情報が暗号化され、一部システムに障害が発生した。 問題を認識したのは2022年12月21日。社内システムで障害が発生したため調査したところ、ランサムウェアを使った不正アクセスとデータの暗号化があったと分かった。 暗号化されたのは当該PC内のデータのみ。顧客の氏名や会社名、住所、電話番号など6184件が第三者に閲覧された可能性がある。影響を受けた可能性がある顧客には個別に連絡済み。情報の不正利用などの二次被害は確認されていないという。 ナッシュは「今回の不正アクセスはサーバの脆弱性を利用した攻撃。当社のネットワーク設定やパスワードの強度の問題により発生した」と説明。問題判明後は当該PCをネットワー
不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog
2023年8月15日、GMWは同社が運営するサービスが不正アクセスを受けたことで、「pictBLand」及び「pictSQUARE」のデータベース情報が外部へ流出した可能性があると公表しました。また当該サービスのWebサイトを閲覧した際に別のサイトへ接続する状態になっていたことも明らかにしています。ここでは関連する情報をまとめます。 累計130万人登録のSNSに不正アクセス GMWが運営するサービスが不正アクセスを受け、pictBLandのサイトが一時改ざんされた他、データベース情報が外部に流出した可能性がある。サービスの累計登録者数は約130万人で、今回の不正アクセスによる影響を受けたアカウントの件数は約80万件。*1 不正アクセスとの関連があったとみられる事象が複数確認されており、それらは以下の通り。今後デジタルフォレンジックを行う企業へ調査を依頼することで影響範囲の特定を行うとしてお
Macの開発環境構築を自動化する 2019年夏版
私は年に 1 回、自宅と職場の 2 台の Mac をクリーンインストールでアップデートするのですが、開発環境の構築をある程度自動化しています。来年のために手順を残しておくので、参考にどうぞ。 目次 これまで 事前準備 Brewfile を作成する AppStore にログインしておく パッケージをインストール 再起動 パッケージのインストール後 Brewfile に書けるパッケージの探し方 おわりに これまで 自動化を始めたのは多分 2013 年とかその頃。使っていたツールは Brewfile に始まり、Ansible を経て、去年は rcmdnk/homebrew-file を使っていました。Ansible 時代が一番長かったと思います。2019 年のクリーンインストールの時期になり、セットアップはどうしようかと調べたところ、Homebrew/homebrew-bundle が Home
この記事はRaspberry_Pi - ラズパイでやらなければいけない４つのセキュリティ対策！の再投稿です。 はじめに ラズパイは低価格で高スペックで出来ることも多いのですが、セキュリティ面を何も気にせずデフォルトで利用するのはかなり危ないです！ というのも、ラズパイを使う以上はおそらくインターネットに接続することになると思うのですが、ラズパイはrootユーザーの名前とパスワードが公開されているので、インターネットに接続した段階で、猛烈なアタックを受けます。 なので 新規ユーザーの作成 SSHで公開鍵認証 ポート番号等の設定変更 piユーザーの削除 を行っていきます 参考：5ステップで完了！ラズベリーパイ(B+)のセキュリティ設定まとめ！ 前提条件！ 参考：Raspberry PiにSSHで公開鍵認証を使いたい！ まずはルートユーザーでログインします。 ラズパイの設定が終わっていない方はこ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Twitter社内管理ツールの不正アクセスについてまとめてみた - piyolog
IIJ、PPAP廃止へ 社外から届くパスワード付きZIPファイルは削除
2年8カ月で500万台も売り上げたiMacが倒産寸前だったAppleを救うまで
「経営層への情報セキュリティの説明大変ですよね？」 IPA、予算確保の説得材料を出してくれるツール公開
２段階認証をねらった偽サイトが急増中 | NHKニュース
なぜソーシャルログインの際にemailをキーにして参照するのか
年始にLinuxデスクトップを使い始めて1年が経とうとしている - あんパン
プロジェクト管理ツール「Trello」で運転免許証など個人情報流出 閲覧範囲の設定ミスが原因か
貧弱なインターネット回線をたくさん束ねて強くできる「OpenMPTCProuter」レビュー
謎の文字列「1qaz2wsx」 漏えいした日本のパスワードに頻出するワケ
練馬区は「取材があるまで気がつかなった」マイナカードの個人情報、住所、氏名50人分が流出 | 文春オンライン
アルパカ証券 技術ノート｜アルパカ証券の裏側 - はじめに
【楽天市場】ふるさと納税へのポイント付与を禁止する総務省告示に対する反対署名のお願い
リモートの Linux サーバを開発環境にする
某税務署が同姓同名の人にOUTな個人情報を教えたっぽく現在進行系でびっくりな事態になってる→日本のITの性格が出てる？
Amazonで同人誌が出せない理由｜土田善紀
国税庁、M1 Macでの確定申告書類提出に注意喚起
ワクチン予約接種関連のシステムトラブルについてまとめてみた - piyolog
スマホをなくしたときにやること 2022 - 平凡
宅食「ナッシュ」に不正アクセス、約6000件の顧客情報流出か ランサムウェアに感染
ラズパイでやらなければいけない４つのセキュリティ対策！ - Qiita