イントラネット内のホームページから「file://プロトコル」でファイルサーバにリンクしている共有ファイル（おもにExcelなど）が開かなくなってしまいました。 例　a href=file://192.168.1.1/xxxx.xls 原因は、 KB2559049のパッチが原因のようで、セキュリティが強化された為らしい。 回避方法は以下で対応するしか無い模様です。 1. [ツール] - [インターネットオプション] を開く。 2. [セキュリティ] タブをクリック、ゾーンの選択項目より [信頼済みサイト] を選択し、 [サイト] ボタンをクリック。 3. 表示される [信頼済みサイト] 画面にて、 [この Web　サイトをゾーンに追加する (D) ]　に、目的のサイトを入力し [追加] ボタンをクリック。※サーバーの確認を使用しなければならない場合は、[このゾーンのすべてのサイトでサーバー

ClamAVのバージョン0.98.7がepelリポジトリで利用可能になった。rpmforgeのClamAVが0.98.4からなかなかアップデートされないので、epelのClamAV 0.98.7に入れ替えることにした。（4月29日にバージョン0.98.6のインストールとして書いたが、5月9日に0.98.7になったので、ClamAV 0.98.7 インストールに修正） インストールされてるclamをアンインストール [root@server2 ~]# yum -y remove clam* 設定ファイルを削除 [root@server2 ~]# rm /etc/cron.daily/clamdscan [root@server2 ~]# rm /etc/tmpfiles.d/clamd.conf yumのリポジトリ確認 [root@server2 ~]# cd /etc/yum.repos.

int dtls1_process_heartbeat(SSL *s) { unsigned char *p = &s->s3->rrec.data[0], *pl; unsigned short hbtype; unsigned int payload; unsigned int padding = 16; /* Use minimum padding */ heartbeatという機能の詳しいことは調べられていないけれどどうやらクライアントーサーバ型の機能を提供するものらしい。 つまり何らかのリクエストを受け取ってレスポンスを返すようなサービスを提供するものらしい。dtls1_process_heartbeatで大事なのは ポインタpだ。これはリクエストデータを受け取って格納している。このリクエストデータは構造体になっていて、以下のように記述されている。 typedef struct

正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/

タイトルは煽りです。ただの雑記です。笑何で無効にしないの？と聞かれて書くことになりました。(読んでもいいことないですｗ)実はよくわかりません。気が付いたら SELinux を触るようになってそこからは不要な時以外無効にしていません。なんででしょね？多分意地ですｗ そもそもなぜ SELinux をやり始めたのかなぜ SELinux をやりはじめたのかと聞かれたことがありますが、はっきりとは覚えてません。初めて SELinux にハメられたのは2005年くらいに CentOS の4 を使って授業の準備をしていた時だった気がします。SELinux が原因とわかり、いつかコイツをモノにしてやると思ったのを覚えています。その後はオライリーの SELinux 本を買ってちょこちょこと勉強をしていました。当時はポリシーを書き換える場合、再コンパイルをしないといけなかったのでほとんど触っていませんでしたが

公開: 2011年8月14日0時50分頃 こんな話が……「SSL サイトの大半に脆弱性が存在 (japan.internet.com)」。 Ristic 氏によると、Web アプリケーション レベルでは、不適切な実行によって SSL のセキュリティを無効にするものは数多く存在するという。今回の研究で、Ristic 氏は世界の人気の高い SSL セキュアサイト30万件を分析し、SSL に関連する脆弱性の有無を調べた。その結果、保護されていないクッキーを使用したり、保護されたトラフィックと保護されていないトラフィックを混在させたりといった脆弱性が複数見つかったという。 Cookieのsecure属性なしとか、HTTPSとHTTPが混在しているといった話のようで。いずれも、HTTPSを無意味にする Cookieの話は、日本では2003年から警告されている定番の話ですね。 経路のセキュリティと同時

最近、会社のセキュリティーレベルを上げるべくいろいろな活動がされています。で、最近きたお達しが、Web サーバの SSL の暗号レベルの強化。具体的に言うと、今となっては時代遅れな SSLv2 を許可せず、SSLv3 にすると言うもの。そして、暗号強度の弱い暗号化を許可しないという２点です。 普段、SSL のレベルなんて気にしてネットをやっている方は数少ないと思いますが、IE や FireFox のオプションで指定可能です。例えば、IE だとこんなかんじです。 通常、SSLv2 にチェックがついていると思います。ここで、SSLv2 のチェックを外せば、より暗号強度の強い暗号方式をサーバ側に要求して SSL 通信をすることができます。 クライアント側の設定はこれで完了ですが、サーバ側も当然ながら設定が必要です。 デフォルトの設定（何も設定しない場合）で許可される暗号方式 通常の場合、サーバに

Apache の mod_ssl 関連の設定で SSLCipherSuite ってのがあります。 ググりました。 akr流(2006-02-04)が最初にひっかかって 知りたいこと大体書いてあるっていう素敵 blog でした。 でも良い子は mod_ssl - Apache HTTP Server も見ないといけませんね。 暗号の基礎の勉強なら新版暗号技術入門がとっても分かり易いんですが 運用となると Apacheハンドブックとか OpenSSL とか読んで勉強すべきでしょうか．．．。 これは SSL/TLS 張るときに使う暗号関係のアルゴリズムのリストを指定しまして、 openssl の ciphers ってコマンドで見れます。 デフォルトだと $ openssl ciphers -v | sort AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128)

OpenVPNとは OpenVPNは、インターネットやLAN上に仮想的なプライベートネットワーク（VPN）を構築するためのソフトウェアです。 VPNを構築することにより、インターネット上であってもデータを安全にやり取りしたり、社外から社内のサーバーにアクセスできるようにすることもできます。オープンソースで、SSL/TLSをベースにした認証機構及び通信路暗号化を用いることで、セキュアに通信路を構築することが可能です。ん～、便利。 ちなみに、OpenVPNでは、SSL/TLSトンネルをサーバ/クライアント間で接続して通信します。トンネルについての解説は、トンネル接続って何だべ?の記事を見てくださいね♪

内部にあるWebサーバを、インターネットの特定IPに公開したい。 かつ、ユーザ認証があるので、SSLで暗号をかけたい。 こんな要件がありました。 Apacheでできました。 Apache2.0であれば、mod_proxyはデフォルトで導入されています。 httpd -lを実行して、mod_proxy.cが出てくればOKです。 SSLを設定している部分で、 SSLProxyEngine on とし、 ProxyPass /hoge/ http://hoge.hoge/hoge/ と設定してあげれば、SSLで暗号化されたリバースプロキシの出来上がり。 接続元IPで制限したいので、 <Proxy *> order deny,allow deny from all allow from 1.1.1 </Proxy> とすればOK。 これで、1.1.1.xというIPアドレスからのみ、 内部にあるWe

無料で利用できる StartSSL の証明書を使って、Apache + mod_ssl で HTTPS 通信ができるように設定をする方法です。StartSSL は、個人であれば、1年間の期限付きで SSL 証明書を無料で取得できます。ただし、ドメインの所有者である必要があります。 無料とはいえ、Firefox や Safari であれば、認証局として登録されているので、これらのブラウザで警告は出ません。残念ながら IE は対応していないようです。私の場合は Firefox で試しました。なお、私が試した内容を参考程度に書いているだけですので、この記事をもとに何か損害が発生しても、責任が取れません。くれぐれも自己責任でお願いします。 StartSSL に登録 まず StartSSL に登録します。StartSSL Free を選択し、「Register」を選択します。 住所、氏名、メールアド

For your security, your web browser's "reload" function has been temporarily disabled Allowing a web browser to "reload" a page which has already been sent to you creates a "security hole" that would allow someone using your computer at any later time to attain potentially private and personal information. To safeguard your privacy we have disabled the browser's "reload" or "refresh" facility whil

携帯にメールや電話の着信が急に増えたり スマホで今まで使用していなかったロック機能を使うようになった お出かけや外泊の機会が増えた 衣装が派手になった というケースは浮気の可能性があるかもしれません。 もし浮気を続けられると、された側は精神的に苦しい思いを続けることになり、する方も後ろめたい気持ちが膨れ上がり良いことはありません。 やめてもらいたいか、いっそのこと別れて人生をやり直すかはしっかりとした証拠がそろってから考えてもよいかと思います。 そのためには下手に動かず、大阪府で興信所のプロによる浮気調査をするのが良いでしょう。 その理由としては、浮気が原因で離婚となれば慰謝料の請求が可能となり、その法的な証拠を得るには素人よりプロの方の作りだすものが決定的なものになるためです。 全てをすっきりさせて今後の人生をやり直しやすくするためにも利用することをおすすめします。

おおっぴらにできないサイトを見た後は、ブラウザの履歴を消せばほかの利用者にバレない。ところが、エクセルから消したはずのブラウザの履歴が丸見えになってしまうことがある。PCを家族や同僚と共有している人は要注意だ。 エクセルでセルの右クリックメニューから「ハイパーリンク」→「ファイル・ウェブページ」→「ブラウズしたページ」を開くと、ブラウザで削除した履歴が見えてしまうことがある。 この履歴を削除するには「C:\Documents and Settings\ユーザー名\Local Settings\History」内のデータを消すか、レジストリエディタで「HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\TypedURLs」のURLを削除すればよい。 常にブラウザの履歴が記録されるわけではないようだが、ほかのパソコン利用者がエクセルを使っ