AWSに適切なSSL証明書の購入を考える | DevelopersIO
どのSSL証明書を買えば良いかよく相談されます AWS関連のお仕事をするようになって、お客様からよく相談されることの第3位ぐらいにSSL証明書の購入があります。毎回同じ説明するのも面倒なのでw、ブログでまとめたいと思います。 SSL証明書の安心感 SSL証明書には大きく分けて3つ（+1つ）の安心感レベルが存在します。 EV SSL証明書 EV SSL（Extended Validation SSL）証明書は、今のところ最も安心感のある証明書です。これを取得するためには、企業が実際に存在していること等、世界統一の認証プロセスがあり、日本では取得するために企業の登記簿謄本と印鑑証明書等の公的な文書が必要になります。ブラウザのアドレスバーが緑色になったらこの証明書を使っていることになります。最も新しい証明書の種類です。企業が自社の安心感を証明するものとして使うため、お値段もかなり高いです。 企業
「知らない」では済まされない、Web担当者のためのセキュリティ対策最前線 | 日本ベリサイン | 【レポート】Web担当者Forumミーティング 2011 Autumn
「私自身が少し前までWebマスターでしたので、本日はWebマスターの方が知っておくといい情報をお話ししたい」。日本ベリサイン株式会社の中川就介氏は、冒頭でこのように挨拶をした後、「Webサイトのセキュリティ」について、興味深い事例を交えながら講演してくれた。 中川氏がセッション全体で提起したのは、「Webサイトは常時SSL化すべきかどうか」という問題だ。通信暗号化技術のSSLは、従来からフォームやログイン入口ページにSSLが用いられている。しかし最近では、Webサイトを常時SSL化することがトレンドになりつつあると言う。 「たとえば、Google+は常時SSL化済みで、グーグル検索もログイン後は常時SSL化される予定です（Google.comを利用する場合）。TwitterやFacebookも、ユーザー向けに常時SSLのオプションを提供しています。Facebookでは2011年10月以降、
Cookieによるhashdos攻撃と対策
このエントリでは、Cookieを用いたhashdos攻撃の可能性について検討し、実証結果と対策について報告します。 はじめに既に当ブログで報告の通り、hashdosと呼ばれる攻撃手法が公表されています。HTTPリクエストのパラメータ名に対するハッシュ値を故意に同一にした(衝突させた)ものを多数（数万程度）送信することにより、Webサーバーを数分程度過負荷にできるというDoS攻撃手法です。 先の記事でも説明しているようにPOSTパラメータ(HTTPリクエストボディ)に多数のパラメータを仕込む攻撃が典型的ですが、POSTパラメータ以外のパラメータを用いた攻撃についても検討しておかないと、防御漏れの可能性が生じます。 そこで、POSTパラメータ以外を用いた攻撃方法について検討します。 POST以外に多数のパラメータを仕込めるかPOST以外に多数のパラメータを仕込む場所があるでしょうか。候補となる
PHPで誰でも簡単Webサービス製作！でなんか作って公開した奴ちょっと来い - 甘味志向＠はてな
タイトルは出来れば関連する方に読んで欲しかったので、軽く釣り針にしました。すみません。:*) 最近はやりのヒウィッヒヒー（Twitter）でも、よく「○○ったー」みたいなサービスがばんばん登場してますね！ おかげでますますツイッターが面白い感じになってて、いい流れですね！ でも･･･ちょっと気になることが･･･ 最近「もうプログラマには頼らない！簡単プログラミング！」だとか･･･ 「PHPで誰でも簡単Webサービス作成！」だとか･･･ はてなブックマークのホッテントリで見かけますよね･･･ プログラミングする人が増えるのは素敵です！レッツ･プログラミングなう！ なんですけど･･･ ちゃんとセキュリティのこと考えてますか･･･！？ 『セキュリティ対策とか難しいし面倒くせーし、俺の適当に作ったサービスとかどうなってもイイしｗｗ』 いいんですいいんです！ 別にそう思ってるならどうでもいいんです！
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
sshdに対するブルートフォースアタックを防ぐ - Spidy Spidy
外部公開している自宅サーバの/var/log/secureを久しぶりに見たところ、大半がsshdに対する不正アクセスの痕跡で埋まっていました。私の運用しているsshdではパスワード認証は一切許可しておらず、公開鍵認証しか許可していないので、ブルートフォースアタックを仕掛けられてもまだ安心できます。しかし、不正アクセス対策をせずいたずらにログファイルのサイズを増やしてもしかたがないので、iptablesを用いてsshdに対する不正アクセスを防ぐことにしました。 sshとiptalblesをキーワードに調べてみると、次のサイト様を発見しました。 iptables の ipt_recent で ssh の brute force attack 対策 こちらのサイト様には、iptablesとそのモジュールであるipt_recentを用いて60秒間に5回までしかSSHでのログインを試行できないように
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【Webアプリケーション】オートログイン機能の実装を考えています。…