macOS Security and Privacy Guide - macOSのための実践的セキュリティガイド | ソフトアンテナ
macOS Security and Privacy Guide - macOSのための実践的セキュリティガイド 2016 12/05 BSD系UNIXをベースとして開発された「macOS」は、堅牢なオペレーティングシステムとして知られていますが、運用によっては重要なデータを危険にさらす危険性は依然として残されています。 本日紹介する「macOS Security and Privacy Guide」は、このmacOSのセキュリティをさらに高めるための実践的ガイドです。macOS Sierra 10.12に対応し、基本的にはパワーユーザーが、企業標準のセキュリティ基準を採用するためのものであると説明されています。ただしMacのセキュリティを改善することに興味のある初心者にも有効であるとのこと。 ガイドでは、セキュリティの基本やmacOSのインストール方法から始まり、ディスクの暗号化、ファイ
2016年8月末より発生している国内サイト・サービスの接続障害についてまとめてみた - piyolog
2016年8月22日頃から、日本の複数サイトで接続し難い、あるいは出来ないといった事象が確認されています。ここでは関連情報をまとめます。 サーバー(Webサイト)への接続等で障害発生しているサービス、サイト 各サイトのTwitter等での発表をまとめると次の通り。 障害発生元 発生原因(運営元発表抜粋) さくらインターネット DoS攻撃、あるいは攻撃と思われる 技術評論社 サーバへのDoS攻撃が検知されたことを受け，サービスが提供できない状態 スラド DDoS攻撃の影響 はてな さくらインターネットDNSサーバー障害に起因 したらば掲示板 ネットワーク障害 ふたば★ちゃんねる サーバ会社よりDoS攻撃との報告 小説家になろう 上位回線の管理会社よりDos攻撃を受けているとの連絡 OSDN DDoS 攻撃の影響 Feeder 全サーバがDDoS攻撃を受けており、サービスをご提供できない状態
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
httpoxy
Recommended reading Summary What Is Affected Immediate Mitigation Prevention Interesting, but once you’ve mitigated How It Works Why It Happened History of httpoxy CVEs A CGI application vulnerability (in 2016) for PHP, Go, Python and others httpoxy is a set of vulnerabilities that affect application code running in CGI, or CGI-like environments. It comes down to a simple namespace conflict: RFC 3
Javaライブラリに脆弱性、主要ミドルウェア全てに影響
WebLogic、WebSphere、JBoss、Jenkins、OpenNMSのそれぞれについて、いずれも最新版でこの脆弱性を突いてリモートでコードを実行できるコンセプト実証コードも公開された。 WebLogicやWebSphereなどの主要ミドルウェア全てに影響を及ぼすというJavaライブラリの脆弱性情報とコンセプト実証コードが公開された。いずれの製品についても、まだパッチは公開されていないという。 この情報は、情報セキュリティの専門家でつくるFoxGlove Securityが11月6日のブログで紹介した。脆弱性はJavaの「common-collections」ライブラリに存在していて、WebLogicなどのほか、企業のカスタム版のアプリケーションにも影響を及ぼすと指摘している。 コンセプト実証コードは9カ月以上前に公開されていたにもかかわらず、これまであまり注目されることはなく、
「WordPress サイトの .htaccess が改ざんされている件」について
「WordPress サイトの .htaccess が改ざんされている件」という記事が話題になっていましたが、その原因に関して私が調べた範囲で書いてみます。 ↓これですけどね。 WordPressサイトの.htaccessが改ざんされている件 - 謎のindex.bak.php ： WP SEOブログ 【メモ】.htaccess改ざん事例（.htaccess/png/eval）※追記あり ： バカに毛が生えたブログ まず、ロリポップは関係ないので安易にサーバ会社の名前と組み合わせて書かない方がいいと思います。（追記：記事タイトルからサーバ会社名が消されたようですね） で、考えられる原因ですが、去年あたり、WordPress で人気のプラグイン、1 Flash Gallery のファイルアップロード機能や、timthumb.php に脆弱性があって （簡単に言えば誰でも外部からファイルをアッ
【みんなの知識 ちょっと便利帳】パスワード強度チェッカー パスワードの桁数や、組み合わせから強度をチェック/判定・評価 - セキュリティレベル測定
この仕組みは、パスワードの桁数や組み合わせなどから、その強度に一定の評価を下すものです。ただし、判定されたパスワードの安全性を保証するものではありません。 この仕組みのご利用により発生した不利益や問題に対して、当サイトは一切の責を負いかねます。 この仕組みを利用するために入力したパスワードは、お使いのコンピューター以外の場所に転送されたり保存されたりすることはありません。また、ここではSSLによって暗号化されるため、このページ上から流出したりすることはありません。 強固なパスワードを作るには、8文字以上の設定が理想とされています。 更に強固にするには、14文字以上を設定することが推奨されます。 強固なパスワードには、大文字[Uppercase Letters]、小文字[Lowercase Letters]、数字[Numbers]、記号[Symbols]を組み合わせることが推奨されます。 連
Gitに深刻な脆弱性、Visual StudioやXcodeもパッチ公開
Gitクライアントのほか、WindowsとMac向けのGitHubを含め、Gitレポジトリと連動する関連のソフトウェアすべてが影響を受ける。 バージョン管理システムのGitに深刻な脆弱性が見つかり、問題を修正した更新版の「Git 2.2.1」が12月18日に緊急リリースされた。MicrosoftやAppleも開発ツールの更新版を公開している。 GitHubやGitのブログによると、脆弱性はMac OS XとWindowsで実行されているGitクライアントのほか、WindowsとMac向けのGitHubを含め、Gitレポジトリと連動する関連のソフトウェアの全てが影響を受ける。 悪用された場合、悪質なGitツリーを使ってレポジトリのクローニングやチェックを行う際に「.git/config」ファイルを上書きされ、クライアントマシン上で任意のコマンドを実行される恐れがある。 GitHubではGit
時刻同期サービス「ntpd」に重大脆弱性、細工パケット一撃でサーバー乗っ取りも
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）が共同で運営する脆弱性関連情報ポータルサイト「JVN（Japan Valnerability Notes）」は2014年12月22日、IT機器の時刻合わせに広く使われているサーバーソフト（デーモン）の「Network Time Protocol daemon（ntpd）」に複数の脆弱性が見つかったことを伝えた。発見された脆弱性の中には、不正に細工されたNTPパケットを一つ受け取るだけで、サーバーがいきなり乗っ取られる危険性があるものも含まれている。 見つかった脆弱性は四つ。（1）設定ファイルntp.conf中でauth keyを設定していない場合に、暗号強度が低いデフォルト鍵が生成される問題、（2）古いバージョンのntp-keygenが、弱いシード値を使って乱数を発生し、これを基に暗号強度の低い対称鍵を
10万サイトやられた！ 謎のロシア製マルウェアがWordpressで拡散中 | ライフハッカー・ジャパン
ギズモード・ジャパンより転載：Wordpressでサイトを運用している方、ご注意！ ロシア製のマルウェア、「SoakSoak」が急激に広まっています。日曜日から確認されたものだけでも、すでに約10万以上のサイトに影響が及んでいると見られ、グーグルはすでに1万1000サイトをブロックしました。 人気プラグインが原因。手動アップデートが必要 セキュリティ関連企業「Sucuri」によると、このマルウェアは、スライドショーを簡単に作れることでとても人気のあるプラグイン「Slider Revolution」の脆弱性を狙ったもので、「Slider Revolutionの開発チームは、少なくとも9月にはこの脆弱性を知っていたのにその対策を怠っていた」と指摘。 Sucuriはまた、このマルウェアの根絶はとても難しいとも指摘しています。なぜなら、Slider Revolutionはその人気のため、テーマに初
「App Storeのアプリが盗まれた」 ゲーム「プロエリウム」作者が悲鳴 不正ログインで別人から配信される事態に
「アプリ盗まれた」――App Storeで公開されていた対戦型カードゲームアプリ「-PLOELIUM-」（プロエリウム、無料）の権利が不正に別人に移され、別人の名前で配信されていることを開発者のakira nagaokaさんが8月4日、明らかにした。開発者用アカウントが不正ログインを受け、アプリが別人のアカウントに無断転送されたという。nagaokaさんはAppleに対しアプリを元に戻すよう要望している。 プロエリウムはユーザー同士で対戦できる戦略的カードゲーム。公式サイトによると、高校生のnagaokaさんが独学で「半年かけて初めて作った」アプリという。 nagaokaさんが異変に気づいたのは8月4日午前。iPhoneに「アプリの転送が完了した」というメールが届いたため、開発者サイト「iTunes Connect」にログインしたところ、不正にログインした第三者によって同アプリが他人のアカ
強烈なDNSキャッシュポイズニング手法が公開される:Geekなぺーじ
本日、JPRSが緊急の注意喚起を公表しました。 緊急）キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認について（2014年4月15日公開）- 問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨 それに対して、2月中旬に脆弱性を発見してJPRSへと報告していた鈴木氏(脆弱性は前野氏との共同発見)が、JPRSの注意喚起では「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」として、以下の情報を公開しています。 開いたパンドラの箱 - 長年放置されてきたDNSの恐るべき欠陥が明らかに キャッシュポイズニングの開いたパンドラの箱 キャッシュポイズニングの開いたパンドラの箱 - 2 - 本来であれば、より上位からの正規の回答が優先されなければならないはずなのに、下位側が優先される仕様になっているので、偽装されたデータが優先されてしまう
Unityで難読化する 「CodeGuard」 - 青空の月
Unityでソースコードを難読化してくれるアセット。 「CodeGuard」 AndroidだとPro Guardとかあるけど、メンドイしAndroidだけだしと思っていたら5月くらいに難読化のアセットが出てたみたい。 しかもAndroidもiOSも対応してる。Proじゃなくても使えるし全環境ってことかな。 設定画面を見る限り、何を難読化するか、除外メソッド名も指定できるっぽいから、かなり使えそう。 Asset Store https://www.assetstore.unity3d.com/#/content/8881/ 公式サイト https://sites.google.com/site/apshaiarts/ フォーラム http://forum.unity3d.com/threads/183225-CodeGuard-%28Obfsucation-and-code-protect
Appleのサーバー認証を通過するアプリ内課金のクラックツールが出回っているらしい - @Yoski はてな別室
アプリ内課金のクラックツールで有名なのは iAP Cracker で、これは偽署名を作成することで「サーバー側認証を行なっていない」実装のアプリについてアプリ内課金を回避ししてしまうツールです。 urus のリポジトリにあるやつが有名で、これを使うとデフォルトで Transaction ID が「com.urus.iap.xxxx」になるので、まぁもろバレなわけですが・・・。 iAP Cracker については、iOS 6.1 で Apple が対策をいれたため使えなくなりました。 代わりに「LocalIAPStore」というものが出まわってます。ただ、これも「サーバー側認証」されるとダメなので、アプリ開発者がちゃんとサーバー側で認証していれば問題ありません。 ところが、最近サーバー側認証を回避するアプリ内課金のクラッキングツールが出回っているようです。 アプリ内課金のサーバー認証では、i
Linuxでポート開放する - 更新しない備忘録改二
研究でサーバアプリを作成することになりそう。 とりあえず前借りたさくらのVPSで、Cからsocketを直接叩いて通信しようとしたものの、ポートが閉まってるのを失念してて少し悩んだ。 というわけでLinuxでポートを開放する方法を書きます。 最近のLinuxはiptablesというデーモンでポートの開け閉めを管理しているのですが、デフォルトでは全てのポートが閉まっていて全く通信できません。 そこで、iptablesの設定ファイル、/etc/sysconfig/iptablesを直接弄ってやります。 *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT ACCEPT [0:0] -A INPUT -i lo -j ACCEPT -A INPUT -p icmp --icmp-type any -j ACCEPT -A INPUT -p tc
Stray Penguin - Linux Memo (iptables)
非常に役に立つ HOWTO に、 Oskar Andreasson の Iptables tutorial がある。日本語訳が存在しなかったので翻訳した (2006/01 本家にも掲載されました - Thank you, Oskar !)。 iptables は、カーネルが利用するIPパケットフィルタのルールを、操作するためのユーティリティ。カーネルそのものと密接に関係しており、kernel-2.2 では ipchains が使われていた。kernel-2.4 以降、 iptables が標準となる。ipchains とは比べものにならないほど、膨大な種類の操作オプションが用意されている。ipchains との最も大きな違いは、パケットを既存のコネクションとの関係性によって識別できる「コネクショントラッキング (接続追跡)」 というメカニズムを実装していること。この conntrack 機
WindowsやLinuxで実行できる脆弱性スキャナ「Nessus」を試す | OSDN Magazine
管理しているサーバーなどに脆弱性がないかを調べるツールを「脆弱性スキャナ」と呼ぶ。脆弱性スキャナにはさまざまなものがあるが、古くからよく知られているものの1つに「Nessus」がある。今回はこのNessusを使った脆弱性の調査について紹介する。 マルチプラットフォーム対応の脆弱性スキャナ「Nessus」 Nessusは指定したサーバーに対しポートスキャンや擬似的なアクセスなどを行うことで、サーバーに存在する脆弱性を調査するツールだ。対象とするサーバーが使用しているソフトウェアに既知の脆弱性がないかどうかを調査できるほか、設定ミスや脆弱なパスワードの存在なども確認できる。また、さまざまな形式で詳細なレポートを生成できるのも特徴だ。WindowsおよびMac OS X、Linux、FreeBSD、Solarisというマルチプラットフォームで動作する。 Nessusはかつてはオープンソースで開発
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ウェブサイトの改ざん被害多発、4項目の定期点検をJPCERT/CCが呼び掛け 
JPCERT コーディネーションセンター
x.com