ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
ＨＰ書き込みで起訴の男性を釈放 NHKニュース
大阪市のホームページに無差別殺人を予告する書き込みをしたとして、逮捕・起訴された男性について、大阪地方検察庁が事件と無関係の可能性が出てきたと判断し、男性が釈放されたことが分かりました。 男性のパソコンに特殊なウイルスが感染し、第三者が遠隔操作して書き込める状態になっていたことが判明したためで、いったん起訴された被告が検察の判断で釈放されるのは異例なことです。 ことし７月、大阪市のホームページに「大量殺人をします。大阪・日本橋の歩行者天国にトラックで突っ込みます」と無差別殺人を予告する書き込みがされました。 警察はインターネット上の住所にあたる「ＩＰアドレス」などをもとに、大阪・吹田市の４２歳の男性が自分のパソコンで書き込んだと判断して、この男性を逮捕しました。 男性は「まったく身に覚えがない」と一貫して容疑を否認しましたが、大阪地検は偽計業務妨害の罪で起訴しました。 ところが、検察や警察
【楽天】行動ターゲティングサービスの説明とその無効化について
楽天株式会社では下記の行動ターゲティングサービス（以下「本サービス」といいます）を行っています。 本サービスは、サイト来訪者の行動履歴情報をもとに来訪者の興味・嗜好にあわせて広告を配信する広告手法です。 本サービスの無効化をご希望される方は、お手数ですが以下の手順に従い無効化してください。 なお、本サービスはクッキーの設定が「オフ」になっているお客様には提供されておりませんのでご注意下さい。 株式会社ドリコムの技術を用いた行動ターゲティングサービスです。 本サービスでは、お客様がご利用になっているブラウザに記録されているファイル情報を自動的に「判別」し、効果的な広告を配信する目的にのみ使用いたします。 判別に用いる当該ファイル情報はお客様個人を特定・識別できるような情報は「一切」含まれておりません。 本サービスの無効化をご希望の場合は下記の「無効にする（オプトアウト）」ボタンをクリック
旧・Macの手書き説明書 - FC2 BLOG パスワード認証
ブログ パスワード認証 閲覧するには管理人が設定した パスワードの入力が必要です。 管理人からのメッセージ https://mac-tegaki.comへ移転中 閲覧パスワード Copyright © since 1999 FC2 inc. All Rights Reserved.
高木浩光＠自宅の日記 - ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか
■ ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか SuicaやEdyの登場によって、カードに記載の番号が新たな問題をもたらすであろうことは、8年前に関心を持ち、何度か書いた。 Edyナンバーは易々と他人に知らせてよい番号なのか, 2004年2月29日の日記 Edyナンバーはどのように使われるものか, 2004年7月11日の日記 許諾なしに公表されるEdyナンバーとSuica番号, 2004年7月11日の日記 その後、EdyナンバーやSuicaのIDiは無闇に掲示されることはなくなり、問題は起きなかった。コンビニのam/pmがEdyを用いて独自に展開していた「club ap」でも、利用者登録にはam/pm店舗のレジで印刷してもらう「仮パスワード」を必要とするようになっており、まあ一応ちゃんと設計されていた。*1 ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。
[デブサミ2012]趣味と実益の脆弱性発見
1. Finding Vulnerabilities For Fun And Profit 趣味と実益の脆弱性発見 Feb 16 2012 Yosuke HASEGAWA 2. 自己紹介 はせがわようすけ ネットエージェント株式会社 研究開発部 株式会社セキュアスカイ・テクノロジー 技術顧問 Microsoft MVP for Consumer Security Oct 2005 - http://utf-8.jp/ 難読化JavaScript書いてます Developers Summit 2012 NetAgent http://www.netagent.co.jp/ 4. 記号JavaScript JS without alnum $=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:+ +$,$_$$:
![[デブサミ2012]趣味と実益の脆弱性発見](https://cdn-ak-scissors.b.st-hatena.com/image/square/015ac7c0c6da545a8500c8b3b7ff71205daa1e44/height=288;version=1;width=512/https%3A%2F%2Fcdn.slidesharecdn.com%2Fss_thumbnails%2Fdevsumi-hasegawa-120216203637-phpapp01-thumbnail.jpg%3Fwidth%3D640%26height%3D640%26fit%3Dbounds)
5分でできるPHPセキュリティ対策 - ぼくはまちちゃん！
こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>
お知らせ : 京都新聞
File Not Found. 該当ページが見つかりません。URLをご確認下さい。 お知らせ 事件・事故のジャンルを除き、過去６年分の主な記事は、インターネットの会員制データベース・サービスの「京都新聞データベース plus 日経テレコン」（http://telecom.nikkei.co.jp/public/guide/kyoto/）もしくは「日経テレコン」（本社・東京 http://telecom.nikkei.co.jp/）、「ジー・サーチ」(本社・東京、 http://www.gsh.co.jp)のいずれでも見ることができます。また、登録したジャンルの記事を毎日、ネット経由で会員に届ける会員制データベース・サービス「スカラコミュニケーションズ」(本社・東京、http://scala-com.jp/brain/) も利用できます。閲読はともに有料です。 購読申し込みは下記のページから
asahi.com（朝日新聞社）：産経新聞ｉＰｈｏｎｅアプリ、閲覧情報を無断送信 - 社会
印刷 関連トピックスｉＰｈｏｎｅ 産経新聞を多機能携帯電話ｉＰｈｏｎｅ（アイフォーン）で読めるソフト（アプリ）が、特定の利用者がどのページを読んだかといった情報を、利用者に無断でアプリ開発者側に送信する仕組みだったことがわかった。産経新聞社は１２日、開発途中に試験的に組み込んだ機能で今も動いているとは知らなかったとして、仕組みをやめると明らかにした。 このアプリは産経新聞の記事を、通常の紙の新聞と同じレイアウトで読める。 同社によると、アプリが送信していたのは、アイフォーンに割り振られた固有の識別番号のほか、利用者が閲覧したページ番号、閲覧日時、各ページに滞在した時間。新聞を無料で丸ごと読めることから人気で、今回の機能が採用された昨年１１月以降、今月３日までに計１９０万件のダウンロードがあったという。
Google Sites: Sign-in
Not your computer? Use a private browsing window to sign in. Learn more about using Guest mode
防衛省が対サイバー兵器、攻撃を逆探知し無力化 : 社会 : YOMIURI ONLINE（読売新聞）
防衛省が、サイバー攻撃を受けた際に攻撃経路を逆探知して攻撃元を突き止め、プログラムを無力化するウイルスを開発していることがわかった。 事実上のサイバー兵器で、２００８年から開発に着手し、現在は閉鎖されたネットワーク環境の下で試験的に運用している。サイバー兵器は既に米国や中国などが実用化しているとされるが、日本では有事法制でサイバー攻撃を想定しておらず、対外的な運用には新たな法解釈が必要となる。防衛、外務両省はこうした事態を含め、法制面での検討を始めた。 開発にあたっているのは、防衛省で兵器開発を担当する技術研究本部。０８年度、「ネットワークセキュリティ分析装置の研究試作」事業として発注し、富士通が１億７８５０万円で落札。３年計画で、攻撃監視や分析の装置とともに、ウイルスの開発に着手した。
SPモードがiモードを置き換えられない根源的な理由 : 404 Blog Not Found
2011年12月30日11:45 カテゴリNewsiTech SPモードがiモードを置き換えられない根源的な理由 なんという毒茸。 高木浩光＠自宅の日記 - spモードはなぜIPアドレスに頼らざるを得なかったか NTT docomoのスマホ向け独自サービス「spモード」が、今月20日に大規模な事故を起こして、重大事態となっている。 スマホ向けネット接続が不具合 ドコモ 別人のアドレス表示, MSN産経ニュース, 2011年12月20日 ドコモのspモードで不具合、他人のメールアドレスが設定される恐れ, 日経IT Pro, 2011年12月21日 ドコモの「spモード」でトラブル、関連サービスが一時停止, ケータイ Watch, 2011年12月21日 ドコモ、spモード障害で「ネットワーク基盤高度化対策本部」設置, ケータイ Watch, 2011年12月26日 ドコモ 約1万9000人に
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
Apple Sandbox(Seatbelt)を・・・強いられているんだ！ - yuzuharaの日記
この記事はカーネル/VM Advent Calendar 2011の記事です． 前書き どうも，サンドボックス萌えなid:yuzuharaです． 今年はみんな大好きMacに標準搭載されているApple Sandboxの話をしてみようと思います サンドボックスっていうと，コンテキストによっていろいろ意味が変わります． この記事でいうサンドボックスは，”OSレベルの実行時アプリケーションの隔離を行う機構”のことをいいます．隔離というのは，プログラムを実行するとOSが管理するリソースのすべてが利用不可能な状態で起動するという感じです．この状態から，セキュリティポリシーにより最低限のリソースの利用を許可していくのがサンドボックスの基本的な利用方法となります． こんな感じ． サンドボックスは，サンドボックス上で実行したアプリケーションを，あらかじめセキュリティポリシーに書かれたリソースにしかアクセス
Carrier IQ問題続報 - 当事者やグーグルなどから声明、ほか（編集担当メモ） - WirelessWire News（ワイヤレスワイヤーニュース）
Carrier IQ問題続報 - 当事者やグーグルなどから声明、ほか（編集担当メモ） 2011.12.02 ユーザーのプライバシーに関わる情報を密かに収集しているとの疑いが持たれる診断用ソフトウェア「Carrier IQ」が各社のスマートフォンのなかに見つかった問題で、さまざまな海外メディアから大量の続報が出されている。そのなかから目に付いたものを簡単に紹介する。 まず、にわかに「渦中の人」となった感のあるキャリアIQ社（Carrier IQ）では、同社の提供する携帯端末用ネットワーク診断ツールの具体的な機能や、そのなかにいわゆる「キーロガー」の機能が含まれているとする一連の報道について「認識に誤りがある」とする旨の声明を発表（文末に全文掲載）。この声明の冒頭には下記の説明がみられる。 我が社では携帯端末のパフォーマンスを測り、サマリーをつくるサービスを提供しているが、これは（顧客である）
「Carrier IQ」ソフトウェア問題、米通信キャリアや端末ベンダーを巻き込んだ騒動に - WirelessWire News（ワイヤレスワイヤーニュース）
「Carrier IQ」ソフトウェア問題、米通信キャリアや端末ベンダーを巻き込んだ騒動に 2011.12.02 スマートフォンユーザーの利用履歴を詳細に記録する「Carrier IQ」というソフトウェアの存在が11月なかばに明るみに出て以来、この問題が一部で波紋を呼んでいたが、米国時間1日にはこれが複数の米携帯通信事業者や端末ベンダー各社を巻き込んだ騒動に発展している。 ▼Carrier IQ この問題は、11月中旬に、Android OSのなかにユーザーのアプリ利用やウェブ閲覧などの履歴を勝手に記録するCarrier IQのコードが埋め込まれていることを見つけた米国人システム・アドミニストレーターのトレバー・エッカート（Trevor Eckhart）氏が、このコードの存在を同氏の参加するxdaという開発者のコミュニティで公表したことに端を発するもの。同氏には、Carrier IQ（ソフ
国内キャリアのCarrier IQ対応状況 - WirelessWire News（ワイヤレスワイヤーニュース）
本日、海外の話題でとりあげたCarrier IQについて（「Carrier IQ」ソフトウェア問題、米通信キャリアや端末ベンダーを巻き込んだ騒動に）、国内キャリアでの状況について、NTTドコモ・KDDI・ソフトバンクモバイルの3社に問い合わせた。各社広報からの回答は以下の通り。 ●NTTドコモ ドコモのスマートフォンには、Carrier IQおよびそれに類する、ユーザーの操作履歴を記録・送信するようなソフトウェアはインストールされていない。 ※KDDI、ソフトバンクモバイルからの回答が得られ次第、本記事に追記する。 「Carrier IQ」について米国時間1日から、複数の米携帯通信事業者や端末ベンダー各社を巻き込んだ騒動に発展しているという記事はこちら「Carrier IQ」というソフトウェアの存在が11月なかばに明るみに出て以来、この問題が一部で波紋を呼んでいた。「Carrier IQ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
これからの「パスワード」の話をしよう
TechCrunch | Startup and Technology News
Engadget | Technology News & Reviews
