「お金を払ってセキュリティを学ぶ」のは平成で終わり？ ある無料教本が神レベルで優れている件
毎日のように企業や組織を狙ったサイバー攻撃が繰り返され、その方法も次々と新しくなっています。皆さんの中にはひょっとして、小さな企業を十分守るだけのセキュリティの知識を身に付けるには「ある程度お金がかかるはず」と思っている方もいるのではないでしょうか？ 実は、そんなことはありません！ 内閣サイバーセキュリティセンター（NISC）は2019年4月19日、新たに「小さな中小企業とNPO向け情報セキュリティハンドブック 初版（Ver.1.00）」を公開しました。その内容は、セキュリティ本を上梓している筆者が「ぐぬぬ」とうなったほどです。これは、素晴らしい！ 「どうしてこの人は、他人の本をそこまで推すの……？」と面食らった読者もいるかもしれません。この本を読んでほしいと私が考える根拠を、これから詳しく説明していきましょう。 NISCはこれまでも、個人向けに黄色い表紙の「インターネットの安全・安心ハン
JINS はマジでやばい
https://twitter.com/piyokango/status/844361226767380481 という話があり、その現物なのだが、 http://www.freezepage.com/1490165400GAZZVSXBDT である。キャッシュの freezepage ですまんが、まあいいだろ。 これ自体はハセカラ界隈のスクリプトキディが show tables かなんかを実行する jsp 一枚仕込んだというだけの話なのだと思うが、問題は JINS の対応だ。 t_jins_gmo_brandtoken_cancel_if_rireki t_jins_gmo_brandtoken_change_if_rireki t_jins_gmo_brandtoken_entry_if_rireki t_jins_gmo_brandtoken_exec_if_rireki などといった
ブロックチェーンという言葉に騙されないために - いもす研 (imos laboratory)
近年、仮想通貨ビットコインが注目されているのにともない、その根幹技術であるブロックチェーン技術が金融業界で注目されています。しかし、ブロックチェーンという言葉自体が流行してしまった結果、様々な金融関連企業が正しく理解しないまま手を出し始めているように見えます。そして、技術的な内容がほとんど表に出てくることはなく、批判する人が少ないという問題を感じたのでこの記事を書きました。ブロックチェーンでできることとできないことを整理し、皆が今後ブロックチェーンの記事により深いツッコミを入れられるようになればと思います。自分はブロックチェーンの専門家ではないため若干の間違いもあるとは思いますが、見つけ次第 @imos まで連絡いただけると幸いです。適宜修正します。 背景 ブロックチェーンとは ブロックチェーンとは、いくつかの未完了の取引を「ブロック」という単位でまとめ、ブロックの正当性を証明するものと共
実はWordpress利用ブログのほとんどがユーザー名もろバレな件 - 対処法紹介します
最近お腹まわりのお肉が気になってきたキタムラです。こんにちは。秋って食べ物美味しくてやばいですね！ さて、今回はWordpressのセキュリティについてのおハナシです。 実は、WordPressで運営されているウェブサイトやブログの多くは、そのユーザー名を誰でも簡単に調べることができちゃいます。 かといって、Twitter や Instagram なんかはユーザー名が公開されているので、それと同じ感覚なら問題ないっちゃ問題ないのかもしれません。 ぼくは、隠せるなら隠したいタイプなので対処しています。 気になった方はスクロールして読んで下さい。特に気にならない方はそのまま記事を閉じてくださいね。 試しにユーザー名が「わかるのか」かやってみよう自分のウェブサイトやブログのトップページを表示させて、アドレスバーのURLの末尾に /?author=1 をコピペして「Enter / Return」を
XSSを防ぐ新しいXSS-Protectionヘッダ - ASnoKaze blog
evalとreportOnlyについて追記しました (2016/10/10) 2016/10/20 仕様名は以下の通りになりました。Anti-XSS Response-Time Uniqueness Requirement また、ヘッダ名は、XSS-Protectionヘッダではなく、ARTURヘッダとなっておりますが、また変更される可能性があります。 Googleの調査によると、CSPによるXSSの防止は現実的にデプロイの欠陥によりXSSの防止効果がないことを示しています。調査は「CSP Is Dead, Long Live CSP!」としてACMのカンファレンスで発表され、ペーパーも閲覧することができます。 9月に行われたW3C TPAC 2016のWebAppSecのミーティングで議論され、GoogleのMike West氏より新しくXSS Protectionという仕様が提案されて
「セキュリティが最重要」って騒ぎすぎ、そんなわけないでしょ！
とにかく「セキュリティ！」「セキュリティ！」とやかましい。企業のIT部門の長、ITベンダーの経営者、それにIT政策を担当する官僚らは「セキュリティが最重要課題」と大騒ぎしている。何の話かと言うと、企業のデジタルビジネスの取り組みや、より大きな話である「第4次産業革命」などデジタル化の件で、「セキュリティ！」「セキュリティ！」と連呼するのだ。もう騒ぎすぎ。うるさくて仕方がない。 「セキュリティの話だから騒いで当たり前だろ」と思う読者も多いだろうが、それは少し違う。確かにセキュリティは重要だが、一番重要なことはITを使って新しいビジネスを創り出したり、既存のビジネスモデルを刷新したりすることだ。だが、残念なことに「セキュリティ！」「セキュリティ！」と騒ぐ人たちは、デジタルビジネスなど“新しい事”そのものについてはよく分からない。 彼らがそうした“新しい事”で唯一に理解できるのは、セキュリティに
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
SiriやGoogle Nowなどの音声認識アシスタントは人間が認識できないコマンドでも操作できる
by Jason Lander スマートフォンがちょっと離れたところにあっても、また周囲で雑音がしていたとしても、人間が認識できないコマンドを送り込んで音声認識アシスタントを勝手に動かすことが可能であるということがわかりました。 Hidden Voice Commands http://www.hiddenvoicecommands.com/ どういうことなのかというのは、以下のデモ映像を見ればわかります。 Demo VoiceHack - YouTube スピーカーから10.1フィート(約3.08m)離れたところにスマートフォンを置きます。 そして、人間の声をコンピューター加工したコマンドを聞かせると、人間が聞いても何と言っているかわからないのですが、スマートフォンはコマンドの内容を認識して実行します。ここでは、雑音なしで「XKCD.comを開いて」というコマンドを実行しています。 後半
iOS版ポケモンGO(Pokémon GO)がGmail・Googleドライブ・検索履歴・非公開写真の閲覧権限を自動的に持ってしまうセキュリティリスクが指摘される
実際の街中を歩きながらポケモンを捕まえたりプレイヤー同士でバトルしたりできるゲーム「Pokémon Go」では、アカウント登録時にpokemon.comアカウントかGmailアカウントのどちらかを連携する必要があります。iOS版のPokémon Goでアカウント登録時にGoogleアカウントとの連携を選択すると、アプリ側にGmailの閲覧・送信や、Googleドライブ内のファイルの閲覧・編集・削除、Googleの検索履歴やGoogleマップのナビ履歴の閲覧、Googleフォトに保存している非公開写真の閲覧など、あらゆる情報へのアクセス権限が自動的に承認されてしまうことが判明しています。 Pokemon Go is a huge security risk - adam reeve http://adamreeve.tumblr.com/post/147120922009/pokemon-g
【身バレ】Twitter二段階認証で身バレする！ログインリクエスト認証の挙動と対策についてまとめました - りゅうの雑記
こんにちは、りゅうです。 Twitterの「2段階認証（ログインリクエスト認証）」機能はご存じですか？ 最近は様々なウェブサービスでセキュリティ強化のためにメールアドレスや携帯番号による二段階認証機能を備えていますが、ツイッターの場合はセキュリティ強化のためといって、何も考えず設定してはいけません。 これ、設定を誤ってしまうと簡単に身バレします。今回はTwitterの二段階認証を設定した場合の挙動と対策についてまとめました。 こうなると身バレします 結論から言うと、 他者がTwitterに電話番号を含む「アドレス帳」を登録しており、 自分が「電話番号の照合と通知を許可する」オンにしていて、 自分がログインリクエスト認証用に他者が登録している電話番号を登録した場合 に、他者あてに自分のユーザー名（ぼくの場合「りゅう」）が通知されます。 とにもかくにも「電話番号の照合と通知を許可する」をオフに
第1回 Webセキュリティのおさらい その1 | gihyo.jp
はじめに みなさんこんにちは、セキュアスカイ・テクノロジーのはせがわようすけと申します。 周知のとおり、ここ数年のブラウザの機能強化は目覚ましいものがあり、CSS3やSVGを含むHTML5ブーム以降のブラウザ内での表現力の向上や、JavaScriptエンジンの最適化による実行速度の向上は、数年前では考えられないような目を見張るものがあります。また、HTML5の仕様策定後の現在でも、WHATWGやW3Cではさまざまな議論が継続的に行われており、これまでブラウザ上に存在しなかったような多様なAPIの仕様が生み出され、各ブラウザに日々実装されています。 利用者視点だけでなく、以下のような開発者視点での需要に応えるフロントエンド開発環境の改善も、ここ数年でかつてないほど大きく進んでいます。 CoffeeScriptやTypeScriptに代表されるaltJSと呼ばれる言語処理系の登場 ES2015
スマホで撮影した写真からどうやって自宅等の撮影場所が特定できるのか？確認してみたけどこんな簡単にできるんだ…。 - いやまいったね！
2016 - 06 - 12 スマホで撮影した写真からどうやって自宅等の撮影場所が特定できるのか？確認してみたけどこんな簡単にできるんだ…。 Android iPhone iPhone-トラブル iPhone-便利な使い方 子育て おすすめ記事！ 1. Amazon Fireタブレット購入！この安さでこのパフォーマンスなら買い。とりあえず買っとけ損はしない！ 2. Fire TV Stick購入！自宅テレビで簡単にYoutubeも見れる！安いしコンパクトで設置も簡単。買ってよかった一品 3. iPhone6s・Android乗り換え!なんとiPhoneSEにもキャッシュバックがつく!5月以降もキャッシュバック&一括ゼロ円継続 4. 自宅で録画した地デジ(テレビ)番組を車の中で見る方法！子供は大喜び。（パイオニアXPR-900） レコーダーにもなります！ シェアする Twitter Goog
本当は怖いAES-GCMの話 - ぼちぼち日記
Disclaimer 本エントリーは、この夏 blackhat usa 2016で行われる予定の講演「NONCE-DISRESPECTING ADVERSARIES: PRACTICAL FORGERY ATTACKS ON GCM IN TLS」 のネタバレを含んでいます。現地で直接聞く方は読まないよう気をつけて下さい。 0. 短いまとめ 今回は短めにと思ったのですが、やっぱりそれなりの分量でした。なので短いまとめを書いておきます。 4千万以上のサイト対してAES-GCM使ったTLS通信の初期ベクトル(IV)データのサーベイが行われ、7万程のサイトでIVの値が再利用される可能性があることがわかりました。IVが再利用された場合、AES-GCMの安全性は致命的な影響を受けます。IVの再利用が判明した幾つか実装から既に脆弱性のアナウンスが出ています。 IVが再利用された場合、現実的にHTTPS
「Amazonの個人情報や購買情報は流出している」はマジでした。 - canadieの日記
結果から先に書くと、即答に近い形で個人情報が漏れた。購買情報に関しては聞いてもないのに勝手に教えてくれた。 予想より反響が大きかったので文末にgmailを使った対策を追記した。 なお、米Amazonと同様、数日遅れて問い合わせ内容についてのメールが来たので追記しました。 Amazonのカスタマーサービス経由でアカウント情報が流出したことが判明 - GIGAZINE http://gigazine.net/news/20160125-amazon-customer-service-backdoor/ こーんな記事があったものだから、嘘くせえと思って実際に（英語めんどくさいので日本の）カスタマーサービスにチャットで問い合わせてみた。いうまでもなく、ソーシャル・エンジニアリングはクラックの基本である。セキュリティにうるさいAmazon社がこんなにザルなわけがないと思ったからだ。 なお、ニセの住所
第三者によるLINEアカウントへのアクセス可能性に関する当社の見解について
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。 LINEヤフー株式会社のコーポレートサイトはこちらです。 当ページに記載されている情報は、2023年9月30日時点の情報です。 当社は電気通信事業法に定める、「通信の秘密」を保護する義務があり、また、個人情報の定義を法律よりも幅広く捉え、ユーザーのプライバシー（個人情報、トーク内容等）保護を経営の最重要事項とし、厳密に管理しています。 ユーザーのスマートフォン端末およびLINEの登録メールアドレスとパスワードが適切に保護されていれば、自身が意図しない形でユーザー情報や、やり取りの内容が第三者に渡ることはありません。 その上で、一部報道機関でも取り上げられております、第三者によるLINEアカウントへのアクセスの可能性に関し、改めてご説明いたします。 1) 他のスマートフォン端末によるアクセスについて LINEは1
監視カメラを覗くことができるサイトが発掘され、祭りに。日本の銭湯やコンビニなど : IT速報
Insecamというおかしなサイトが話題。世界中の無防備なWebカメラを覗き見ることができる。 メニューから「メーカー」「国」「場所」を選べる仕様 http://www.insecam.org/ （自己責任で） 日本ではPanasonic製のカメラが覗き見られているもよう。中には銭湯の脱衣所などもあり、セキュリティー意識の低さが物議に。 Insecamというおかしなサイトが、世界中の無防備なWebカメラ73000台を表示できる、と豪語している。 その多くはCCTVやシンプルなIPカメラだが、それらに共通しているのは、一般的にアクセス可能なネットワークポートへストリーミングされていることと、デフォルトのパスワードをそのまま使っていることだ。だから誰でも、Webをクロールするロボットなどを使って、単純に”admin/admin”とタイプし、そのストリームにアクセスできる。 わざわざ弱いパスワー
国勢調査オンラインはトップページを http: で案内してるし、使っている証明書はOV SSL証明書だしちょっと問題あり - いろいろやってみるにっき
<20190814追記> EV SSL証明書についてはブラウザ側の扱いが変わりつつあり、当エントリは古い情報ということで下記エントリを参照頂きたい。 </追記終わり> 【追記 2015/09/15 10:50】書き方が悪かったようで、go.jpなんだからEV SSL証明書じゃなくていいだろというコメントが付く。意図を説明しておく。 EV SSL証明書を使うと、下記のようにブラウザのURL欄を見れば正規のサイトであることが一目瞭然。そのため毎回細かくURLを確認する必要が無い。幅広い利用者がいる今回の国勢調査オンラインの場合、利用者にリテラシを求めるより、見て分かるほうが一定のセキュリティを担保しやすい(フィッシングサイトに引っ掛からない)と考える。 スクリーンショットは【20140614加筆・訂正】三菱東京UFJ銀行を騙るフィッシングサイトが例の「偽画面に注意！」そっくりらしいのだが、なん
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
あらゆるPC/Macから情報を抜き取れる5ドルのラズパイデバイスが公開 ～対抗手段はUSBポートをセメントで固めること
https://e-algorithm.xyz/vulnerability/
一般的なチートの手法と対策について
