はてなブックマーク

PiTaPaの話のまとめ。 要するにPiTaPaの言っていることは「社会通念上問題のある方法で情報が取得されたり目的外利用され、その結果不正に登録が可能だとしてもシステムの問題ではない」ということです。通常考えられる不正には対策していると言いますが、システムを利用を認められたものが正規の方法で使う事以外はすべて「社会通念上問題がある」と言えるのですから、不正行為の一切が「システムの問題ではない」事になるでしょう。 つまるところこれはサイバーノーガード戦法そのものです。 よそで現に問題が起きているのに対策する気はないと言うのもサイバーノーガードが基本にあるからでしょう。 不正登録についてはある程度自衛できるのですが、セキュリティホールがらみ、例えばSQLインジェクションがあってデータをごっそり抜かれました、とかいうのは自衛しようがないので困ったものです。もちろん、こういうことがあっても「社会

Ubuntu IPv6で検索するとIPv6を無効にする方法ばっかり出てきやがるわけですが、じゃあデフォルトでIPv6しゃべれるかというとそうでもない。 まずufw(ファイアウォール)の設定を変更します。/etc/ufw/ufw.confに IPV6=yes を追加します。ufwはデフォルトでは無効になっているはずなのですが、それでも設定を変更する必要があります。変更しないと、次の作業をした瞬間、IPv4の通信も出来なくなります。罠過ぎる。 インターフェースの設定ですが、デフォルトではリンクローカルアドレスだけが割り振られる状態なので、ネットワークの設定で"メソッド"を"自動"にします。 もしくは、/etc/NetworkManager/system-connections/Auto eth0*1のipv6のセクションを [ipv6] method=link-local から [ipv6]

2006|01|02|03|04|05|06|07|08|09|10|11|12| 2007|01|02|03|04|05|06|07|08|09|10|11|12| 2008|01|02|03|04|05|06|07|08|09|10|11|12| 2009|01|02|03|04|05|06|07|08|09|10|11|12| 2010|01|02|03|04|05|06|07|08|09|10|11|12| 2011|01|02|03|04|05|06|07|08|09|11|12| spモードメールで、メールの発信者が別の人のメールアドレスにすげ替えられてしまう spモードメールクライアントのアカウント情報が他人のものになってしまうというトラブル。 加入者に強くひも付いたシステムになってるはずなのになんでこんな不思議なことが起きるのか理解できなかったのですが、記者会見での詳細が幾

「ZFSでミラーのプールをRAID-Zに変更する」の作業ログ。 初期状態 root@opensolaris.sonorilo.net:~# zpool status tank pool: tank state: ONLINE scrub: none requested config: NAME STATE READ WRITE CKSUM tank ONLINE 0 0 0 mirror ONLINE 0 0 0 c8t2d0 ONLINE 0 0 0 c8t3d0 ONLINE 0 0 0 errors: No known data errors root@opensolaris.sonorilo.net:~# zfs list NAME USED AVAIL REFER MOUNTPOINT rpool 3.87G 3.95G 81K /rpool rpool/ROOT 3.11G 3

結論 セキュリティ対策の一環としてSQLの数値リテラル(が期待されるパラメータ)をシングルクォートでくくる(文字列扱いする)手法は使用すべきでない 理由 少なくともMySQLでは標榜されている通りの動作はしない上、意図しない副作用が発生する。 解説 数値リテラルをシングルクオートでくくる手法は、これを推奨する大垣氏によると次のような効果があるとされています。参考:なぜPHPアプリにセキュリティホールが多いのか? 第14回　減らないSQLインジェクション脆弱性 攻撃目的の入力が行われてもSQLインジェクションが発生しない 簡単に攻撃用の文字列が検出できる これらはどちらも数値型が期待されるパラメータに不正なデータが渡されるとクエリエラーが発生することが前提となっています。例として、 SELECT * FROM table WHERE id = $VALUE; --ここでidは整数型 というS