入力中の個人情報が“送信ボタンを押す前に”収集されている問題 約10万のWebサイトを調査
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ベルギーのKU Leuven、オランダのRadboud University、スイスのUniversity of Lausanneによる研究チームが発表した「Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission」は、まだ送信していないのにもかかわらず、オンラインフォームで入力した個人情報（今回は電子メールアドレスとパスワード）が打ち込んだだけで収集されている問題を調査した論文だ。 サインインやサービスへの登録、ニュースレターの購読など、さまざまな理由でオンラインフォームに個人情報を入力す
ダークネットで観測できる面白パケットいろいろ - ラック・セキュリティごった煮ブログ
始めまして。デジタルペンテストサービス部の北川です。 筆者の自宅ではダークネット観測装置という名のただのtcpdumpがずっと動いてるだけのRaspberry Piがあります。 パケットをどんどん記録していくのは良いのですが、どんなパケットが来ているか全然見てなかったので、ご紹介したいと思います。 ダークネットとは ダークネットとは、インターネット上で到達可能かつ未使用のIPアドレス空間のことです。ダークネットを観測することにより、インターネット上で行われているポートスキャンなどの活動を見ることができます *1。 ダークネット観測といっても、ブラックホールセンサ、低インタラクションセンサ、高インタラクションセンサといくつか種類があり、筆者は一番運用が簡単なブラックホールセンサを運用しています。 ブラックホールセンサは、受信したパケットに対して一切応答を返さない種類になります。 そのため、外
Ｓｋｙ脆弱性報奨金制度｜セキュリティ・脆弱性について｜Ｓｋｙ株式会社
Ｓｋｙ株式会社（以下、Ｓｋｙまたは弊社）では、弊社が提供する対象製品・サービスの脆弱性を発見しご報告いただいた方への謝礼として、報奨金をお支払いする「Ｓｋｙ脆弱性報奨金制度（以下、本制度）」を実施しています。 目的 本制度は、弊社が提供する製品・サービスに存在するゼロデイ脆弱性の早期発見と改修を目的とした制度です。 参加条件 以下の条件を満たした方にご参加いただけます。 報告時点でＳｋｙまたはＳｋｙのグループ会社の従業員ではないこと 報告時点で業務委託契約、出向契約、派遣契約等の契約形態により、ＳｋｙまたはＳｋｙのグループ会社の業務に従事していないこと 過去にＳｋｙまたはＳｋｙグループ会社の正社員として雇用されていないこと 過去にＳｋｙまたはＳｋｙグループ会社で、製品開発およびクラウドサービス運用関連の業務に従事していないこと 日本語または英語で、Sky-SIRTとコミュニケーションができ
セキュリティの立ち上げで何をやる？
最近、セキュリティの立ち上げで何をやったらいいかわからない、という質問を何度か受けるケースがあったので、最初に何をやるか、というのを情シスやセキュリティ担当者としての考えをまとめてみる。 著者のキャリアについて セキュリティの立ち上げについて書く以上、信頼に足る情報源なのか？という疑問がわくと思うので、簡単に著者のキャリアを書いておきます。 2002年にSIerでIT業界に入り、研究所のNetwork Admin、Web penetration test、ISMSコンサルの補佐などやり、その後外資プリセール分野で7年仕事して、最初のSIに戻ってセキュリティソリューションの立ち上げを担当、その後ユーザーサイドにキャリアを変えて、外資石油系企業のセキュリティアナリスト、中国系スタートアップのInfoSec Director&一人情シスをやってきたキャリアです。CISSPは2019年に取得してお
PHPでログファイルへの読み書きを通して任意コード実行をする方法 - knqyf263's blog
以前少し話題になったLaravelのデバッグモード有効時の脆弱性であるCVE-2021-3129のPoCを読んでいたのですが、思ったより難しくて何でこんなことをしているんだろうと思ったら発見者による解説ブログがありました。読んでみたらバイパスのために思ったより色々していて普通に勉強になったのでメモを残しておきます。CTFerからすると常識な内容かもしれないので、何か間違いや補足があれば指摘をお願いします。 www.ambionics.io 前提知識1 前提知識2 本題 問題点 = によるエラー 日付のデコード ログファイル内の他エントリ バイパス方法 consumedの利用 iconvの利用 パディングの利用 UTF-16のための調整 NULLバイトの回避 最終形 まとめ 前提知識1 上の脆弱性を理解するためにはいくつかの前提知識を必要とするため最初にまとめておきます。 まず、PHPでは外
データ分析基盤における個人情報の扱いについて - NRIネットコムBlog
こんにちは佐々木です。 誰に望まれた訳でもないですが、データ分析基盤の設計シリーズの第三弾です。今回のテーマは、データ分析基盤における個人情報＆パーソナルデータの扱いについてです。ここを最初に考えておかないと、データ分析基盤は毒入りとなって、扱いづらいものになります。 データ分析基盤構築の肝は、データレイクとDWHの分離 - NRIネットコムBlog データレイクはRAWデータレイク・中間データレイク・構造化データレイクの３層構造にすると良い - NRIネットコムBlog 個人情報＆パーソナルデータと匿名加工について まず最初に個人情報＆パーソナルデータの定義と匿名加工について、サラッと確認しておきましょう。 個人情報＆パーソナルデータ 個人情報とは、任意の一個人に関する情報であり、かつその情報をもとに個人を特定できるものを指します。代表的な個人情報としては、名前・住所・電話番号・E-ma
JSONパーサにファジングしたら収拾がつかなくなりました
ファジング(Fuzzing)が便利 コンピュータにランダムに生成させたデータを入力とし、ソフトウェアの予期せぬ挙動を観測・発見する手法がファジングです。脆弱性発見の文脈で使われることが多いですが、一般的なごく普通のソフトウェア開発でも便利に使うことができます。私もこれまでに何度か、開発中の関数にファジングを行うことで、想定できていなかったバグを見つけたことがあります。 ファジングの大きな魅力の1つは、個人の想像力を超えることができる点です。開発をテスト駆動で進めているとしても、必要となるテストをすべて網羅できていない場合が多々あります。テスト駆動開発はあくまでも個人(あるいはチームメンバー)が見つけることができたテストしか実行できないので、その人の能力や想像力を超えることができません。しかしファジングであれば、人が考えもつかないようなパターンを試してくれます。もちろんファジングもブルートフ
CVE-2021-20181 の技術的解説 - Flatt Security Blog
こんにちは。株式会社Flatt Securityセキュリティエンジニアの志賀(@Ga_ryo_) です。 本記事では、最近公開されたCVE-2021-20181の技術的な解説をしていきたいと思います。本脆弱性は、自分が発見し、Zero Day Initiative を経由してベンダーに報告しました。本記事は、脆弱性の危険性を通知する目的ではなく、あくまで技術的観点での学びを共有する事を目的としています。 読む前に 概要 前提条件 影響 Virtioとは VirtFSとは QEMU Coroutine 各種スレッド メッセージハンドラの呼ばれ方 Coroutineの利用 VirtFSにおけるファイル共有 V9fsFidState構造体 reclaim unreclaim clunk 脆弱性解説 PoC概要 修正 まとめ おわりに 参考 読む前に 事前に言っておくと、権限昇格のExploitは
Clubhouseを支えている技術とアーキテクチャ、セキュリティについて - LayerX Research
#LayerX_Newsletter 2021-02-19 TL;DR Clubhouseは極めてシンプルなアーキテクチャ 音声データはAgoraを、リアルタイム性の高い情報の扱い(ルームの中など)はPubNubを利用 音声データが暗号化されていないなどセキュリティ面での課題も多い Clubhouseは招待制の音声配信SNSで、2020年Aplha Exploration社が開発したこのサービスは、つながりがある人同士でラジオ放送のように自由に会話を楽しんだり、興味ある人はその会話を傍聴、さらには会話に飛び入り参加もできる特徴がある。2021年に入り世代・国籍・性別を問わず爆発的人気となっており、日本では2021年1月からスタートアップ界隈を中心に一気に話題が広がっている。また、テスラの創業者や有名人・著名人などが利用しはじめたことで大きな注目を浴びた。今回はClubhouseはどのような
多くの人、特にMacユーザに読んでほしい「Your Computer Isn't Yours」日本語訳 - YAMDAS現更新履歴
sneak.berlin コリィ・ドクトロウのブログ（ニュースレター）Pluralistic の Digital manorialism vs neofeudalism で宣伝されているローカス・マガジンの連載記事 Neofeudalism and the Digital Manor（日本語訳）経由で知ったブログ記事である。 恥ずかしい話だが、ワタシはこの記事で書かれている最近のバージョンの macOS のおそるべきユーザ支配について、これが書かれた昨年11月に話題になっていたことを知らなかった。 しかし、このエントリのはてなブックマークを見ても、その内容を考えると数が控えめで、もしかするとワタシのように知らない人も多いのかもと思ったので、ここで紹介しておいたほうがよいと思った次第である。 最近のバージョンの macOS では、君はコンピューターの利用ログを記録されていて、ログデータを送信
IAM ロールの PassRole と AssumeRole をもう二度と忘れないために絵を描いてみた | DevelopersIO
コンバンハ、千葉（幸）です。 皆さんは、 PassRole と AssumeRole についてきちんと理解ができていますか？どちらも IAM ロールに関するものですね。 私はカラダ（ボディ）の調子がいい時は思い出せるのですが、雨が降っている日や、ちょっと疲れて気を抜いた時にはすぐ分からなくなってしまいます。 ということで、イメージとして脳に刻み付けることによって忘れられなくしてやろうと思いました。 そこで出来上がったのが以下です。 間違えました。以下です。 あ、でもやっぱり忘れづらいのはこちらかもしれませんね。 どうですか？もう忘れられなくなりましたね？ 先にまとめ IAM ロールには以下ポリシーを設定できる アイデンティティベースポリシー Permissions boundary 信頼ポリシー AWS リソースに IAM ロールを引き渡す際には PassRole の権限が必要 PassR
エンドツーエンド暗号化と法規制 – JPNIC Blog
dom_gov_team 2020年12月14日 インターネットガバナンス エンドツーエンド(E2E)暗号化(E2EE)とは、端末間の全部の通信経路でコンテンツを暗号化することを意味し、通信経路の途中の仲介者がデータを復号化して内容を読むことが事実上不可能となります。Whatsapp、iMessage、Signalなどのチャットサービスで主に使われているようです。利用者にとっては安心ですが、犯罪などに使われた例もあるため、法執行当局からはこれまでテロや児童虐待などの対策の際に問題となるという主張がなされてきました。 2020年秋の動きとして、E2E暗号化に関する7ヶ国共同の声明が公開され、かつEUでの決議案のリークがありました。本稿ではその内容をご紹介したいと思います。 ファイブアイズ諸国とインド・日本による声明 2020年10月11日、英国、米国、オーストラリア、ニュージーランド、カナダ
ソースコード上にメールアドレスが認識される状態にある不具合についてのお詫び – Booklog
ブクログサービスご利用者 様 いつもブクログサービスをご利用いただきまして、誠にありがとうございます。 この度、ブクログサービスにおいて、ソースコード上にメールアドレスが認識される状態にあるとのご 指摘を受け、事実関係を調査いたしましたところ、各ご利用者様の本棚ページのソースコード上にご利 用者様ご本人のメールアドレスが表示されている事実を確認いたしました。 本棚を公開されているご利用者様におかれましては、不特定な人物にメールアドレスを見られてしまう 可能性があり、直ちにメールアドレスが記載されている個所を削除いたしました。 皆様には、大変なご迷惑とご心配をおかけしましたこと、深くお詫び申し上げます。 現在のところ、本件によるメールアドレスの流出や被害は報告されておりません。 このような事態を招いたことを重く受け止め、個人情報の取り扱いには厳重に注意するとともに、今 後、このような事態を起
就活生向け: 裏アカウント特定サービスからの特定を防ぐためのガイドライン - HackMD
就活生向け: 裏アカウント特定サービスからの特定を防ぐためのガイドライン === 筆者: [SttyK](https://twitter.com/SttyK), [znppunfuv](https:
シリンダー錠に抜き差しする鍵の形状を“音”から推測する技術、合鍵の不正作成も
シンガポール国立大学（NUS）の研究チームは、シリンダー錠に差し込む鍵の形状を音から推測できる技術「SpiKey」を開発した（発表、論文）。 SpiKeyは、一般的に“シリンダー錠”と呼ばれることの多い、錠内でシリンダーのピンが片面だけに設けられた“ピンタンブラー錠”を対象とする技術。ピンタンブラー錠に鍵を差し込むと、ピンにぶつかった鍵の“山”がピンを正しい位置へ押し上げることで、内筒が回せるようになる。こうして解錠できる仕組みだ。 研究チームは、まずピンタンブラー錠に鍵を差し込んでから抜くまでの音をスマートフォンで録音した。録音データを解析して鍵の山とピンがぶつかる音を調べると、解錠に必要な鍵の形状をある程度推測できるという。具体的には、33万通りを超える形状パターンのなかから平均3通りの候補に絞り込めたそうだ。
AWS×コンテナで基本的なDevSecOpsアーキテクチャをデザインしたお話 - How elegant the tech world is...!
はじめに 先日、僕が担当する業務でECS/Fargate利用を前提にDevSecOpsアーキテクチャをデザインし、社内のAWS勉強会にて登壇する機会をいただきました。 本ブログでも内容をかいつまんでご紹介できればと思います。 AWSによらず、コンテナを利用されている方にとって、一つのプラクティス例としてご参考になれば幸いです。 ※コンテナ自体の説明や必要性に関する内容は省略していますm(_ _)m そもそもDevOpsとは？ DevSecOpsの導入意義をお伝えするた前に、まず軽くDevOpsの意義をお伝えします。 ※とは言え、この記事をご訪問されている方にとっては「何をいまさら...」な内容かもしれませんし、ググればDevOps自体の情報はたくさん見つかりますので、重要なポイントのみ述べることにします。 DevOpsとは、一言で述べれば、開発チームと運用チームが協力してビジネス価値を高め
AWSになぜセキュリティが必要なのか エフセキュアのコンサル担当が教えるAWSセキュリティ対策
えびすセキュリティボーイズは、オンラインセキュリティ勉強会です。 今回、エフセキュアのコンサルティング担当の河野氏がクラウド・セキュリティ初心者に向けて、まずやるべきことを紹介しました。講演資料はこちら 「エフセキュア」はどういう会社か 河野真一郎 氏（以下、河野）：みなさんこんばんは。 一同：こんばんは。 河野：えびすセキュリティボーイズ meetup online #1の一発目を担当します、河野です。「初心者のあなたに捧げるCloud SecurityあとCyber Security Sauna」というタイトルで、10分ほど喋りたいと思いますます。私は、エフセキュアという会社の法人営業本部で営業担当でして、主にクラウドセキュリティとセキュリティコンサルティングサービスを担当しています。 今日の資料は既にSlideShareにアップロードしてありますので、読み直したい方はそれをご覧くださ
国内高校の半数が利用するClassiの不正アクセスについてまとめてみた - piyolog
2020年4月13日、Classi（以下Classi社と記載）は同社のクラウドサービス「Classi」が不正アクセスを受け、IDや暗号化されたパスワード文字列などが閲覧された可能性があると発表しました。ここでは関連する情報をまとめます。 corp.classi.jp 2時間で122万人のIDなどが閲覧された可能性 不正アクセスの概要 Classiへの不正アクセスは4月5日 日曜日の昼過ぎから夕方にかけ発生。発生時間は2時間14分。 社内のデータベースで異常発生が検知されたことが発端。データベースが直接被害を受けていたのかは報じられていない。 Classi社の発表に「外部専門会社の協力を得て不審ファイルや通信ログを解析したところ」とあり、Classi上に何らかのファイルが蔵置されていた可能性がある。 第三者に閲覧された可能性のある情報は次の通り。 閲覧された可能性のある情報 Classi社は
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
証明書のピンニングはやめましょう
same-site/cross-site, same-origin/cross-originをちゃんと理解する