サービス終了のお知らせサービス終了のお知らせ いつもYahoo! JAPANのサービスをご利用いただき誠にありがとうございます。 お客様がアクセスされたサービスは本日までにサービスを終了いたしました。 今後ともYahoo! JAPANのサービスをご愛顧くださいますよう、よろしくお願いいたします。
SSDのせいで現代の犯罪捜査が極めて困難になっている状況が判明、その原因をSSDの仕組みから解説
By Jung-nam Nam 高速なデータ処理が可能なソリッドステートドライブ(SSD)の高性能化・低価格化・大容量化の勢いはとどまるところを知らず、2014年中にもIntelは2TBの高速SSDをリリースする予定です。身近なストレージとして普及しつつあるSSDですが、犯罪捜査におけるデータ解析を困難にさせる存在であると指摘されています。 Belkasoft: Digital Evidence Extraction Software for Computer Forensic Investigations http://forensic.belkasoft.com/en/why-ssd-destroy-court-evidence Modern SSDs self-destroy court evidence http://www.ssdfreaks.com/content/612/mo
知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法
知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法：HTML5時代の「新しいセキュリティ・エチケット」（3）（1/2 ページ） 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。前回は、同一オリジンポリシーを突破する攻撃の代表的事例であるXSSについて、特にDOM based XSSと呼ばれるものについて解説しました。今回はその続きとして、XMLHttpRequestによるXSSを解説します。 XHR Level 2によるリモートからのコード挿入によるXSS 従来、XMLHttpRequest（以下、XHR）は、表示しているドキュメントと同じオリジン（オリジンについては第1回を参照）としか通信できませんでしたが、現在の主要なブラウザーではXHR Level 2と呼ばれる実装により、オリジンを超えて通信することが可能になっています。 これは、Jav
「闇グーグル」は賢く使え NHKニュース
インターネットで検索するだけで、セキュリティー対策が十分でない機器を探し出すことができることから、ハッカーの攻撃の足がかりになるとして、「闇グーグル」などと呼ばれるサイトがあります。これまで脅威と捉えられることが多かったこのサイトですが、賢く利用すれば、逆に攻撃の糸口を断ち切ることにつながると活用を呼びかける対策を、独立行政法人の情報処理推進機構がまとめました。 このサイトは、２００９年に登場した「ＳＨＯＤＡＮ」というインターネットサービスです。 定期的にインターネットを巡回しては、ネット上の住所に当たるＩＰアドレスなどを手がかりに、ネットに接続された機器の情報をデータベースに収めています。 検索できる機器はパソコンやサーバーだけでなく、オフィス機器や情報家電、さらには発電所の制御機器まで、およそ５億台に上ります。 もともと研究目的で開発されたということで、誰でも利用できます。 最大の特徴
文字コードの脆弱性はこの3年間でどの程度対策されたか?
4. デモ1:半端な先行バイトによるXSS • 半端な先行バイトとは – Shift_JIS、EUC-JP、UTF-8などマルチバイト文字の1 バイト目だけが独立して存在する状態 – 次の文字が、マルチバイト文字の2バイト目以降の文 字として「食われる」状況になる – input要素などの引用符「”」を食わせて、イベントハ ンドラを注入する攻撃 Copyright © 2010-2014 HASH Consulting Corp. 4 5. デモ１：PHPソース <?php session_start(); header('Content-Type: text/html; charset=Shift_JIS'); $p1 = @$_GET['p1']; $p2 = @$_GET['p2']; ?> <body> <form> PHP Version:<?php echo htmlspeci
Apple史上最悪のセキュリティバグか、iOSとOS XのSSL接続に危険すぎる脆弱性が発覚──原因はタイプミス？
Appleは21日、iOSのソフトウェアアップデート7.0.6をリリースした。 iOS 7.1が早ければ3月中旬にもリリースされるとみられていたが、SSL接続の検証に関して、半月以上も待つことができない重大なバグが見つかったためだ。 SSLとは、「ウェブサイトで入力する個人情報やクレジットカード情報などを暗号化し、安全に送受信する技術」（Symantec）だ。データを安全にやりとりするために利用されている非常に重要な技術となっている。 そして今回、クライアント（ユーザ側）とサーバ（ウェブサイト側）の間をSSL接続する際のプログラムに、「BASIC初心者でも一目で分かるようなミス」（Wired）が見つかり、修正されることになったようだ。ミスがあったのは、以下の部分。 Appleが公開しているソースコード 「goto fail;」が2行続けて記述されている箇所に注目してほしい。2行目の「got
インターネットに公開するサーバーの基本的なセキュリティ設定 | 774::Blog
定期的にこういう内容を書いて公開している気がする。昔の記事もあるのでそちらを読めばいいのだが、また書く必要性が生じてきたのであらためて書きます。 現代では AWS のようなクラウドや VPS など格安で手軽にインターネット上にサーバーを持てるようになった。しかしインターネットで誰でもアクセスできる環境でサーバーを稼働させるということは、常に人間やロボットの攻撃に晒されるということを同時に意味している。したがって初心者だからだとか、会社の中ではこうやって仕事をしているからといった言い訳は一切通用しない。セキュリティ設定をきちんとしなければ内部への侵入をたやすく許し、思わぬデータの漏洩につながるのである。とはいえセキュリティというのはトレードオフを考慮しなければいくらでも強化できるものでありキリがない。ここでは最低限これだけはやっておこうという現実的な落とし所を提示し、人々への啓蒙をはかるもの
【注意】動画ソフト「GOM Player」経由でウイルス感染のおそれ アップデート機能使った新手口 事前の回避「大変困難」 ※追記
動画再生ソフト「GOM Player」のアップデート機能を利用した、新たなコンピュータウイルス感染の手口が確認され、セキュリティ企業のラックが公式サイトで注意を促しています。 今回のケースでは「GOM Player」の自動アップデート時に何らかの方法で、正規のアップデートサーバではなく「攻撃者側が用意した不正サイト」へと誘導されてしまい、そこから不正ファイルを実行されてしまう場合があったとのこと。正規のソフトウェアアップデート中に感染が起こるため、ユーザー側で攻撃を防ぐのは非常に難しく、また攻撃を受けたかどうかも気付きにくいため、GOM Playerの利用者には「安全が確認されるまでアップデートを行わない」ことを推奨しています。 正常なアップデートの流れ 攻撃を受けた場合のアップデートの流れ また今回は「GOM Player」がターゲットになりましたが、今後同様の手口は他のソフトウェアでも
OSセキュリティチュートリアル
2. Quiz セキュリティ技術と実装名を関係づけよ。 セキ リテ 技術と実装名を関係づけよ 注：１対１対応でないよ。 • • • • • • • • DEP ASLR Code Signing Code Signing Sandbox Access Control Encrypt Storage Encrypt Storage Integrity Check Trusted Computing • • • • • • • • SELinux Tripwire Ti i Exec Shield W^X TrouSerS T S S BitLocker Jail PAX 3. Quiz セキュリティ技術と実装名を関係づけよ。 セキ リテ 技術と実装名を関係づけよ 注：１対１対応でないよ。 • • • • • • • • DEP ASLR Code Signing Code Signing S
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.saitolab.org/taiken/
https://jp.techcrunch.com/2014/04/08/20140407massive-security-bug-in-openssl-could-effect-a-huge-chunk-of-the-internet/
MAP | Kaspersky Cyberthreat real-time map
httpsだからというだけで安全？調べたら怖くなってきたSSLの話!？ - Qiita
BLOGOS サービス終了のお知らせ