［セキュリティ編］パスワード・ポリシーを厳しくしすぎてはいけない
IDとパスワードは，最も基本的でかつ有効な本人確認の方法である。その安全性を高めるには，パスワード・ポリシーをできるだけ厳しくすべきと考える人がいるが，大きな誤解である。 「英字の大文字/小文字，数字の組み合わせが必要で，最後が数字で終わってはいけない」「パスワードは毎月変更する必要があり，過去5世代のパスワードは再利用できない」といったポリシーを設定している例を耳にする。こうした複雑なポリシーを設定すると，パスワードが漏えいするリスクよりも，付せん紙にメモされてしまうリスクの方が高くなりやすい。 パスワード認証を用いる場合に考慮・検討すべき機能項目を表にまとめた。注意が必要なのは，どの項目もやみくもに厳しくしてはいけないということである。ポイントは大きく二つある。（1）利用を強制する文字種類の数を安易に増やしてはいけないことと，（2）パスワードの定期変更を安易に迫っていけないことだ。
openssl コマンド
opensslコマンド [サーバの実験室 Slackware] 作成 : 2003/02/16 修正 : 2003/10/13 修正 : 2011/05/22 "サーバの実験室"の検索 デフォルトで使用されるランダム情報ファイルやポリシー、CA の秘密鍵ファイルや証明書ファイルは、openssl.cnf で定義される。 openssl.cnf は、/usr/local/ssl ディレクトリ（デフォルト）に置かれる。 CA の開設 CA を開設するには、/usr/local/ssl/misc/CA.sh を使用する。 ./demoCA ディレクトリに、cacert.pem（CA 証明書）や private/cakey.pem（CA 秘密鍵）が作成される。 CA.sh から /usr/local/ssl/bin/openssl を実行しているので、パスを通しておくこと。 # misc/CA.s
Javascript/HTML特殊文字のエスケープ - 俺の基地
HTMLと解釈される文字文字列を画面に表示するときはその文字をエスケープしないといけない。 ・・・そのやり方 prototype.jsに面白いやりかたがのってたのでそれを単体で切り出すと↓こういう感じになる //htmlな文字をエスケープ var escapeHTML = function(_strTarget){ var div = document.createElement('div'); var text = document.createTextNode(''); div.appendChild(text); text.data = _strTarget; return div.innerHTML; } 何かHTML要素の中のテキストノードにエスケープされていない文字列を突っ込んで、それを要素のinnerHTMLとして取り出すと、エスケープされた文字列を得ることができる。 タ
世間の認識と脅威レベルのギャップ――XSSは本当に危ないか？
皆さんこんにちは、川口です。コラムの第6回「IPSは“魔法の箱”か」でまっちゃ１３９で講演をしたお話を書きましたが、今度は関東でやっている「まっちゃ４４５」にお招きいただき、お話ししてきました。 まっちゃ４４５は募集開始から定員が埋まるまでがとても速く、今まで参加したことがなかったのですが、今回は運良く（？）講師側ということでキャンセル待ちにならずに参加することができました。ロックオンの福田さんがオープンソースのECサイト構築システム「EC-CUBE」に脆弱（ぜいじゃく）性が発見された際のインシデントハンドリングのお話をされていました。EC-CUBEにSQLインジェクションとクロスサイトスクリプティング（以下、XSS）が発見されたあとの対応のお話です。JSOCで日々インシデントにかかわっているいる自分としてはとても興味深い内容でした。 日本のエンジニアのセキュリティ意識は過剰？ 今回のよう
Javascript/innerHTMLでscriptタグ内部のJavascriptをキックする - 俺の基地
オブジェクト中にscriptタグで挟んだJavascript突っ込むとDOMとしてパースはしてくれてるようなのだけどキックはしてくれない。alertを仕込んでも鳴らない、functionを仕込んでも定義されていない、という状態。そこにコードとしては書かれているのだけどキックされない。 最終的コード <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <meta name="Content-Type" content="text/html;charset=UTF-8" /> <title>タイトルです</title> <met
HTTP クライアントを作ってみよう(6) - Digest 認証編 -
Digest 認証 (ダイジェスト認証) 前ページでは Basic 認証を紹介し、セキュリティ面で問題があることを示しました。 その欠点を解消したのが Digest 認証です。 以下の URL では Digest 認証を行っています。 ブラウザから操作する分には Basic 認証と区別が付かないでしょうが、 認証の仕組みはちょっと複雑になっています。そのかわり、 ネットワーク上を流れるパケットを覗き見られても、パスワードがばれることはありません。 以下、仕組みを簡単に説明します。 「メッセージダイジェスト」の意味がよくわからなければ、暗号化のお話 (3) を参照してください (「ハッシュ」と「メッセージダイジェスト」は同じものと考えてください)。 まず、あらかじめサーバ側にパスワードの MD5 メッセージダイジェストを保存しておきます (ユーザ登録に相当)。 クライアントが Digest
世界的大流行のDownadup，ポイントは感染後の素早い対応策
内閣官房情報セキュリティより発行された「第二次情報セキュリティ基本計画（案）」を見ると，事故を前提とした内容が盛り込まれている。予防的セキュリティ対策の限界が表面化していることを踏まえると，至極真っ当な計画だ。 特に近年は，多発しているSQLインジェクション攻撃からもうかがえるように，セキュリティ機器の回避技術や攻撃コードの難読化，膨大過ぎるボットの亜種などセキュリティ担当者の頭を悩ますキーワードがてんこ盛りである。これらの脅威すべてに対して策を講じるのは，正直なところかなり難しい。今後は，事故発生時にいかに被害を軽減させるかがポイントとなってくると予測される。 そんな中，従来の攻撃手法に類似しているにもかかわらず，あるウイルス/ワームが世界的にブレイクしている。日本でも2008年末から感染企業が数多く確認されている「Downadup」である。被害に遭っている企業を見ると，まさに事故を前提
高木浩光＠自宅の日記 - オレオレ証明書の区分 改訂版
■ オレオレ証明書の区分 改訂版 はてなキーワードに「オレオレ証明書」の項目ができていた。 ここにある冒頭の「(特にPKI上不適切な場面で使われる)自己署名証明書。」 という定義は私の定義とは異なる。自己署名とは限らないし、 不適切な場面とも限らないからだ。 そのためその下にある第一種〜第五種の区分の記述と矛盾が生じている。 私の定義では、クライアント側で認証パスを辿れない（検証できない）証明書 のすべてをオレオレ証明書としている。それは、サーバ側の設定ミスかもしれ ないし、設定が正しくても今まさに通信路上で攻撃を受けているのかもしれな い。証明書の発行の意図に関係なく、クライアントから見れば等しく「オレオ レ」と言っているようにしか見えない。 攻撃を受けている場合を除いて、クライアント側でオレオレ証明書となる場合 の、その原因別の区分を9月3日の注釈で書 いていた。他に第六種もあったので
JavaScriptで遅延ロードをする方法についてのおさらい
先日リリースした Extractor の Bookmarklet(コメントをチェック(浮き出る版))のデザインや仕様を変えました。主な変更点としては、「マウスでドラッグできる機能」が付いたのとデザインをがらっと変えました。 その際にma.laさんの最速インターフェース研究会で紹介されていたJavaScriptでの遅延ロードのテクニックを拝借させて頂きましたので、覚え書きのつもりで今回どのようにしてそれを使ったのかについて書いておきます。 まず、先に紹介した Extractor の Bookmarklet がなにをやっているかというと、現在見ているページに script タグのエレメントを生成して、他のドメインのJavaScriptのソースを読み込んでいます。Bookmarklet を分解すると下記になっています。具体的には createElement で script タグを生成して、各プ
MySQL :: MySQL 8.0 リファレンスマニュアル :: 12.14 暗号化関数と圧縮関数
多くの暗号化関数および圧縮関数では、結果に任意のバイト値が含まれている可能性のある文字列が返されます。 これらの結果を格納する場合は、VARBINARY または BLOB バイナリ文字列データ型のカラムを使用します。 これにより、バイナリ以外の文字列データ型 (CHAR, VARCHAR, TEXT) を使用している場合など、データ値を変更する可能性がある後続の領域削除または文字セット変換の潜在的な問題を回避できます。 一部の暗号化関数は ASCII 文字の文字列を返します: MD5(), SHA(), SHA1(), SHA2(), STATEMENT_DIGEST(), STATEMENT_DIGEST_TEXT()。 戻り値は、character_set_connection および collation_connection システム変数によって決定される文字セットと照合順序を持つ文
userAgent一覧
ブラウザの判別や携帯の機種判別に利用するためのユーザーエージェント一覧です。ただし、ユーザーエージェントは詐称（偽物）される場合があるため、完全にユーザーエージェントでブラウザなどの判別ができるわけではありません（詐称の方法のページを参照）。ここに掲載されているものは、このサーバーなどに対してアクセスしてきたユーザーエージェント名などを抽出したものなどです。あまりに古いブラウザおよびマイナーなブラウザに関してはアクセスログがないため掲載できていません。 [トップページに戻る] ■iPhone ●iOS Mozilla/5.0 (iPhone; U; CPU like Mac OS X; en) AppleWebKit/420+ (KHTML, like Gecko) Version/3.0 Mobile/1C28 Safari/419.3 ●iOS2 Mozilla/5.0 (iPhone
テクノロジー : 日経電子版
電通、三菱UFJ信託銀行など大手企業が相次ぎ参入を表明する「情報銀行」。ここに挑むベンチャー企業がDataSign（東京・渋谷）だ。同社の太田祐一社長は情報銀行という言葉が生まれる…続き 中部電力が「情報銀行」参入へ 電力データを活用 ［有料会員限定］ 「情報銀行」説明会に２００社 データ流通の枠組み始動
Apache HTTP サーバ バージョン 2.0 ドキュメント - Apache HTTP サーバ
Please note This document refers to the 2.0 version of Apache httpd, which is no longer maintained. Upgrade, and refer to the current version of httpd instead, documented at: Current release version of Apache HTTP Server documentationYou may follow this link to go to the current version of this document.
Apache 2.0の必須設定と基本セキュリティ対策
Apache 2.0の必須設定と基本セキュリティ対策：実用 Apache 2.0運用・管理術（1）（1/3 ページ） 本連載では、Apache 2.0の運用や管理方法を解説する。第1回では、その下準備として必須の設定と基本的なセキュリティ対策を行い、今後の運用に備える。（編集部） WebサーバのデファクトスタンダードApache Webサーバと聞いて、Apache Webサーバ（以下Apache）を思い浮かべないLinuxユーザーはいないでしょう。いまや、ApacheはWebサーバのデファクトスタンダードという地位を確立しています。Netcraft社の2005年7月の調査（http://news.netcraft.com/archives/2005/07/）によると、WebサーバにおけるApacheのシェアは7割に及んでいます。 HTTP／HTTPSがeビジネスの基盤として使用されるように
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
スパム対策技術S25Rについて
Twitter cleans up after weekend worm attacks - CNET
Loading...
テクノロジー : 日経電子版
テクノロジー : 日経電子版
stunnel: stunnel.pem