Shibuya.XSS techtalk #13 (2025/07/04 19:00〜)
Shibuya.XSS テクニカルトーク#13 を2025年7月4日(金)に開催します！ スピーカー @kinugawamasato さん 「Shadow DOMとセキュリティ」(仮) (20-30min) @shhnjk さん 「Operating (OpenAI) Operator」 (20-30min) その他未定 タイムテーブル 18:30 開場 19:00 スタート 20:15 終了 入館方法 東京日本橋タワー (地下鉄日本橋駅 B6 出口直結) 7F へ 7F の入館端末で ID を入力して入館証を発行する(ID はこのページ上部「参加者への情報」欄に後日記載します) 27F行きのエレベーター(手前から 2 つ目のブロック) のゲートに入館証の QR コードをかざして通過 エレベーターで 27F へ 入館証は退館時にも使うので大切に保管してください。 発表者も精一杯話を聞いてほ
MCPにおけるセキュリティ考慮事項と実装における観点（後編） - GMO Flatt Security Blog
MCP logo ©︎ 2024–2025 Anthropic, PBC and contributors | MIT license はじめに こんにちは、GMO Flatt Security株式会社 セキュリティエンジニアのAzaraです。普段は、クラウドセキュリティや Web アプリケーションのセキュリティを専門領域にしています。 本稿は MCP のセキュリティを前後編で解説するものの後編です。前編では MCP のセキュリティを、利用者の視点から考察しました。 後編となる本稿では、攻撃者視点から脅威や攻撃手法を整理します。そのうえで、日々増えていく MCP Server の提供者が、これらの脅威やセキュリティ課題をどのように考慮し対策を講じるべきかを解説します。 また、GMO Flatt Securityは日本初のセキュリティ診断AIエージェント「Takumi」や、LLMを活用したア
「男性ばかりで参入しづらい」セキュリティ業界を変えていく──女性特有の苦悩に立ち向かうランナーたち
登壇者 株式会社 incri 執行役員 兼 株式会社 andwee 執行役員CSO 兼 SOMPOホールディングス株式会社 デジタル・データ戦略部 兼 SOMPO Light Vortex株式会社 シニアビジネスクリエイター 佐久間萌里佳氏（ニックネーム：もりもり） 株式会社BLUE 代表取締役 篠田佳奈氏（ニックネーム：かなりん） 株式会社日立ソリューションズ セキュリティアナリスト 青山桃子氏（ニックネーム：ももレンジャー） PwCコンサルティング合同会社 マネージャー 愛甲日路親氏（ニックネーム：アリス） 国立研究開発法人情報通信研究機構 サイバーセキュリティ研究所 サイバーセキュリティ研究室 専門研究技術員 鈴木悠氏（ニックネーム：きゃっふぃー） 国立研究開発法人情報通信研究機構 サイバーセキュリティ研究所 サイバーセキュリティ研究室 主任研究員 長谷川彩子氏（ニックネーム：はせこ
6人の“セキュジョ”が徹底討論！出産・育児と仕事の両立に立ち向かう女性たちが見たセキュリティの世界
多様なキャリアの“セキュジョ”6人が集結 佐久間萌里佳氏（以下、もりもり）：本日モデレーターを務めます、佐久間萌里佳です。incriの執行役員を務めるほか、SOMPOホールディングスやSOMPO Light Vortexでヘルスケア関連のアプリ企画や開発をしています。プライベートでは第二子を出産したばかりです。今回のセッションでは、登壇者全員をニックネームで呼び合うことにします。私のことは「もりもり」と呼んでください。では、パネリストの皆さまを紹介します。 株式会社 incri 執行役員 兼 株式会社 andwee 執行役員CSO 兼 SOMPOホールディングス株式会社 デジタル・データ戦略部 兼 SOMPO Light Vortex株式会社 シニアビジネスクリエイター 佐久間萌里佳氏 篠田佳奈氏（以下、かなりん）：BLUE 代表 篠田佳奈です。日本発のサイバーセキュリティ国際会議「COD
Licensing Conflict: Apache 2.0 vs Terms of Service Content Rights Requirements · Issue #3510 · cline/cline
What happened? As a open source Cline user, I found unclear separation between the open source license and the service terms. Cline project is licensed under Apache 2.0, which: Allows commercial use Does not require contractual agreements between users and Cline Bot Inc. Permits free use and modification of the software However, the Cline Bot Inc.'s Terms of Service updated on February 24th, 2025
Cline利用におけるデータの取り扱いについて - サーバーワークスエンジニアブログ
【2025年5月16日追記】 利用規約について、Cline社からの回答により適用範囲が明確となりました。 以下の記事も合わせてご覧ください。 blog.serverworks.co.jp 【2025年5月16日追記ここまで】 これまでClineに関するブログ記事をいくつか公開し紹介してきました。 今回、利用規約の変更に伴うユーザーデータの取り扱いについて懸念が生じたため、本記事ではClineの利用規約の中でも特に注意すべき点と、弊社の対応についてご説明します。 Cline利用規約の変更点とデータ収集のリスク Clineの利用規約 (https://cline.bot/tos 更新日: 2025年2月24日) を確認すると、ユーザーコンテンツの取り扱いに関する記述が変更されていることがわかります。特に注目すべきは、利用規約の3.2における以下の記述です。 You further grant,
悪いのは全部 Eve だと思ってた | blog.jxck.io
Intro いつも本ブログを読んで頂いている皆様、そしてセキュリティ関係者の皆様へ。 この度は、筆者による "Eve" に対する不適切な引用、および、原稿内における不名誉な扱いについて、この場を借りて謝罪させていただきます。 Alice と Bob ネットワークやセキュリティ系の解説の中で、プロトコルの送受信を二人の対話構成になぞらえる場合、一方を Alice、もう一方を Bob とする通例があります。 その構成は、業界では長くこの通例が使われており、私的な文書から現場実務まで、あらゆる文書で Alice と Bob は対話を重ねて参りました。 この二人の会話の間で、ひっそりと盗み聞きしている存在が「Eve」です。 C (Charlie), D (Dave) を飛ばしていきなり Eve が登場するのは、盗聴を意味する Eavesdropper に由来していることと、Charlie と Da
社内でCTFを開催してみた - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。開発本部内でセキュリティ活動を行っているPSIRTです。PSIRTで初の社内CTF（Capture The Flag）を開催したので、本記事ではその開催準備の様子や開催中の様子を紹介します。 開催背景 2025年2月4日から6日にかけて、開発・運用系のメンバーが一同に集まる「開運冬まつり」が開催されました。このイベントは、部門やチーム、職能を超えて社員同士が交流し、新たな視点や刺激を得ることを目的としています。 昨年の開運冬まつりの様子は以下のブログを御覧ください。 blog.cybozu.io このイベントのコンテンツとして、PSIRT有志のメンバーで初の社内CTFを開催することにしました。 CTF開催のねらいは二つありました。 セキュリティを難しく遠い存在と感じているメンバーに、セキュリティを楽しみながら身近に感じてもらいたい CTFを通じて普段の開発や運用の中でもセキュリ
BitM Up! Session Stealing in Seconds Using the Browser-in-the-Middle Technique | Google Cloud Blog
BitM Up! Session Stealing in Seconds Using the Browser-in-the-Middle Technique Written by: Truman Brown, Emily Astranova, Steven Karschnia, Jacob Paullus, Nick McClendon, Chris Higgins Executive Summary The Rise of Browser in the Middle (BitM): BitM attacks offer a streamlined approach, allowing attackers to quickly compromise sessions across various web applications. MFA Remains Crucial, But Not
Cookie Theft 対策と Device Bound Session Credentials | blog.jxck.io
Intro Chrome チームより提案された Device Bound Session Credentials の実装が進み、Flag 付きで試すことができる。 この提案の背景と、解決する問題、現時点での挙動について解説する。 背景 2FA や Passkey の普及により、認証部分はかなりセキュアになってきた。インシデントによりパスワードが漏洩しても、それだけでなりすましを成立させるのも困難になっている。 そこで攻撃者の注目を集めているのが、Cookie の窃取(Cookie Theft)だ。 認証がいかに堅牢になっても、有効な Session Cookie を盗むことができれば、その値を Cookie フィールドに付与してリクエストするだけで、なりすましを成立させることができる。 いわゆる Session Cookie は、Proof of Authentication として実装さ
脱法Mac App Store - パルカワ2
会社のPCではMac App Storeを開くことを禁じられているのだが、例えばMac App Storeでしか配布されていないKindleとか業務中にぱっと本を確認したいときに確認できなくて不便。Xcodeは配布されてるけどログインしてWebページから探してとかしなきゃいけなくて不便。masを使うとMac App Storeでしか配布されていないアプリをインストールできる。*1 mas-cli/mas: :package: Mac App Store command line interface HomebrewのBrewfileに書くことも可能。便利ですね mas "Xcode", id: 497799835 Homebrew/homebrew-bundle: 📦 Bundler for non-Ruby dependencies from Homebrew, Homebrew Ca
Blog: DoubleClickjacking: A New Era of UI Redressing
“Clickjacking” attacks have been around for over a decade, enabling malicious websites to trick users into clicking hidden or disguised buttons they never intended to click . This technique is becoming less practical as modern browsers set all cookies to “SameSite: Lax” by default. Even if an attacker site can frame another website, the framed site would be unauthenticated, because cross-site cook
2025年版 OWASP Top 10 for LLMと、LLMセキュリティの具体策！
今月11月18日にOWASPは正式に「OWASP Top 10 for LLM Applications」の2025年版を公開しました。 OWASP TOP 10 for LLMは2023年に初版が発表されました。今回の2025年改定版では、最新のLLMリスクやアプリケーションアーキテクチャを考慮して、チャットボットやRAGシステムなどのLLMアプリケーションにおける、主要なセキュリティリスクを明らかにするとともに、それを軽減するための具体的な方策を提示しています。 「OWASP Top 10 for LLMs」の背景OWASP（Open Web Application Security Project）は、ソフトウェアセキュリティに特化した非営利財団およびコミュニティであり、Webアプリケーションセキュリティの業界標準である「OWASP Top Ten」で著名な組織です。 元々の「OWA
ローコード・ノーコードに潜むリスクを攻撃ツールで確かめてみた（インターンシップ体験記） - NTT Communications Engineers' Blog
こんにちは、NTTドコモグループの現場受け入れ型インターンシップ2024に参加させていただきました、佐藤と鈴木です。 本記事では、現場受け入れ型インターンシップ「D1.攻撃者視点に立ち攻撃技術を開発するセキュリティエンジニア」での取り組み内容について紹介します。NTTドコモグループのセキュリティ業務、とりわけRedTeam PJに興味のある方への参考になれば幸いです。 目次 目次 RedTeam PJの紹介 参加に至った経緯 インターンシップ概要 ローコード・ノーコードとは 検証業務 Power Pwnの概要 PowerDump reconコマンド dumpコマンド 条件や制約の調査 dumpコマンドの制約 検証まとめ 感想 おわりに RedTeam PJの紹介 私たちは、NTTコミュニケーションズ イノベーションセンター テクノロジー部門 RedTeam PJのポストに参加しました。Re
“パスワード変更”をユーザーに定期的に要求はダメ 米国政府機関が発表 「大文字や数字を入れろ」の強制もNG
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 「組織はユーザーに定期的なパスワード変更を要求してはならない」──米国政府機関の米国立標準技術研究所（NIST）が、そんな内容を含めた新しいガイダンス「SP800-63B」を発表した。パスワードの内容は、セクション3.1.1に記されている。 多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。 これは、Webサイト
タリーズの件、CSPが設置されていたら防げていたという話がありますが、それは正しいでしょうか？ CSPを設定していなかったとしても、想定していない外部へのリクエストが発生していないか、定期的にチェックすることも大事ですよね？ | mond
タリーズの件、CSPが設置されていたら防げていたという話がありますが、それは正しいでしょうか？ CSPを設定していなかったとしても、想定していない外部へのリクエストが発生していないか、定期的にチェックすることも大事ですよね？ タリーズのサイトからのクレジットカード情報漏えいについて、CSP(Content Security Policy)やintegrity属性（サブリソース完全性）の重要性がよくわかったという意見をX(Twitter)上で目にしましたが、これらでの緩和は難しいと思います。 まず、CSPの方ですが、今回の件では元々読み込んでいたスクリプトが改ざんされたと考えられるので、オリジンとしては正規のものです。evalが使われていたのでCSPで制限されると考えている人が多いですが、evalは難読化のために使われているので、evalを使わないことは可能です。個人的には、難読化しない方が
「定期的に変更するな」 NISTがパスワードポリシーのガイドラインについて第2版公開草案を発表
訂正のお知らせ 本文中で、修正前は「パスワードポリシーに関するガイドライン『NIST Special Publication 800-63B』の改訂版」と記載していましたが、正しくは「『NIST Special Publication 800-63B-4』の第2版公開草案」の誤りでした。誤解を招く表現となっていたことをお詫び申し上げます。該当箇所を訂正しました（2024年9月30日15時20分更新）。 米国立標準技術研究所（NIST）は2024年8月21日（現地時間、以下同）、パスワードポリシーに関するガイドライン「NIST Special Publication 800-63B-4」について、第2版公開草案を発表した。 同草案では定期的なパスワードの変更や異なる文字タイプの混在（例えば数字、特殊文字、大文字小文字を組み合わせる）を義務付けるべきではないことが提案されている。 「パスワード
【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜当人認証編＞
NIST SP 800-63-4のドラフトの主要な変更事項を読み解く全4回の連載、第3回目はSP 800-63B「デジタルアイデンティティの当人認証とその保証レベル」を取り上げます。NIST SP 800-63の概要については第1回全体編をご覧ください。 本連載の関連記事はこちら 【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜全体編＞ 【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜身元確認編＞ 【解説】デジタルアイデンティティガイドライン「NIST SP 800-63」第4版ドラフトはどう変わる？＜フェデレーション編＞ ▶「大規模ユーザを管理する顧客ID統合プロジェクト成功の秘訣」をダウンロードする NIST SP 800-63B 「デジタルアイデンティティの当人認証とそ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF] 北朝鮮を背景とするサイバー攻撃グループ TraderTraitor による 暗号資産関連事業者を標的としたサイバー攻撃について
OWASP Reveals Updated 2025 Top 10 Risks for LLMs, Announces New LLM Project Sponsorship Program and Inaugural Sponsors - OWASP Top 10 for LLM & Generative AI Security