はてなのCAPTCHAを破るプログラムは30分で書ける - やねうらおブログ(移転しました)
CAPTCHAとは、スパムコメントなどを防止するための認証画像のことである。 それにしても、はてなのCAPTCHAはひどい。無いよりマシという考え方もあるのでそれについてはあまり議論する気は無いのだが、それにしてもこれを破るプログラムは30分あれば十分書ける。 具体的には、はてなのCAPTCHAには8つの好ましくない特徴と、2つの脆弱性がある。 ■ 8つの好ましくない特徴 ・画像自体のサイズが小さすぎる。→ こんなに小さいと探索量(計算量)が小さくて済む。 ・フォントにゆがみがない → フォントはある程度変形させたほうが良い。変形させてあるとテンプレートマッチングがしにくくなる。 ・フォントが固定。→ フォントは毎回変えたほうが良い。 ・フォントを回転させていない → フォントは文字ごとにある程度ランダムに回転させた方が良い。 ・フォントサイズが一定 → フォントサイズは文字ごとにある程度
ＩＰＡ式ウェブアプリケーション脆弱性チェックリスト
先日書いた業務用アプリに関連するんですけど、うちの会社ではサービスをリリースする前に脆弱性監査を通す必要があります。会社の仕組みとしてそのような監査チームがあることが凄く助かっています。 さて、会社の脆弱性監査の内容は守秘義務等で書くことが一切できないのですが、ＩＰＡ（独立行政法人 情報処理推進機構）にて脆弱性対策についてのまとめ資料が公開されています。 情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方 ココで公開されている 「安全なウェブサイトの作り方 改訂第3版」 は全７６ページからなる脆弱性対策マニュアルになっていて、どのような脆弱性に対してどうのように対処すべきかが記載されています。この第３版は行ってみれば、脆弱対策2009年度版みたいなもん。新しい攻撃手法がどんどんでてくるのでその都度対策が必要なのですが、このマニュアル本に記載されている内容で、現在の対
文字コードのセキュリティ問題はどう対策すべきか: U+00A5を用いたXSSの可能性 - 徳丸浩の日記(2009-03-11)
_U+00A5を用いたXSSの可能性 前回の日記では、昨年のBlack Hat Japanにおける長谷川陽介氏の講演に「趣味と実益の文字コード攻撃(講演資料)」に刺激される形で、Unicodeの円記号U+00A5によるSQLインジェクションの可能性について指摘した。 はせがわ氏の元資料ではパストラバーサルの可能性を指摘しておられるので、残る脆弱性パターンとしてクロスサイト・スクリプティング(XSS)の可能性があるかどうかがずっと気になっていた。独自の調査により、XSS攻撃の起点となる「<」や「"」、「'」などについて「多対一の変換」がされる文字を探してきたが、現実的なWebアプリケーションで出現しそうな組み合わせは見つけられていない。 一方、U+00A5が処理系によっては0x5C「\」に変換されることに起因してXSSが発生する可能性はある。JavaScriptがからむ場合がそれだ。しかし、
よりセキュリティを高めるための設定: 自動再生を無効にする
最近、USB メモリを経由して感染するウイルスが流行しています。 拾ったUSBメモリは不用意につながない――外部接続デバイスを狙うワームも (ITmedia) コンピュータウイルス・不正アクセスの届出状況[6月分および上半期]について (IPA ISEC) 学内でも感染事例が多数報告されています。 この種のウイルスの感染を防止するには、CD-ROM や USB メモリ、USB / FireWire (IEEE1394) 接続のハードディスクなどにおける自動再生 (autorun) 機能を無効にすると効果的です。ウイルスは自動再生機能を使って起動・拡散するからです。 アンチウイルスプログラムをインストールし、ウイルス定義ファイルを最新のものにすることはもちろん重要ですが、それだけでウイルス感染を予防できるとは限りません。複数の手法を組みあわせることで、より効果的に予防できるようになります。
クリックジャッキング攻撃
McAfee Avert Labs Blog 「Clickjacking」より October 15，2008 Posted by Zhu Cheng 最近インターネット界では，「クリックジャッキング」（Clickjacking）と呼ばれる新たな攻撃手法が話題になっている（関連記事：「クリックを乗っ取る」攻撃が報告、ほとんどのブラウザーに影響）。 オンライン公開されていたセキュリティ会議「OWASP NYC AppSec 2008 Conference」のビデオで，Jeremiah Grossman氏とRobert “RSnake” Hansen氏が「New Zero-Day Browser Exploits――ClickJacking（Webブラウザの新たなゼロディ・エクスプロイト――クリックジャッキング）」と題するプレゼンテーションを実施し，クリックジャッキングというセキュリティ・ホー
PCのrootkit感染が増加傾向に
最新のウイルス対策製品を導入していても、マルウェアやrootkitに感染していることがあるとPrevx。 セキュリティ企業のPrevxは、スパイウェア／マルウェア検出ツールの「Prevx CSI Scanner」で過去2カ月に72万5000台のPCをスキャンした結果、rootkit感染が増えていることが判明したと発表した。 Prevx CSI Scannerは、同社が10月に発表したマルウェア検出ツール。10月の時点でスパイウェアやマルウェア、rootkit感染が見つかったPCは6台中1台（15.6％）だったが、12月にrootkit検出などの機能を強化した結果、12月12日現在でこの割合は5台中1台（22％）に増えた。 rootkitに感染したPCは70台に1台（1.46％）の割合で見つかり、業界推計の1000台に1台を大幅に上回ったという。 一方、企業では12月の最初の9日間で93社が
無料のアンチウイルスソフト「AVG Anti-Virus Free Edition」日本語版登場 - GIGAZINE
Windows 98/Me/NT/2000/XP/Vistaに対応したアンチウイルスソフト「AVG Anti-Virus Free Edition」の日本語版がついに先ほど、ようやく公開されました。家庭内で個人的に非商用で利用するのであれば無料です。 いろいろと機能的な制限はあるものの、常駐させることが可能で、なおかつ定期的にパソコンの中をフルスキャンさせたり、あるいは右クリックから任意のファイルをスキャンするといったことも可能ですし、メールの送受信時に自動的にスキャンしてチェックすることもできます。なので、とりあえずアンチウイルスソフトに払うお金がないという人には最適なのかも。 というわけで、実際にインストールして使ってみました。 ダウンロードは以下から可能です。 AVG - AVG Anti-Virus Free Edition ダウンロードしたらクリックして実行 「次へ」をクリック
評価版とホワイトペーパー | データベース・アセスメントツール | データベース・セキュリティ | セキュリティ総合サイト | 三菱総研DCS株式会社
NGSSQuirreLをお試しいただくために、評価版をご提供しております。 ご希望のお客様は、下記「資料請求・ お問い合わせ」ページにて必要事項をご記入の上、お申込みください。 ダウンロード可能なソフトウェア NGSSQuirreL for Oracle NGSSQuirreL for SQL Server NGSSQuirreL for DB2 評価版の制限事項 ゼロデイチェックの検査は含まれません。 高レベルの脆弱性問題に関わる情報は、レポート出力に含まれません。 スキャンにより検出された高レベルの脆弱性問題に詳細は含まれません。 ロックダウンスクリプト機能は提供されません。 セキュリティ・マネージャが使用できません。 スキャン結果を保存することはできません。 コアチェック（標準の脆弱性検査項目）を編集することはできません。 ユーザーチェック（ユーザーによ
第6回 意外に知られていないブラインドSQLインジェクション | gihyo.jp
前回の記事でSQLインジェクションの話は終わりにして、クロスサイトスクリプティングの話を書かせて頂こうと思っていました。しかし、6月5日に東京にて開催されたPostgreSQLカンファレンス2007でセキュリティをテーマに講演させて頂き、意外にブラインドSQLインジェクションをご存じでない方が沢山いらっしゃいました。40名ほどの聴講者の皆様にSQLインジェクションをご存じの方？とお聞きするとほぼ全ての方が知っていると答えたのですが、ブラインドSQLインジェクションをご存じの方は数名でした。 SQLインジェクションの常識 ブラインドSQLインジェクションの話をする前に、SQLインジェクションとその対策の常識について確認します。 SQLインジェクション対策として間違ってはいないが不十分な対策 エラーメッセージを表示しない（特にSQLエラー） ユーザ入力文字列をエスケープする これらはSQLイン
yebo blog: MD5衝突攻撃による偽SSL証明書の作成
2008/12/31 MD5衝突攻撃による偽SSL証明書の作成 異なるメッセージで同じMD5ハッシュ値を生成する、いわゆるMD5衝突攻撃によって、偽造されたSSL証明書を使ったフィッシング攻撃が可能で、ブラウザからはその証明書が偽物かどうかを検知できないことが Chaos Communication Congress で発表された (MD5 considered harmful today)。MD5衝突を生成するのに、200台のPlaystation 3が使われるそうで(写真)、会議では2004年に期限切れとなったCA証明書の期限を延長するデモが披露された。これがSANS Diaryで話題になっていた25C3での発表のようだ。 現在、署名アルゴリズムにMD5を利用しているSSL証明書は、RapidSSL (VeriSign)、FreeSSL、TC TrusteCenter AG、RSA D
SSH通信でデータ漏えいの可能性--32ビットの平文が取り出し可能に
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）と独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）は11月17日、SSH通信において一部のデータが漏えいする可能性があると発表した。 SSH（Secure Shell）は、インターネット上に置かれているサーバにネットワークを介してログインしたり、コマンドを実行したりするためのプログラムおよび通信プロトコル。データが暗号化された状態で通信されることが特徴となっている。 JPCERT/CCとIPA/ISECによると、SSHで使用される通信方式の一部に対する攻撃方法が報告されたという。この攻撃によって、SSHを実装する製品が影響を受ける可能性があ
高木浩光＠自宅の日記 - 緊急周知 Googleマイマップの削除で残骸が生じて消せなくなる欠陥, 残骸ではなく復活している模様（7日追記）
■ 緊急周知 Googleマイマップの削除で残骸が生じて消せなくなる欠陥 Googleマップの「マイマップ」機能で、秘密にしなければならない情報を利用者が誤って登録していた事故が立て続けに発覚しており、各地でマップ作成者の割り出しと作成者による削除の作業が行われているところと思われるが、Googleのシステムには不具合（バグ、欠陥）があり、削除不能に陥ってしまう場合が少なくない頻度で発生していることがわかった。削除作業を行う場合には注意が必要である。 背景 Googleマップは図1の構成になっている。図1は、「test_test」という文字列を含む地図を検索したときの様子で、検索結果の「A」をクリックしたときに、地図中の対応する位置に、当該登録地点の情報が「吹き出し」として表示されている様子を示している。登録地点にはテキストを書き込むことができるようになっており、ここでは「秘密の情報」と書
高木浩光＠自宅の日記 - ユビキタス社会の歩き方(5) [重要] 自宅を特定されないようノートPCの無線LAN設定を変更する
■ ユビキタス社会の歩き方(5) [重要] 自宅を特定されないようノートPCの無線LAN設定を変更する 昨日の日記を書いて重大なことに気づいたので、今日は仕事を休んでこれを書いている。昨日「最終回」としたのはキャンセルだ。まだまだ続く。 目次 Windowsの無線LANはプローブ要求信号として自動接続設定のSSIDを常時放送している Windowsの新たな設定項目「このネットワークがブロードキャストしていない場合でも接続する」をオフに Windowsの無線LANが放送するSSIDからPlaceEngineで自宅の場所を特定される恐れ 電波法59条について再び Windowsの無線LANはプローブ要求信号として自動接続設定のSSIDを常時放送している 昨日の日記の図3で、probe request信号の例としてSSIDが「GoogleWiFi」になっているものを使った。これは昨日キャプチャし
第3回 通用しなくなった「80番ポートの安全神話」
セキュリティ対策の基本の一つに，ファイアウォールに余計な“穴”を開けないというものがある。それでも，WebアクセスのプロトコルであるHTTPが使う80番や8080番，SSLで使用する443番などは，ふさぐことのできないポートだろう。しかし最近は，この80番などを使ったWeb経由の攻撃が後を絶たない。開けているのが80番などの基本的なポートだけでも，安心とは言えないのだ。 ボットを制御するIRCがWebのフリをする 最近，多くのパソコンに感染が広がり，セキュリティ上の大きな脅威となっているものにボットがある。ボットとは，「ロボット（Robot）」から派生した言葉で，感染パソコンをロボットのようにリモート・コントロールする不正プログラム（ウイルス）の総称である。また，ボットが構成するネットワークの総称を，ボットネットと呼ぶ。ボットネットは，ハーダーと呼ばれる悪意を持った第三者の指示により，DD
APOPのぜい弱性で見えてきたMD5の「ご臨終」
情報処理機構セキュリティセンターは4月，メール・サーバーの認証プロトコルの一つ「APOP」について注意を喚起した。この注意喚起は，電気通信大学の太田和夫教授のグループが，APOPで使うハッシュ関数「MD5」に新たな欠陥を発見したことに基づくもの。この欠陥は，APOPだけでなく，MD5を使う電子署名などのほかのアプリケーションの欠陥も示唆する。実際にどの程度危険なものか，技術に基づいて考えてみよう。 わからないはずのパスワードが解かれる APOPは，チャレンジ・レスポンスという方式を使って，メール・クライアントとメール・サーバーのやりとりを盗聴してもパスワードが解読できないようにする。パスワードを直接やりとりせずに，まずサーバーからクライアントに「チャレンジ・コード」という文字列を送る。クライアントはチャレンジ・コードとパスワードを連結したうえで，MD5というハッシュ関数を使ってハッシュ値を
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
Fortify、Ajaxのセキュリティ問題に警鐘 | スラド
ITmediaの記事 Fortify、Ajaxのセキュリティ問題に警鐘 によれば、Fortify Software社が12種類(13バージョン)のAjaxフレームワークを調査したところ、「JavaScript乗っ取り」という特定の脆弱性について対抗策を講じていたものは一つしかなかったという。この脆弱性が悪用されると、ウェブサイトのユーザの機密情報が第三者に盗まれる危険がある。Fortify社のアドバイザリ(PDF)によれば、調査対象フレームワークは以下の通り: Dojo, DWR 1.1.4, DWR 2.0, GWT, jQuery, Microsoft Atlas, MochiKit, Moo.fx, Prototype, Rico, Script.aculo.us, xajax, Yahoo! UI。このうち対抗策があると言えるのはDWR 2.0のみ。またRicoとxajaxはJSO
阻止率99%のスパム対策方式の研究報告 ―― Selective SMTP Rejection (S25R)方式 ――
目次 あらまし 1. 従来のスパム対策 2. S25Rスパム対策方式のコンセプト 3. クライアント制限の規則 3.1. 一般規則 3.2. ブラックリスト 3.3. ホワイトリスト 3.4. その他のフィルタ 4. 統計データ 5. S25Rスパム対策方式を大規模サイトで運用する方法 6. S25Rスパム対策方式をインターネット全体で運用するために 7. スパマーがS25Rスパム対策方式をすり抜ける方法 まとめ 付録A. Postfixでの設定方法 付録B. 拒絶記録抽出用スクリプト あらまし オープンリレー（第三者中継）を行うメールサーバが少なくなり、最近では多くのスパマーが、ADSLやケーブルネットワークなどのエンドユーザー用高速回線につながってボットに感染したたくさんのエンドユーザーコンピュータからスパムを直接ばらまいている。オープンリレーブラックリストはもはや役に立っていない。有
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
経済産業省 CHECK PC! ｜ デビュー曲PV
パスワードをハッシュ化（暗号化）保存することを法律で義務化するくらいのことが必要だと思う