100を超えるAWSアカウント運用におけるガードレール構築事例
先日行われました AWS JAPAN SUMMIT ONLINE 2020 にて、「大規模な組織変遷と100以上のAWSアカウントの横断的セキュリティガードレール運用について」のテーマにて、私たちのグループで取り組んでいる全ての AWS に対する横断的な取り組みを ビジョナル CTO 竹内 と ビジョナル CIO 園田 より発表させていただきました。 今回は、その発表内容について、発表の中で伝えきれていない内容などより詳細にお話しさせていただきます。 こんにちは、システム本部 プラットフォーム基盤推進室 ORE (Organizational Reliability Engineering) グループ の 長原 です。 私が在籍するグループでは、 Visional グループの全事業のクラウドや非機能要件等に対して、横断的にエンジニアリングによる課題解決に取り組んでいます。 複数事業・マルチ
Android アプリで意図しないクリアテキスト トラフィックへの逆行を防ぐ
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
OpenSSLの脆弱性(CVE-2014-3511)でTLSプロトコルの基礎を学ぶ - ぼちぼち日記
1. はじめに、 昨日 OpenSSLのバージョンアップがアナウンスされ、９つの脆弱性が公開されました。バージョンアップの数日前にOpenSSLの次期リリース予告がアナウンスされていましたが、ちょうど BlackHat 開催初日にあたることもあり、なんかまた重大な脆弱性の修正が入るんじゃないかとドキドキしていました。蓋を開けてみるとHeatBleed程の大事ではなくホットひと安心です。 昨日公開されたOpenSSLの９つの脆弱性のうち、TLS プロトコルダウングレード攻撃 (CVE-2014-3511)の修正を見ていたところ、これはTLSプロトコルを学ぶいい題材になるなぁとふと思いつき、試しにこのOpensslの脆弱性の詳細をTLSプロトコルの基礎に合わせて書いてみました。 ちょっと長いですが、TLSプロトコルの仕組み（の一部）を知りたい方はお読みください。 2. OpenSSLの脆弱性
SCSVを実際に試す - ASnoKaze blog
先日の書いた「TLSのダウングレード攻撃を防ぐSCSVとは」ですが、10/15に公開されたOpenSSL 1.0.1jで既に使用できるようなので試してみました。 使い方 使用するには、-fallback_scsv オプションを付けるだけです。 $ openssl s_client -fallback_scsv -connect google.com:443 パケットキャプチャすると、ClientHelloのCipher Suitesに「TLS_FALLBACK_SCSV」を示す{0x56,0x00}が付加されていることが確認できます。 実際の挙動を確認する さて、付加されていることが確認できたら実際の挙動も見てみましょう。 どうやらgoogleでは既に「TLS_FALLBACK_SCSV」を確認しているようです $ openssl s_client -connect google.com:
TLSのダウングレード攻撃を防ぐSCSVとは
2018/01/09追記 TLS1.3の仕様ではダウングレード攻撃対策が異なっています。 TLS1.3もしくはTLS1.2に対応したサーバは、それ以下のTLSバージョンをねごシーエションする際はServerHelloのランダムの下位ビットに規定の文字列を挿入する決まりになりました。 クライアントはランダムの下位ビットを見てダウングレードしていないか確認します 2015/04/26追記 rfc7507としてTLSのSCSVはRFCとなりました。 draft-00よりIANA Considerationsの追加や、DTLSに関する記述が追加されています。 2015/08/04追記 中間者攻撃と言う表現は盗聴行為を含む攻撃であるが、今回は盗聴行為については必要が無いため表現を変更いたしました。 以上 ダウングレード攻撃 TLS通信を行う際、ハンドシェイクに失敗した場合にプロトコルのバージョンを下
[memo]UDID/UUID/UIIDなどとiOS6の新IDの違い - tanamonの稀に良く書く日記
UなんとかIDみたいなのがいっぱいあって区別がつかないので少し整理してみた。 なんとかIDの種類。 UDID(Unique Device IDentifier) （たぶん）Apple用語。 iOS端末の製造時に割り当てられる固有の識別コードで、値の変更はできない。 端末IDや端末固定IDと呼ばれるものと同じ。 iOS5からアプリからの取得が非推奨になった。 UUID(Universally Unique IDentifier) RFC 4122で定義されている。 生成の度に値が変わり、理論上重複することがない。 実装的にはGUID（Globally Unique IDentifier）が有名。 iOS6からNSUUIDクラスを使って簡単に生成できるようになった。 UIID(Unique Installation IDentifier) インストールごとに変わるという性質を持ったUUID。
![[memo]UDID/UUID/UIIDなどとiOS6の新IDの違い - tanamonの稀に良く書く日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/5f1b7ecb079a2a7d8d7139254b5272f49b9ace1a/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F17680117126983516850%2F17680117126983518256%2F1551347395)
SSL/TLSライブラリの正しい使い方（もしくは、コモンネームの検証について）
スマホアプリの市場拡大に伴い、直接SSL/TLSライブラリを使用するプログラムを書く機会も増えてきている今日この頃かと思います。 SSL/TLSライブラリを使う際には、接続確立時にサーバの認証を正しく行う必要があります。具体的には、クライアントプログラムで以下の２種類の検証を行うことになります。 SSL/TLSライブラリがサーバの証明書の検証に成功したこと サーバの証明書に含まれるコモンネーム注1が接続しようとしたサーバと同一であること 前者については、OpenSSLの場合はSSL_CTX_set_verifyの引数にSSL_VERIFY_PEERを指定するなどして、ライブラリ側で処理を行わせることが可能です（証明書の検証に失敗した場合はSSL_connectがエラーを返します）。 一方、後者についてはSSL/TLSライブラリによって差があり、検証機能を有効にするために特別な呼出が必要だっ
ユーザー登録なしでユーザーを識別するベストプラクティス - その後のその後
アプリを起動していきなりサインインや新規アカウント作成が必要だとそこで辞めてしまうユーザーは多い。 で、ユーザー登録ステップを踏まずにユーザー識別する手段としてまずUDIDを使う方法を思いついてしまうのですが、下記のようなすごくためになる記事がありまして、 iOS デバイスでの番号・番号・番号（ UDID、ICCID、IMEI、... ） それによるとUDIDを使うのはだいぶリスキーなようです。 UUIDを認証に使った場合、他者に漏れると簡単になりすましができてしまう。この為、認証に使ってはいけない。また生のまま暗号化されていないネットワークに流すことや、サーバ側で管理することも推奨されない（UUIDを元に個人が特定できる可能性が出てくるため、漏洩した場合まずいことになる）。ログを取る目的などで単にユーザを分別するのに利用したい場合は、適当な文字列（SALT）を加えてから MD5や SHA
Lifetimes of cryptographic hash functions
I've written some cautionary articles on using cryptographic hashes to create content-based addresses (compare-by-hash). This page brings together everything I've written and keeps an updated table of the status of popular cryptographic hash functions. Quick summary of my recommendations on compare-by-hash: If you are using compare-by-hash to generate addresses for data that can be supplied by mal
モバイルアプリケーションセキュリティ101
1. モバイルアプリケーション セキュリティ101 Security Assurance Group, System Security Oiffice, DU, Rakuten, Inc. Tokuji Akamine, Chris Liu 2. 自己紹介 • Tokuji Akamine 赤嶺徳治 @tokujia OWASP Japan アドバイザリボードメンバ セキュリティアシュアランスグループマネージャ リードセキュリティエンジニア 楽天レッドチームメンバ • Chris Liu シニアセキュリティエンジニア 楽天レッドチームメンバ 2 3. アジェンダ • スマートデバイスの成長 • OWASPモバイルセキュリティプロジェクト • モバイルアプリ開発におけるセキュリティ的課題 • OWASPモバイルトップ１０リスク • OWASPモバイルトップ１０コントロール 4.
スマホアプリのSSLサーバ証明書の検証不備について
8. 8 SSLサーバ証明書の検証不備とは 不正な SSL サーバ証明書を使用 しているサーバであっても警告 を出さずに接続してしまう問題 中間者攻撃 による通信の盗聴や 改ざんなどが行なわれても、 ユーザが気づけない 出典：JVNDB-2012-000037 - JVN iPedia - 脆弱性対策情報データベー ス http://jvndb.jvn.jp/ja/contents/2012/JVNDB-2012-000037.html 9. 9 JVN公表されたアプリ 公開日 JVN番号 アプリ名 アプリ種類 2013/08/19 JVN#75084836 Yahoo!ショッピング Androidアプリ 2013/08/19 JVN#68156832 ヤフオク! iOS/Androidアプリ 2013/06/07 JVN#39218538 ピザハット公式アプリ Androidアプ
Androidの脆弱性（まとめ版）
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 について見つけたいきさつを記事にしました。 こちらは長いので、ざっくりバッサリ、なるべく簡潔に、何ができちゃうのか・何がヤバいのかをまとめます。 【原因】 WebViewの addJavascriptInterface()の危険性（参考）が、Android 3.x／4.0／4.1 ではWebViewそのものに存在する。 このためWebViewをそのまま使っているアプリや、WebViewのラッパにすぎない標準ブラウザに同様の脆弱性がある。（Android版ChromeはWebViewを使っていないので問題ないです） 【何ができてしまうか】 JVNに書かれている通り Android 標準ブラウザや WebView クラスを利用しているアプリで、細工されたウェブページを閲覧した際に、ユーザの意
PHP で Amazon S3 の REST API を使用 #1 | 林檎生活100
Amazon S3 を PHP から操作する場合、AWS SDK for PHP を使用するのが簡単かつ確実です。 しかし、WordPress のプラグインなどを作成する場合には、WordPress のライセンスである GNU General Public License version 2.0 と AWS SDK for PHP のライセンスである Apache License 2.0 との間で矛盾が生じてしまいます。（矛盾する理由の詳細は、記事末尾の参考文献を参照してください。） そこで、今回は Amazon S3 の REST API を PHP で Client URL Library を使用して呼び出すことで、Amazon S3 を操作してみます。 それでは、第1回目は Amazon S3 の REST API で使用されている認証を実装してみようと思います。なお、この記事に記載
カスタム・アプリケーションによる認証フローとプログラミング
ネイティブ・アプリのプログラム・コードから認証を行う方法とは？ Azure Active Directoryを例に、OAuth 2.0をベースにした、プラットフォームに依存しない新しい手法を考察する。 ← 前回 連載 INDEX 次回 → プログラマーにとっての新たな課題 ユーザー（＝利用者）にとって便利なことは、必ずしも開発者（＝プログラマー）にとって便利であるとは限らない。 これまでの連載の中で見てきたように、Google／Facebook／Microsoftアカウントなど、昨今のクレーム・ベースの認証は、やりとりに関するルールが「Webブラウザーを使用してアクセスすること」を前提として標準化されている（つまり、Web標準をベースとして、標準化されている）。しかし、標準化されているのは、多くがHTTPのリクエスト（Request）と、それに対するレスポンス（Response）であり、そ
#352 Securing an API - RailsCasts
Download: source codeProject Files in Zip (95.7 KB)mp4Full Size H.264 Video (20 MB)m4vSmaller H.264 Video (9.66 MB)webmFull Size VP8 Video (7.81 MB)ogvFull Size Theora Video (25.9 MB) 先週はエピソード350で販売サイト用のバージョン管理されたAPIを構築する方法を紹介しました。/api/productsというパスにアクセスすると、JSONを介してこのアプリケーションとデータのやりとりが可能です。このAPIは完全に公開されていて誰でも利用可能で商品情報の編集や削除ができてしまいますが、APIへのアクセスには制限をかけるのが通常でしょう。これを実現する方法はいろいろありますが、どの方法を選択するかはアプリケーショ
Android: Trusting SSL certificates | Antoine Hauck's blog
Two weeks ago I got the task to establish TLS secured connections via certificates to a service endpoint. I thought it’s not a big deal, because the endpoint already uses an EV certificate from a trusted CA (SwissSign) in Switzerland. Therefore I shouldn’t have to worry that the certificate would be considered as untrusted so I don’t have to import it to the trusted certs in the Java key store e
crazybob.org: Android: Trusting SSL certificates
We use a self-signed SSL certificate for the test version of our backend web service. Since our certificate isn't signed by a CA that Android trusts by default, we need to add our server's public certificate to our Android app's trusted store. These same instructions apply to trusting a custom CA, except you'd get the public certificate directly from the CA instead of from a server. Required tools
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OWASP Testing Guide v4 Table of Contents - OWASP
Create a Bearer token in Scala
How safe are client SSL certificates in a mobile app?