「Linux」でSSHのセキュリティを強化するヒント
Jack Wallen （Special to ZDNET.com） 翻訳校正： 編集部 2024-02-29 07:45 筆者は何十年も前からセキュアシェル（SSH）を使用している。このリモートログインツールを使用すると、リモートマシンがログインを安全かつ効率的に受け入れるようになるので、安心できる。その一方で、ネットワークに接続されたデバイスにおいて、完璧なセキュリティなどあり得ないことも理解している。筆者が使用するすべてのコンピューターで、必ずSSHのセキュリティを強化するようにしているのは、そのためだ。 セキュリティの「層」をいくつか追加することがいかに簡単であるかを知って、驚く人もいるかもしれない。以下で説明するように、「Linux」デスクトップおよびサーバーマシンのセキュリティを簡単に強化できるヒントがいくつかある。これらのヒントを実践すれば、不要なログインをより効果的に阻止す
SSH接続への中間者攻撃を可能にするエクスプロイト「Terrapin Attack」が発見される
セキュリティで保護されていないネットワークと通じてコンピューターに安全にコマンドを送信する「Secure Shell(SSH)」プロトコルにおいてハンドシェイクプロセス中にシーケンス番号を操作してSSHプロトコルの整合性を破る「Terrapin Attack」という攻撃が発見されました。この操作で、攻撃者は通信チャネルを通じて交換されるメッセージを削除あるいは変更できるようになり、さまざまな攻撃が可能になります。 Terrapin Attack https://terrapin-attack.com/ Terrapin Attack: Breaking SSH Channel Integrity By Sequence Number Manipulation (PDFファイル)https://terrapin-attack.com/TerrapinAttack.pdf Terrapin a
フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか - Qiita
ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた』と言う事象に至る現実的にありえる脅威を説明せよ。結構難しいと思いますよ。 https://t.co/LH21zphCTV — 徳丸 浩 (@ockeghem) April
IPA情報セキュリティ10大脅威 知っておきたい用語や仕組み2023年5月.pdf
情報セキュリティ 10 大脅威 知っておきたい用語や仕組み 2023 年 5 月 目次 はじめに......................................................................................................................................................... 3 1 章. 理解は必須！ ...................................................................................................................................... 5 1.1. 脆弱性（ぜいじゃくせい） .............................
自宅サーバを rootless に移行した際のトラブル対応
自宅の nerdctl + containerd 環境を rootless にした際のトラブル対応だが、 docker の場合もおおよそ似たものだろうと思う。 rootless とは 通常のままだと docker / nerdctl は root 権限で動作してしまう。 sudo usermod -aG docker <USER> などして sudo 不要にしていても実際には sudo しているのと同じことである。 rootless にすると各ユーザごとにコンテナが起動することになる。ホストマシンでの各ユーザの権限を最高としてコンテナ内では root として扱うことができるため、例えば volume mount の中にホストマシンで root 権限を要するファイルがあった場合、コンテナからは触ることができない。 これにより脆弱性が突かれた場合でも root 権限による操作を防ぐことができる
目に見えない文字を悪用してサイトを好き放題荒らされた話 - Qiita
ある日のこと 僕の運営している『ブラウザで遊べる絵チャット（令和最新版）』に、このような投稿がされてしまいました。 正直こんな荒らしは毎日のようにあるのですが、普段であればすぐに他のユーザーによって通報され、対処されます。 しかし、このユーザーは、何故か他ユーザーに通報されることなく、荒らし続けることができていました。 スクショをよく見ていただきたいのですが、通常であれば、「善良ユーザーA」のように発言の横にユーザーが名が表示され、そのユーザー名をクリックすることでプロフィールを表示することができるようになっています。 しかし、荒らしているユーザーには、なんと名前がないのです。 名前がないと、ユーザー名を押下することができず、プロフィールも表示できません。 違反行為の通報は、プロフィールから行うようになっているため、このユーザーは他ユーザーから通報されることなく、好きなだけおちんちん祭りを
SSHGuard
SSHGuard protects hosts from brute-force attacks by: Monitoring system logs Detecting attacks Blocking attackers using a firewall Fast, simple, secure, and protects a wide range of services out of the box! Internet-connected hosts are subject to constant probing and attacks from malicious actors. Brute-force attacks represent a large threat to account compromise for hosts and their networks. Block
Hardening unused (sub)domains - Mailhardener knowledge base
Hardening unused (sub)domains Even if a domain is not intended to be used for email, whether it being inbound (receiving) or outbound (sending) email, it is still recommended to apply proper email hardening techniques to prevent the domain from being abused for fraudulent activities. Domains that are not used for email may be parked domains, legacy domains, testing domains, black-hole domains, or
要注意！？本当に怖いCloudFront - Qiita
はじめに 先日、海外向けに運用していた個人ブログがDDoS攻撃を受けてしまいました。 こういったサイバー攻撃は、企業に対して行われるものという先入観がありました。 しかし、調べてみると、最近では個人ブログも標的になってきていると報告があがっていました。 CloudFrontとS3で作成する静的サイトが人気になっており、特にCloudFrontの危険性について紹介したいと思います。 DDoS攻撃って？ ざっくり説明すると、ウェブサイトやサーバーに対して過剰なアクセスやデータを送付するサイバー攻撃です。 インフラストラクチャーレイヤー攻撃(レイヤー3、4)とアプリケーションレイヤー攻撃(レイヤー6、7)の２つに分類されます。 ご指摘を頂きましたので、訂正いたします。 厳密には、EDoS攻撃でした。 AWS Shield Standard AWSを利用した場合、defaultでAWS Shiel
一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
「悪いやつをAIで予測する」のがなぜいけないか - yhara.jp
「この人、家賃を滞納しそう？」AIが予測 入居審査を45分→16分に - ITmedia NEWS いやーこれはまずい。この件に限らず、「悪いやつをAIで予測する」というのはすなわち 「あなたに似た人が悪いことをしたので、あなたも悪い人と見なします」 ということだからだ。 レストランのランプ たとえばこんな例を考えてみよう。ある街でレストランが強盗に襲われる事件が相次いだ。これを防ぐため、レストランの入口に防犯カメラを設置することにした。このカメラはAIで犯罪者の顔を学習していて、「犯罪を犯しそう」な人間を検知してくれるのだ。 もちろん検知するといってもサイレンが鳴ったりするわけじゃない。あくまで「犯しそう」なだけで、まだ犯罪を犯したわけではないからね。でもキッチンに置いてある赤いランプがピカピカ光って、「要注意人物」が来たことはわかるようになっている。ああこれで安心だ。 …さて、これは本
6個の南京錠でがちがちにロックされたこの鍵…よく見ると面白い仕組みになっていた : らばQ
6個の南京錠でがちがちにロックされたこの鍵…よく見ると面白い仕組みになっていた こちらは、とある鉄筋の「大はり部分」を固定してあるところの写真だそうです。 南京錠6個で複雑にロックしてあるので、解除が大変に見えますが……。 よく見ると、ある面白い仕組みが施されているのがわかるでしょうか？ 写真を90度横にして拡大したもの。 こっちの端にもあっちの端にも、計6個の南京錠が取り付けられています。 ところが不思議なことに、実は1個を外せば開くことができます。しかもどの南京錠を選んでもいいのです。 セキュリティが目的ならもっと大きな錠前にすればいいのに、いったいなぜこんな仕組みになっているのでしょうか？ 海外掲示板のコメントをご紹介します。 ●いろいろなゲートが、この仕組みでロックされているのを見たことがあるよ。特に道路へのアクセスでよく見かける。 複数の公益事業の会社が開けられないと困るので、み
メルカリ、顧客情報など2万7000件以上流出 外部ツールへの不正アクセスで
メルカリは5月21日、同社が利用しているコードカバレッジツール（ソースコードが自動でテストされた割合を計測するツール）「Codecov」が不正アクセスを受け、顧客情報や加盟店情報など合計2万7889件が流出したと発表した。流出した情報の悪用は確認しておらず、サービス運営への影響はないという。 流出したのは、2013年8月5日から14年1月20日までにフリマアプリ「メルカリ」の売上金を振り込んだユーザーの口座の銀行コード、支店コード、口座番号、口座名義人、振込金額（1万7085件）、15年から18年の間にカスタマーサービスを受け付けたユーザーの氏名、住所、メールアドレス、電話番号、問い合わせ内容（217件）、13年5月に実施したイベントに参加した人の氏名、年齢、性別、メールアドレス（6件）など。 キャッシュレス決済サービス「メルペイ」の加盟店情報（7925件）、メルカリとメルペイの取引先情報
Engadget | Technology News & Reviews
Some Apple users say they’ve been mysteriously locked out of their accounts
CSRF, CORS, and HTTP Security headers Demystified
With an increasing number of breaches, intrusions, and data thefts, securing a web application is extremely important. On the other hand, programmers often do not have a strong grasp of how attacks work and how to mitigate them. This post attempts to close that gap a little. CSRF Cross-Site Request Forgery is an attack where a third party forces a user to execute actions against a site where they
OpenSSL Security Advisory : CA certificate check bypass with X509_V_FLAG_X509_STRICT (CVE-2021-3450)
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フリー＆オープンソースのファイヤーウォールアプリ「Portmaster」がv1.0.0に／Windows/Linux対応
本人のメルアドを使うのはもはや時代遅れ？ 「1Password」が捨てメール機能を正式実装【やじうまWatch】
TechCrunch
