Firefoxは危険なJavaScriptに対応しない - Qiita
Firefox / Safari MozillaはMozilla Specification Positionsというリストを公開しています。 IETFやW3C、TC39などが提唱しているWeb技術に対して、Mozillaはどのように評価しているかという立ち位置を表明したものです。 あくまで現時点での評価であり、もちろん今後の仕様変更などに伴い評価は変わる可能性があります。 Mozilla's Positions Mozillaはどのように評価しているかの分類。 under consideration 評価の検討中。 important 優れた概念であり、Mozillaにとっても重要である。 worth prototyping 優れた概念であるが、プロトタイプを作成し、フィードバックを得て磨きをかける必要がある。 non-harmful 有害ではないが、良いアプローチではなく、取り組む価値
2015年上半期スパムメール動向：マクロを利用する不正プログラムとランサムウェアが増加 | トレンドマイクロ セキュリティブログ
Eメールは、サイバー犯罪者にとって大きなビジネスかもしれません。2014年、世界中で 1日当たり 1, 963億件の Eメールが送受信されました。そのうち 1,087億件はビジネスに関連したものです。こうしたメールが毎日膨大に送受信されることを考えると、サイバー犯罪者が大企業を狙って Eメールを悪用することは容易に想像できます。そして、Eメールの悪用は、甚大な経済的損害や個人情報の窃取につながる可能性があります。例えば、2014年に発生した大規模な情報漏えい事例により、米大手ホームセンター「Home Depot」は 6,200万米ドル（2015年9月3日時点、約74億6,850万円）、米大手小売業「Target」は 2億2,900万米ドル（275億8,530万円）の損害を受けたと報告されています。しかし、ビジネスだけが Eメールを悪用した攻撃に脆弱だというわけではありません。トレンドマイク
【新記事作成しました】セキュリティに関する情報源を整理してみた - トリコロールな猫/セキュリティ
【2020/02/26更新】加筆修正を加えた2020年版を新記事を作成しました。この記事はもう更新しませんので、以下の記事をご覧ください。 security.nekotricolor.com 個人的なブックマークをどこでも使えるようにここに公開しておこうと思います。 政府機関 サイトURL RSSまたは新着情報の場所 情報セキュリティ政策（METI/経済産業省） 最新情報 総務省｜報道資料一覧：2020年2月 報道資料一覧 過去のトピックス一覧｜国民のための情報セキュリティサイト 過去のトピックス一覧 高度情報通信ネットワーク社会推進戦略本部（ＩＴ総合戦略本部） 【お知らせ】 警察庁 @police topics 警察庁 サイバー犯罪対策 What’s New 情報セキュリティ広場 警視庁 注目記事？ http://www.cryptrec.go.jp/topics.html トピックス一
不正アクセスで年金情報１２５万件が流出か NHKニュース
日本年金機構は、年金情報を管理しているシステムに外部から不正アクセスがあり、年金加入者の氏名や基礎年金番号など、およそ１２５万件の情報が流出したとみられることが先月２８日に分かったことを明らかにしました。日本年金機構の水島理事長は記者会見し、「１２５万件の個人情報が流出したことを深くおわび申し上げる。誠に申し訳ございません」と陳謝しました。 このうち、「年金加入者の氏名と基礎年金番号の２つ」が漏れたのがおよそ３万１０００件、「氏名と基礎年金番号、生年月日の３つ」が漏れたのがおよそ１１６万７０００件、「氏名と基礎年金番号、生年月日、それに住所の４つ」が漏れたのがおよそ５万２０００件で、合わせておよそ１２５万件となっています。日本年金機構では、今のところ、社会保険を支払うためのシステムへの不正アクセスは確認されていないとしています。 日本年金機構の水島理事長は厚生労働省で記者会見し、「１２５万
世界初の資格化を目指す、「脆弱性診断士」の取り組みが始まる
近年、広く使われているソフトウエアやWebサイトなどに相次いで脆弱性が見つかり、サイバー攻撃に悪用されている。このため、脆弱性の有無を診断して適切に対応できる技術者のニーズは高まる一方だ。 そこで、セキュリティ専門家の有志が、脆弱性診断を実施する技術者を「脆弱性診断士」と名付け、必要なスキルを明文化する取り組みを開始した。将来的には、脆弱性診断士の資格化も目指す。取り組みの第一弾が、2014年12月末に公開した「脆弱性診断士（Webアプリケーション）スキルマップ」である（図1）。 一般的に、脆弱性を診断する技術者には多岐にわたるスキルが要求される。ソフトウエアやネットワークに関する基本的な知識を備えているのはもちろん、脆弱性診断ツールの使用方法や、最新の攻撃手法などにも精通している必要がある。 だが、脆弱性診断に携わる技術者が保有すべきスキルについて、ベンダーなどの関係者の間でコンセンサス
SQLインジェクション対策もれの責任を開発会社に問う判決
ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった 以下の脆弱性その他が認められた システム管理機能のIDとパスワードが admin/password であった 個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
速報: Evernoteが攻撃を受けユーザ名メールアドレスと暗号化済みパスワードが流出した恐れ - すまほん!!
3月2日、クラウドで情報が同期できるノートアプリ Evernote が攻撃を受け、登録者情報のユーザ名とメールアドレスと暗号化されたパスワードの一部が流出したことがわかりました。 初出：2013年3月3日 1時55分 追記：2013年3月3日 2時00分 これらの事態をうけ Evernote の代表は以下のようにコメントしています。 2月28日に Evernote のセキュリティおよびオペレーションチームが、悪意のある活動がサーバに対して行われていることに気がつき、それらの攻撃によって、ユーザ名、電子メールアドレス、暗号化されたパスワードが流出したことがわかりました。 同社の分析によると、ユーザがアップロードしている情報、支払いに関する情報（クレジットカードなどの情報）が流出しているという証拠は見つかっていない 筆者による意訳 Evernote のユーザができる対策としては パスワードが複
「暗号の2010年問題ではハッシュ関数の対応が遅れている」、日本ベリサイン
写真●暗号の2010年問題などについて説明する日本ベリサイン SSL製品本部SSLプロダクトマーケティング部プロダクトマーケティングチーム アシスタントマネージャーの上杉謙二氏 日本ベリサインは2012年2月8日、「認証局の安全性とSSLサーバー証明書の暗号強度」と題する説明会を開催。テーマの一つとして「暗号の2010年問題」を取り上げ、現状における問題点や同社の取り組みを紹介した。 暗号の2010年問題とは、暗号技術の寿命が尽きることで起こる問題のこと。米国の国立標準技術研究所（NIST）が、2010年をめどに弱い暗号技術の使用を停止する方針を発表したことから「2010年問題」と呼ばれる。停止の対象となるのは、公開鍵暗号では鍵長1024ビットのRSA、ハッシュ関数ではSHA-1など。 これらの暗号技術は例えば鍵長2048ビットのRSAやSHA-2といった、より安全な暗号技術に切り替えるこ
スマートフォンアプリケーションでSSLを使わないのは脆弱性か
このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました（2月8日追記。講演者からの依頼によりセミナーのサイトへのリンクをもうけました）。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を痛感できたという点で、セミナーは私にとっては有益でした。 このため、当ブログではスマートフォンアプリケーションの話題をあまり取り上げていませんでしたが、今後は、とりあげようと思います。まずは、スマートフォンアプリケーションでは暗号化を必須とするべきかという話題です。この話題は、前記セミナーでもとりあげられていました。 暗号化の目的は何か まず、暗号化の必要性を論じるためには、暗号化の目的を明確にする必要があります。前記セミ
ホスト型の廉価版WAFであるSiteGuard Liteを評価した
SiteGuard Liteはシグネチャ検査に特化することで価格を下げた廉価版と言うことになります。 インストール SiteGuard Liteは商用製品ですのでバイナリでの提供となります。Red Hat Enterprise Linux 4/5/6あるいはCentOS 4/5/6が動作可能ディストリビューションとなっています。筆者としてはUbuntu上でも動作確認してもらえるとありがたいと思いましたので、JP-Secure社にはそう要望しています。 rpmによるインストールは基本的には以下の3コマンドです。 # rpm -Uvh siteguardlite-1.00-beta.i386.rpm # cd /opt/jp-secure/siteguardlite/ # ./setup.sh 最後のsetup.shはApacheの各種パスなどを指定するものです。その他、SE Linux用のポ
大垣本を読んで「バリデーションはセキュリティ対策」について検討した - ockeghem(徳丸浩)の日記
このエントリでは、セキュリティの観点から、バリデーション実装について検討します。大垣さんの本を読んで「大垣流バリデーション」について勉強した結果を報告します。 はじめに 大垣さんの記事「入力バリデーションはセキュリティ対策」では、「入力バリデーションはセキュリティ対策である」が力説されています。この記事はおそらくid:ajiyoshiさんのブログ記事「妥当性とは仕様の所作 - SQLインジェクション対策とバリデーション」を受けてのことだと思います。id:ajiyoshiさんのエントリでは、「妥当性検証は仕様の問題であってセキュリティ対策ではありません」と明言されています。私はid:ajiyoshiさんに近い考えを持っていますので、大垣さんの主張について、私なりに考えてみました。 記事を書くにあたり、徳丸の立場を明確にしておきたいと思います。 バリデーションの基準は仕様の問題 バリデーション
不正アクセスによる情報漏えいのお詫びとご報告 - テニス用品大型通販専門店 テニスギア
2011年8月23日 株式会社スポーツギア 代表取締役 大竹 幸信 2011年5月下旬、お客様のクレジットカード不正使用に関する複数の照会を受けたことに伴い、社内調査及び第三者機関による二重の調査を行いましたところ、"SQLインジェクション"というクラッキング手法による国内・海外（主に中国）からの不正アクセスを確認致しました。あわせて全263件（弊社関係者、有効期限切れを除くと248件）のクレジットカード情報の漏えいが判明致しました。お客様ならびに関係者の皆様にご迷惑、ご心配をおかけ致しまして心よりお詫び申し上げます。 弊社では、今回の事態を厳粛に受け止め、二度とこうしたお客様情報漏えいが起こらないよう、クラッキング対策及び個人情報保護プログラムの強化、またお客様及び関係者の皆様の信頼回復とお詫びに全力で取り組む所存です。 なお、今回、お客様情報が漏えいしたことが確認されたウェブサーバー
『アルテイルネット』で20万件の情報流出の可能性 - ファミ通.com
●『アルテイル』シリーズ、『ラヴァートヒーローズ』などを運営 ゲームポットが運営するオンラインカードコミュニティ『アルテイルネット』で、ゲームサーバーに対する不正アクセスが確認され、ログインID、パスワード、メールアドレス等の情報流出の可能性があることが発表された。 流出した可能性があるログインID、パスワードは2011年8月25日午後2時現在で20万3731件で、うち登録メールアドレスを含むものは16万8318件。なお、クレジットカード番号等の決済情報などの流出、ゲームポットが運営するほかのサービスへの影響はないとしている。 アルテイルネットは同一IDで対戦カードゲームを多数サービスしており、『アルテイル2』、『アルテイル』、『ラヴァートヒーローズ』、『ナポレオン』、『ミラージュマスター』などを運営中。今後は、調査を進めると同時にシステム管理を強化、ユーザーには、『アルテイルネット』の全
CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority
数日前からFull Disclosureで騒がれてたけどやっとCVE採番されたので。 以前のISC BINDの脆弱性(CVE-2011-1910)とかに比べるとzero-day状態に なったにも関わらずApache側の動きが遅い気もします。(表に見えてなかっただけ？) アドバイザリは以下 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/raw/%3C20110824161640.122D387DD@minotaur.apache.org%3E/ DoSだけといってしまえばそれまでですが、Apache HTTPDでは久しぶりに 現時点で出ている全バージョンが対象 (2011/
GSX、IPv4とIPv6が混在する企業ネット向けのセキュリティ検査サービスを提供開始
図●IPv4/IPv6トランスレータを使い、IPv6サーバーに対してIPv4向けツールを適用可能にする グローバルセキュリティエキスパート（GSX）は2011年8月25日、IPv4とIPv6が混在する企業ネットワーク向けに、「IPv6への完全対応」をうたったセキュリティ検査サービス「IPv6検査」を提供開始したことを発表した。同社のセキュリティ検査サービス「タイガーチームサービス」の新メニューとして追加する。料金は、検査対象となるIPアドレス数が10個の場合で100万円（税別）から。 GSXによれば、現状ではIPv6に対応したセキュリティ検査ツールが数少なく、また機能面でもIPv4と比べて網羅性が低いなどの理由により、IPv4とIPv6が混在している企業ネットワークの場合、両方のプロトコルに対して十分なセキュリティ検査を実行するのが難しいという。 そこでGSXでは、IPv4の通信とIPv6
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Lenovo、プリインストールソフトからドライバ/セキュリティ/純正ソフト以外を排除へ
覆面座談会「優れたペネトレーションテスト会社の選び方」第1回 いいペンテストとは（ダイジェスト版） | ScanNetSecurity
覆面座談会 「優れたペネトレーションテスト会社の選び方」 開催のおしらせ | ScanNetSecurity
「Apache」にDoS攻撃を招く致命的な脆弱性、修正を施したv2.2.20が公開