入力中の個人情報が“送信ボタンを押す前に”収集されている問題 約10万のWebサイトを調査
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ベルギーのKU Leuven、オランダのRadboud University、スイスのUniversity of Lausanneによる研究チームが発表した「Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission」は、まだ送信していないのにもかかわらず、オンラインフォームで入力した個人情報（今回は電子メールアドレスとパスワード）が打ち込んだだけで収集されている問題を調査した論文だ。 サインインやサービスへの登録、ニュースレターの購読など、さまざまな理由でオンラインフォームに個人情報を入力す
パーフェクトRails著者が解説するdeviseの現代的なユーザー認証のモデル構成について - joker1007’s diary
最近、パーフェクトRuby on Railsの増補改訂版をリリースさせていただいた身なので、久しぶりにRailsについて書いてみようと思う。 まあ、書籍の宣伝みたいなものです。 数日前に、noteというサービスでWebフロント側に投稿者のIPアドレスが露出するという漏洩事故が起きました。これがどれぐらい問題かは一旦置いておいて、何故こういうことになるのか、そしてRailsでよく使われるdeviseという認証機構作成ライブラリのより良い使い方について話をしていきます。 (noteがRailsを使っているか、ここで話をするdeviseを採用しているかは定かではないので、ここから先の話はその事故とは直接関係ありません。Railsだったとしても恐らく使ってないか変な使い方してると思うんですが、理由は後述) 何故こんなことが起きるのか そもそも、フロント側に何故IPアドレスを送ってんだ、という話です
暗号鍵管理ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
実際の暗号システムがセキュアに動作し続けるためには、暗号アルゴリズム自体がセキュアであるだけでは不十分で、データが保護される期間中、その暗号アルゴリズムが使用する暗号鍵もセキュアに管理されている必要があります。そのため、暗号鍵やデータのライフサイクルを踏まえた運用、安全な暗号鍵の保管、暗号鍵危殆化時の対策などを行う上で参考となるガイドラインを取りまとめています。 「暗号鍵管理システム設計指針（基本編）」の内容 「暗号鍵管理システム設計指針（基本編）」は、あらゆる分野・あらゆる領域の全ての暗号鍵管理システムを対象に、暗号鍵管理を安全に行うための構築・運用・役割・責任等に関する対応方針として考慮すべき事項を網羅的に提供し、設計時に考慮すべきトピックス及び設計書等に明示的に記載する要求事項を取りまとめたガイドラインとして作成されたものです。 具体的には、暗号鍵管理の必要性を認識してもらうために「
戻るボタンで情報が漏洩するサイトを作ってみた
雇用調整助成金等オンライン受付システムにて、ブラウザの「戻る」ボタンを使うと別の会社の申請書が閲覧できてしまう事故が発生しました。この事故に着想を得て、ブラウザの「戻る」ボタンとセッション変数の関係について解説する動画を作成しました。 # 事故の原因推測ではなく、セキュリティの解説動画です スクリプト等はこちら https://github.com/ockeghem/web-sec-study/tree/master/browser-back-incident ------------ ■EG セキュアソリューションズ株式会社 https://www.eg-secure.co.jp/ ■お仕事の依頼はこちらから https://www.eg-secure.co.jp/contact/ ------------
「iPhone」の脆弱性が2年以上も悪用されていた--中国によるウイグル人監視か
Googleのセキュリティチーム「Project Zero」の研究者らは、複数のウェブサイトがハッキングされて、長年にわたって訪問者の「iPhone」にマルウェアを忍び込ませていたことを発見したと発表した。そうしたサイトを訪問したユーザーは、メッセージ、写真、位置データを読み取られていた可能性があるという。同チームは、2019年に入ってこの発見内容をAppleに報告済みで、この脆弱性は「iOS 12.1.4」で修正されたという。 「攻撃は無差別だった。ハッキングされたサイトを訪問するだけで、エクスプロイトサーバーはそのユーザーの端末を攻撃することができ、それに成功すると、監視プログラムをインストールする。それらのサイトには毎週数千人の訪問者がいると推定される」と、Project ZeroのIan Beer氏は、同チームの発見内容を詳しく説明する米国時間8月29日付けのブログ記事に記している
暗号スイートの暗号強度と、公開鍵のビット数の設定、及びRSAとECDHEでサーバ負荷の比較 - Apache 2.4系でHTTP/2対応サーバを構築してみるテスト。
見ず知らずの他人同士が、リーズナブルな計算量で、秘密の通信を行うためには、公開鍵暗号と秘密鍵暗号を組み合わせる必要があります。 この暗号の組み合わせのことを「暗号スイート」と呼びます。 OpenSSLには、多くの暗号スイートが用意されています。どの暗号スイートを選べばいいのか、迷ってしまうと思います。 そして、暗号スイート全体としての暗号強度は、公開鍵の強度も関係してきます。 ここでは、総当たり攻撃の耐性を基準に、暗号スイートと公開鍵の決め方を説明していきます。 以下、私の独断と偏見ですが、なぜGoogleやFacebookが、ECDHE(256bit)-ECDSA(256bit)-AES(128bit)の暗号スイートを使用するのか、ご理解いただけると思います。 併せて、Apache Webサーバ(httpd)のECDHEのビット数の変更方法(P-256, P-386)も、説明しています。
圧縮アルゴリズム「LZO」に脆弱性、20年前から存在
高速性を特徴とする圧縮アルゴリズム「LZO」に脆弱性が見つかり、問題を修正した更新版の「LZO 2.07」が6月25日にリリースされた。 LZOはオーストリアのMarkus Oberhumer氏が20年前に開発した圧縮アルゴリズムで、Linuxや一部のAndroid携帯などのほか、米航空宇宙局（NASA）の火星探査機「キュリオシティ」にも採用されている。セキュリティ企業Lab Mouse Securityによると、この脆弱性は、1994年から繰り返し再利用され続けてきたコードに存在していたという。 Oberhumer氏が6月25日にWebサイトに掲載した情報によれば、今回見つかった脆弱性では、細工を施した圧縮データの処理に際してバッファオーバーランを引き起こし、整数オーバーフロー状態に陥る恐れがある。 ただ、影響を受けるのは32ビットのシステムのみで、16メビバイト（MiB）という異常に膨
【セキュリティ ニュース】プライバシー保護への懸念強いが対策意識は低い日本 - EMC調査（1ページ目 / 全1ページ）：Security NEXT
日本は世界平均と比べてプライバシー保護に対する懸念が強い一方、セキュリティ対策に無頓着であることがEMCジャパンの調査により判明した。 同社が、日本をはじめとするアジア太平洋地域や欧米、南米、中東、アフリカなど世界15の国と地域を対象にインターネットプライバシーに対する意識調査を実施したもの。それぞれ1000人から回答を得た。 日本ではインターネットサービスの利便性を得る代わりにプライバシーを犠牲にしても構わないと考えている消費者は33％で、世界平均の27％を上回った。 しかし一方で将来的なプライバシー保護に対する懸念も強く、「今後5年間でプライバシー保護が困難になると思う」と90％が回答。「1年前より現在の方がプライバシーが低下している」との回答も50％にのぼり、いずれも世界平均より高い割合だった。 日本では企業や行政に対する信頼も低く、「行政がプライバシーの保護に確固とした姿勢で取り組
man in the middle攻撃（中間者攻撃）
図 man in the middle攻撃では通信を中継する形で勝手に割り込むことでメッセージの改ざんなどの被害を受ける（イラスト：なかがわ みさこ） man in the middle攻撃（attack）とは，“通信者同士の間に第三者が勝手に割り込むタイプの攻撃”を意味するセキュリティ用語である。英語では「MITM attack」と略すのが一般的で，日本語では直訳して「中間者攻撃」と表記するケースが多い。 中間者攻撃では，通信の途中に割り込んで，中身を盗み見たあとに，改めて正しい通信相手に転送する。イメージをつかむために，例えばお茶の間でケーキを食べているお姉さんが，台所にいるお母さんにコーヒーをお願いしているシーンで説明する（図）。このとき，お姉さんが注文する声が台所にいるお母さんには直接に届かないとすると，間に立っている弟が途中で中継して，その内容をお母さんに伝えてることになる。この
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
簡単なパスワードでRDPを空けておいたら、数時間でハッキングされマイニングツールを仕込まれた話【イニシャルB】
JPCERT コーディネーションセンター