SSL暗号を無効化する仕組み – BREACH, CRIME, etc
(Last Updated On: 2018年8月4日)CRIMEやBREACHといったSSL暗号を無効化する攻撃を知っている方は多いと思います。しかし、その仕組みや攻撃方法は広くは理解されていないようです。Webシステムに関わる方であれば、BREACH攻撃の原理と対策を理解しておいて損はありません。BREACHや類似の攻撃は全く難しくありません。直ぐに理解できると思います。原理は簡単です！ CRIMEとBREACH攻撃 CRIMEもBREACHも暗号を解読せずに暗号コンテンツを解読する攻撃です。暗号を直接解読するのではなく、圧縮後のサイズ変化を利用したサイドチャネル攻撃を行います。サイドチャネル攻撃とは攻撃対象のセキュリティ対策（CRIME、BREACHの場合は暗号）などを直接攻撃するのではなく、動作を観察して攻撃する手法です。前回のエントリで紹介したタイミング攻撃では、コンピューターの
IPAから「クリックジャッキング」に関するレポート出ました
Webアプリケーションのセキュリティの分野で「新しい攻撃手法」は実はそれほど多くないのですが、比較的新しく対応が求められているものとしてクリックジャッキングがあります。クリックジャッキングは、CSRFと同じように「Webアプリケーションのサーバー側機能」を利用者（被害者）に実行させる手法です。CSRFは、当該機能を実行するHTTPリクエストを送信させる罠を使いますが、クリックジャッキングの方は、iframe等に当該機能を呼び出す画面を表示しておき、利用者（被害者）に実行ボタンを押させる（=クリックジャック）手法です。クリックジャッキングに関しては従来詳しい解説がありませんでしたが、この3月26日にIPAから「クリックジャッキング」に関するレポートが公開されました。 このレポートから、クリックジャッキングのイメージを示す図4を引用します。 サイトAが攻撃対象のサイト、悪意のあるページは罠にな
高木浩光＠自宅の日記 - ミログ第三者委員会の「提言」を許してはならない
■ ミログ第三者委員会の「提言」を許してはならない 10月10日の日記「スパイウェア「app.tv」に係るミログ社の大嘘」の件、ミログ社から「第三者委員会報告書」（以下「報告書」という。）が開示された。 第三者調査委員会の調査結果に関するお知らせ, 株式会社ミログ, 2011年12月16日 100ページにも及ぶこの報告書の内容は、「app.tv」と「AppLog」について事実関係を明らかにした上で、いずれも違法行為ではなかったとする結論を導くものであり、加えて、冒頭で、「ユーザーからの同意取得に関する提言」として、一般論を社会に向けて提案するものとなっている。 報告書には次の2つの重大な問題がある。 app.tvの不正指令電磁的記録該当性の検討で肝心の点がすっ飛ばされている。 「ユーザーからの同意取得に関する提言」は到底受け入れられるものではない。 以下、これらを順に明らかにする。 app
asahi.com（朝日新聞社）：「ネット全履歴もとに広告」総務省容認 課題は流出対策 - プレーバック１週間
「ネット全履歴もとに広告」総務省容認 課題は流出対策2010年5月30日4時50分 印刷 ソーシャルブックマーク インターネットでどんなサイトを閲覧したかがすべて記録される。初めて訪れたサイトなのに「あなたにはこんな商品がおすすめ」と宣伝される――。そんなことを可能にする技術の利用に、総務省がゴーサインを出した。ネット接続業者（プロバイダー）側で、情報を丸ごと読み取る技術を広告に使う手法だ。だが、個人の行動記録が丸裸にされて本人の思わぬ形で流出してしまう危険もある。業者は今後、流出を防ぐ指針作りに入る。 この技術は「ディープ・パケット・インスペクション（ＤＰＩ）」。プロバイダーのコンピューター（サーバー）に専用の機械を接続し、利用者がサーバーとの間でやりとりする情報を読み取る。どんなサイトを閲覧し、何を買ったか、どんな言葉で検索をかけたかといった情報を分析し、利用者の趣味や志向に応じた広告
UDIDが使えなくなりそうなので、UIIDを使えるようにしました
■2012/11/11追記 iOS 6より[[UIDevice currentDevice] identifierForVendor]というAPIがAppleより提供され、よりプライバシーに配慮した上により安全な方法で自分の開発したアプリケーションを利用するユーザーを個別に認証することが可能になりました。それに伴い拙作のライブラリもidentifierForVendorが利用可能であればこちらを利用するように修正いたしました。今後はこのidentifierForVendor（または広告APIなどを作る場合であれば[[UIDevice sharedManager] advertisingIdentifier]）が個体認識の主流になっていくと思われます。identifierForVendorとadvertisingIdentifierの仕様まとめは http://stackoverflow.c
高木浩光＠自宅の日記 - 「Tポイントカード3人に1人が持つ」は本当か、街角で聞いてみた
■ 「Tポイントカード3人に1人が持つ」は本当か、街角で聞いてみた 先週、マイナンバー制度（納税番号制度（aka 共通番号制度））のICカード配布の話の流れで、（住基カードが4%しか普及していないのに）TSUTAYAのTポイントカードは「今や国民の3人に1人が持つ」という話*1が話題になっていた。「共通番号を官民で使えばカードを1枚にできる」などといった主張も出ていた。 その一方で、本当にそんなにたくさんの人が持ってるのか疑問だとの声も出ていた。「レジから聞こえてくる声に耳を傾けていると、Tポイントカードを持ってる人なんて存在しないんじゃないかと思えてくる。」という声もあった。（「Togetter - 「「ポイントカードはお持ちですか」への反応」」参照）。
本当のAnonymousが知りたいの
PlayStation Networkに関する報道によって日本でも広く知られるようになった「Anonymous」。果たして彼（女）らはいったい何を目的とした、どんな集団なのか。日本に住むAnonymousの1人に取材する機会を得た（編集部） 日本で活動するあるAnonymousの声 PlayStation Networkの事件から日本でも名前を広く知られるようになった「Anonymous」。この名がメディアで報じられるときは、ほぼ決まって「ハッカー集団」「クラッカー集団」という「枕詞」が付く。中には、「政府や主要企業などへのハッキングの第一線にいるグループ」と説明される場合もある。 だが、多くのメディアにおける「Anonymous」の報道のされ方を見ると、さまざまな事件への関与を臭わせる内容がもっぱらで、彼（彼女）たち自身の活動を主軸としたものはあまり見かけない。 【関連記事】 PlayS
「Android」端末も位置情報を収集--グーグルは「ユーザーは特定不可能」と主張
UPDATE Googleは米国時間4月22日、「Android」搭載端末から位置情報を収集していることを認めたが、その情報から「特定のユーザーを追跡できない」と述べ、プライバシーに関する懸念については問題ないとした。 その主張の是非は、「追跡できる」という言葉の定義による。 米CNETがあるセキュリティ専門家から入手した詳細記録によると、Android搭載電話は定期的にGoogle.comに接続し、ミリ秒単位の時刻、現在および最近のGPS位置情報、近くのWi-Fiネットワークアドレス、各電話に固有のデバイスIDを表す16文字の文字列2個を含む小さなデータダンプを送信するという。 Appleは先週、「iPhone」におよその位置データを永続的に保存し、インターネットを介してそのデータを収集していると報じられ、非難を浴びた。同社は2010年に米議会に対し、「携帯電話基地局とWi-Fiアクセス
WordPress.comに不正アクセス、ソースコードなどの情報が流出
WordPress.comを運営するAutomatticのサーバが不正アクセスされ、ソースコードが「社外秘」の部分も含めて流出した恐れがあるという。 大手ブログサービスWordPress.comを運営するAutomatticは4月13日、同社のサーバ数台にrootレベルの不正アクセスがあり、ソースコードなどの情報が流出した恐れがあると発表した。 同社によると、サーバに置かれていたあらゆる情報が流出した可能性があるが、ソースコードについてはコピーされた形跡があるという。ソースコードの大部分はオープンソースだが、同社およびパートナーの社外秘情報もあったとしている。 現在、ログや記録をチェックしてどの程度の情報が流出したのかを調べるとともに、再発防止のためのセキュリティ対策を講じているが、ソースコード以外の情報の流出は「限定的」だと同社は強調している。 WordPress.comのサービスは、各
SankeiBiz（サンケイビズ）：自分を磨く経済情報サイト
サービス終了のお知らせ SankeiBizは、2022年12月26日をもちましてサービスを終了させていただきました。長らくのご愛読、誠にありがとうございました。 産経デジタルがお送りする経済ニュースは「iza! 経済ニュース」でお楽しみください。 このページは5秒後に「iza!経済ニュース」（https://www.iza.ne.jp/economy/）に転送されます。 ページが切り替わらない場合は以下のボタンから「iza! 経済ニュース」へ移動をお願いします。 iza! 経済ニュースへ
PHPのescapeshellcmdの危険性 - 徳丸浩の日記
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2011年1月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本を書いています。初稿を一通り書き上げ、第2稿を作成中です。その過程で見つけたことを報告します。 PHPのescapeshellcmdはパラメータをクォートしないので呼び出し側でクォートする必要がありますが、escapeshellcmdの仕様がまずいために、呼び出し側でクォートしても突破できることが分かりました。 escapeshellcmdの仕様 PHPにはシェルのパラメータをエスケープする関数が2つあります。escapeshellargとescapeshellcmdです。escapeshellargは、エ
岡崎市立図書館問題でlibrahack氏「前例となって技術者が逮捕されることを心配」
岡崎市立図書館のシステムをめぐる問題で逮捕され起訴猶予処分になったlibrahack氏は、「前例となって技術者が同じ状況になった時に逮捕されることが心配」と、同図書館に対し公式に「犯罪ではなかったこと」を発表するよう望んでいる。 愛知県岡崎市立中央図書館のシステムをめぐる問題で、逮捕され起訴猶予処分になった男性（@librahack）が12月8日、Webサイトでコメントを公表した。男性は「謝罪にこだわりはないが、これが前例となって技術者が同じ状況になった時に逮捕されることが心配だ」として、同図書館に対し公式に「犯罪ではなかったこと」を発表するよう望んでいる。 同日掲載された朝日新聞の記事へのコメントの補足という形。「障害発生当時はお騒がせしてすいませんでした」という気持ちから謝罪にはこだわりはないとした上で、「それよりも、これが前例となって、他の技術者の皆さんに迷惑がかかることを心配してい
仙石浩明の日記: Android 端末 IS01 のカーネルを入れ替えてみた 〜 さよならデッカード LSM
先週末 IS01 で root 権限が必要なアプリが使えるようになったばかりなのに、 そのわずか 4日後、 スマートフォン＠2ch掲示板に以下の書き込みがあり、 カーネル空間への侵入口が明らかにされてしまった。 一番乗りを果たした goroh_kun さんに敬意を表しつつも、 IS01 のプロテクトがこの程度だったことが残念でもある。 「root を取られても大丈夫な作りになっている」 と開発者が豪語し、 しかも IS01 の発売から 5ヶ月間も破られなかったのだから、 さぞかし鉄壁の守りなのだろうと思っていたのに、 こんな分かりやすい穴があったとわ... (負け惜しみ ^^;)。 【ROM焼き】au IS01 root2 〜わたくし達も未来へ〜 ... 317 ：goroh_kun：2010/12/01(水) 03:14:21 ID:LGLTLBmZ 自動起動仕込むところを大体見つけまし
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【インタビュー】過去最大300Gbps超のDDoS攻撃に悪用されたDNSの「オープンリゾルバー」とは 
「地域型JPドメイン名」新規登録終了、11月から「都道府県型JPドメイン名」 
CookieのDomain属性は *指定しない* が一番安全 - ockeghem(徳丸浩)の日記
GMOグローバルサインが証明書の発行停止、不正アクセス実行犯の声明を受け 
DigiNotar偽SSL証明書事件、「twitter.com」などにも拡大、全貌は未だ不明 
AVGの最新アップデート適用後、再起動ループに陥る問題が発生 
http://www.mdis.co.jp/news/press/2010/1130.html