銀行3社にてブラウザの入力画面で現れる暗証番号入力ウィルスが絶賛拡散中｜その対策方法
天才ですかと。 ブラウジング中にて、突如現れる入力欄。普通に入力してしまうよねこれ。 三菱東京ＵＦＪダイレクトインターネットバンキングログイン直後に、ご契約カード裏面の「確認番号表（乱数表）の数字すべて」を入力させる偽画面を表示するウィルスが発生しております。 当行ではログイン時に、「確認番号表（乱数表）の数字すべて」を入力いただくことはありません。 ウィルス感染等によるインターネットバンキングの犯罪にご注意ください（平成24年10月26日）。 | 三菱東京ＵＦＪ銀行 自然に入力させるウィルス ネットでは普通に何も考えずにユーザー名やらパスワードを入力するフォームっていうのはたくさんあるわけでして、そういう意味ではすごいウィルスです。 このウィルスに感染したままネットバンクにログインすると、暗証番号を入力するフォームが突然ポップアップしてきまして、このポップアップを出すためのウィルスって言
大垣本を読んで「バリデーションはセキュリティ対策」について検討した - ockeghem(徳丸浩)の日記
このエントリでは、セキュリティの観点から、バリデーション実装について検討します。大垣さんの本を読んで「大垣流バリデーション」について勉強した結果を報告します。 はじめに 大垣さんの記事「入力バリデーションはセキュリティ対策」では、「入力バリデーションはセキュリティ対策である」が力説されています。この記事はおそらくid:ajiyoshiさんのブログ記事「妥当性とは仕様の所作 - SQLインジェクション対策とバリデーション」を受けてのことだと思います。id:ajiyoshiさんのエントリでは、「妥当性検証は仕様の問題であってセキュリティ対策ではありません」と明言されています。私はid:ajiyoshiさんに近い考えを持っていますので、大垣さんの主張について、私なりに考えてみました。 記事を書くにあたり、徳丸の立場を明確にしておきたいと思います。 バリデーションの基準は仕様の問題 バリデーション
サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題 - 最速転職研究会
前回 http://d.hatena.ne.jp/mala/20111125/1322210819 の続きです。 前回のあらすじ ブラウザベンダーはサードパーティCookieをデフォルトでオフにしたかったんだけどお前らがサードパーティCookieに依存したサイト作るし使うからオフに出来なかったんだよ!!!!! といった事情を踏まえた上でWebアプリケーションにおけるサードパーティCookieの利用の歴史について書きます。前提知識の共有が済んだので、ここからはある程度個人的な意見も含まれます。実装面での技術的な内容も含みます。 サードパーティCookieが必要とされてきた歴史 広告のためのトラッキングCookie以外にも、サードパーティCookieに依存したサービスが数多く存在してきた。個人的に把握しているいくつかのサービスについて時系列で述べる。ついでに広告業界の流れについても重要なのを幾
サードパーティCookieの歴史と現状 Part1 前提知識の共有 - 最速転職研究会
Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係
スマホアプリとプライバシーの「越えてはいけない一線」 － ＠IT
スマートフォンアプリは果たしてどこまで、端末に関する情報を取得してもいいのだろうか。 位置情報と連動してお勧め店舗情報を表示したり、過去の検索履歴を基に商品を提案したりと、端末の情報やユーザーの行動履歴を活用するスマートフォンアプリが登場している。中には便利なものも多いが、一歩間違えれば、ユーザーのプライベートな情報が筒抜けになりかねない。結果として、スマートフォンを活用したビジネスやそれを支える広告市場までもが、否定的な目で見られ、発展を阻害される恐れもある。 この議論が起こったきっかけの1つは、ミログが公開していた「AppLog」と「app.tv」というアプリだ。AppLogはSDKの形で提供され、これを自前のアプリに組み込むと、Android端末にインストールされているアプリの情報やその起動回数を収集し、同社のアプリケーション分析サービスに送信するようになっていた。開発者にはインスト
みずほダイレクトの謎 - ockeghem's blog
ソフトバンク携帯電話のSSL方式変更に伴い、みずほ銀行のモバイルバンキングが一部使えなくなっていましたが、昨日復旧したようです。 7月3日時点では、みずほダイレクトのトップに以下のように表示されていました。URLは魚拓のものです。 現在、ソフトバンクの携帯電話からアクセスいただいた、みずほダイレクト（モバイルバンキング）の［ネット決済振込サービス］および［Pay-easy（ペイジー）税金・料金払込みサービス］において、一部のお取引がご利用いただけません。「ご利用の端末のユーザーIDを「ON」に設定し、再度アクセスしてください。」と表示された場合には、パソコンなどでご利用ください。 お客さまには大変ご迷惑をおかけしておりますことをお詫び申しあげます。 （原因につきましては現在調査中です。） http://megalodon.jp/2011-0703-0032-51/www.mizuhoban
私はいかにしてソフトバンク端末60機種のJavaScriptを検証したか - ockeghem's blog
昨日のソフトバンクの非公式JavaScript対応の調査結果 | 徳丸浩の日記で報告したように、昨年5月に、ソフトバンク60機種の検証を行い、JavaScript対応の状況などを調査しました。当時はまだ公式なJavaScript対応機種はない状態でしたが、既にほとんどの端末が *非公式に* JavaScriptに対応していました。 このエントリでは、検証の様子を報告します。 なぜJavaScript対応状況を調査したか http://www.hash-c.co.jp/info/20091124.htmlを公表した前後に、とある方（この方）から、ソフトバンクのケータイでもJavaScriptが動作すると伺いました（参考のやりとり）。XMLHttpRequestも含めてJavaScrptが動くと教えていただいた932SHを私も購入して調べたところ、以下が判明しました。 確かにJavaScrip
evernoteのテキストをevernote社の管理者にも見えないように暗号化する - ockeghem's blog
このエントリでは、evernoteクライアントを使って、evernote社にも復号できない状態でテキストを暗号化する方法について紹介します。 昨日、EvernoteのXSS問題に関連して、「Evernoteの開発者も徳丸本読んでいたらよかったのにね」などとつぶやいていたら、「EvernoteのCEOが徳丸さんに会いたがっている」という連絡をもらいました。こういうのは異例のことでちょっと悩みましたが、行くっきゃないだろうということで、Evernote社の日本法人でmalaさんと一緒にCEOにお会いしました。 XSSやポリシーについては非常に誠実な対応をお約束いただいたのでよいミーティングだったと思います。僕が指摘した脆弱性についても、当日の夜のうちに直っていたようです。米国時間では深夜から早朝という時間帯で、迅速な対応だったと思いますが、本題はこれからです。 その場で、malaさんが「Eve
ヤフーにおけるインプットバリデーション「何も信じるな」 (Yahoo! JAPAN Tech Blog)
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術 セキュリティスペシャリストの戸田 薫です。 今回は、私たちが普段からヤフーのシステムに対する入力にどのような注意を払っているのか、そのいくつかをご紹介致します。 入力とは? Webサイトを運営している場合、どのような入力があるでしょうか？ たとえば、Webサービスには、以下の入力があります。 Cookie URL GET/POSTのデータ ファイルのアップロード その他リクエストヘッダ そのほかにもいくつもあります。 環境変数 設定ファイル クローラが取得したデータ パートナー企業のAPIから取得したデータ（XMLやJSONなど） パートナー企業の入稿用 F
間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
TRACEメソッドって怖いんです - カイワレの大冒険 Third
※2013/01/24 add: 徳丸先生の書かれた実はそんなに怖くないTRACEメソッド | 徳丸浩の日記を先に見ておくをオススメします。深く追求できていないまま記事にしてしまい申し訳ありません。 タイトルの通りです。HTTPのメソッドには、よく使うものとしてGETやPOSTというものがありますが、TRACEメソッドというものがありまして、これを有効にしておくと危ないよという話しです。 TRACEメソッドについて 百聞は一見にしかず、どんな挙動をするか見ていきましょう。 $ telnet example.org 80 Trying example.org... Connected to example.org. Escape character is '\^]'. TRACE / HTTP/1.1 #ここと HOST: example.org #ここを手で入力して、エンターキー二回このよ
「Pマーク」終了のお知らせ - MDIS 個人情報公開しても [Pマーク更新]
個人情報をろくに管理せず、挙句の果てには匿名 FTP で公開していたのに更新できる「Pマーク」とはいかに？ 関連情報 弊社図書館システムに生じた問題について（お詫び） 続きを読む
![「Pマーク」終了のお知らせ - MDIS 個人情報公開しても [Pマーク更新]](https://cdn-ak-scissors.b.st-hatena.com/image/square/ea4e568a8f8b7c3f5b4067a4fd698d5e29d05c9f/height=288;version=1;width=512/https%3A%2F%2Fs.togetter.com%2Fogp2%2F099a2405ed0beb9424fe226f5909f42a-1200x630.png)
高木浩光＠自宅の日記 - 三菱電機ISは結局会見で何を伝えたかったのか 岡崎図書館事件(11), 神田記者のコラムを掲載
朝日新聞名古屋本社版2010年12月1日朝刊30面「逮捕の男性に業者側が謝罪 岡崎図書館問題「不便かけた」」 朝日新聞社データベース事業センターの許諾のもと転載（承認番号：2-2096） ※朝日新聞社に無断で転載することを禁止する また、日経新聞は「図書館システムに不具合」の見出しで、次のように報じている。 （略） 岡崎市の図書館では今年３〜５月にシステム障害も発生。これを巡り、自作の検索プログラムで繰り返しアクセスした愛知県の男性が、「サイバー攻撃」と誤解され、愛知県警に業務妨害容疑で逮捕され、その後起訴猶予処分となった。同社はこの件も「システム仕様が原因だった」とした。 男性は新着図書情報を取得するためアクセスしただけだった。同社は当初、「システムに問題はない」と市側に説明していた。門脇三雄社長は「対応が早ければ（男性に）不快な思いをさせることはなかった。誠意をもって対応したい」と謝罪
パスワードつき隠しフォルダを簡単に作る方法 | ライフハッカー・ジャパン
Windows用：共有PCを使っていて他人に見られたくないファイルがある場合、どうしていますか？ 今回は「Simple Help」に載っていた、簡単なバッチスクリプトを使ったパスつき隠しフォルダの作り方を、ご紹介します。 新規フォルダを作って、適当な名前をつけます。 フォルダを開き、空白部分で右クリック。「新規作成」から「テキスト作成」を開きます。 テキストファイルを開いて、下記をコピペします。 cls @ECHO OFF title Folder Private if EXIST "Control Panel.{21EC2020-3AEA-1069-A2DD-08002B30309D}" goto UNLOCK if NOT EXIST Private goto MDLOCKER :CONFIRM echo Are you sure you want to lock the folder
岡崎市立中央図書館：利用者情報１６３人流出…ネット経由 - 毎日ｊｐ(毎日新聞)
愛知県岡崎市立中央図書館は２８日、利用者１６３人分の個人情報がインターネットを経由して外部に流出したと発表した。０５年６月末時点で図書の予約や返却延滞をしていた一部の利用者の名前や年齢、電話番号、借りた本の題名、貸出日などが流出した。 ソフトを開発した三菱電機インフォメーションシステムズ（東京）によると、同図書館が最初のソフト販売先だった。岡崎市の利用者の個人情報を誤って残したまま、ソフトをほかの全国３７の公立図書館に販売してしまったという。宮崎県えびの市と福岡県篠栗町の図書館のホームページ（ＨＰ）から、岡崎市の個人情報がダウンロードされたことが確認された。 同社は「個人情報の取り扱いが不十分で、誠に申し訳ない」と陳謝し、岡崎市立中央図書館は「多大なご迷惑と心配をかけ、おわびする」とコメントした。 同図書館では今年８月、ソフトの古さが原因でＨＰの閲覧が困難になる問題も発覚している。【中村宰
Twitterの“XSS騒動”はどのように広まったか
Twitterの大騒動から1日、このいたずらを仕掛けた犯人たちがどうやってユーザーをリダイレクトし、訳の分からないリツイートを大量にばらまいたのかが明らかになってきている。意外なのは、犯人のほとんどはコンピュータを乗っ取ったり、情報を盗もうとする犯罪者や攻撃者ではなく、セキュリティホールを利用して何ができるのか見てみようと好奇心に駆られたユーザーだったということだ。 各紙報道によると、TwitterのホームページのXSS（クロスサイトスクリプティング）脆弱性を最初に発見したのは、Masato Kinugawaと名乗る日本人開発者だった。彼はこれを利用して、虹の七色のツイートを作った。ノルウェーのRubyプログラマー、マグナス・ホルム氏も騒動に荷担した1人で、New York Timesによると、このXSS脆弱性を悪用する最初のワームの作成者という。同氏はKinugawa氏のコードを見て、自
こんにちはこんにちは！ twitterでXSS脆弱性発生！ ：アルファルファモザイク
■編集元：ニュース速報板より「twitterでXSS脆弱性発生」 126 落語家(東京都) :2010/09/21(火) 21:29:27.89 ID:R0XqcxST0 【バグった人向け】祭りにも関わらず対処法も分からないまま TwitterをWebで見てしまってどうしようもない状態になった方々 http://twitter.com/account/logout http://twitter.com/account/logout http://twitter.com/account/logout http://twitter.com/account/logout http://twitter.com/account/logout http://twitter.com/account/logout 直接これにアクセスして素直にログアウトしましょう。 続きを読む
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
これからの「パスワード」の話をしよう
libra-sc.jp
x.com