兵庫県の小学校で2013/02/20発表するための資料。 話す際のノートを含め公開しているので、再利用される場合は参考にどうぞ。 セッションを受けた人の感想とか↓に書いてます http://d.hatena.ne.jp/hanazukin/20130312/1363069453

はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。9月4日（月）〜9月10日（日）〔2023年9月第2週〕のトップ30です*1。 順位 タイトル 1位 OpenInterpreter / ついにAIがガチのアシスタントに!これは凄い、というか凄すぎる｜shi3z 2位 元給食営業マンが「ホーユー」の学校・警察での給食提供停止騒動の原因をざっくり解説してみた。 - Everything you've ever Dreamed 3位 横向きA4サイズの現代アート。霞が関の「ポンチ絵」はどうして生まれたか？ その知られざる使命とは｜narumi 4位 ダイヤモンドにかかった魔法が解ける日。天然ダイヤの終焉？｜nayadia 5位 小児性愛者だけど生きるのが辛い 6位 ジャニーズ事務所、ブランド名を温存について（9/8追記） - はてブの出来事 7位 (

こんにちはこんにちは！！ Webプログラミングしてますか！ よく「PHPはセキュリティがダメ」とか言われてるよね。 でもそれって、べつにPHPが悪いんじゃなくて、 たぶん、セキュリティとかが、まだよくわからない人が多いだけなんじゃないかな。 がんばって勉強しようと思っても、なんだか難しい理屈が並んでいたりするしね…。 なので今日は、セキュリティ対策について、 「これだけやっとけば、わりと安全になるよ」ってことを、初心者むけに、大雑把に書いてみます！ 理屈がわからなくても、最初はコピペでも、 なにもやらないより、やったほうがきっとマシになる！ 1. XSS対策 動的なものを表示するとき、全部エスケープすればokです！ (NG) あなたの名前は <?= $name ?> ですね！ ↓ (OK) あなたの名前は <?= htmlspecialchars($name, ENT_QUOTES) ?>

Linuxで稼動させているApacheにて認証が必要なWebサービスに、Windowsドメイン(Active Directory)の認証情報を使って、シングルサインオンを実現させるまでの手順を備忘録として残しておきます。 今回、ブラウザは、IEとFirefoxにて動作確認を行いました。 Windowsドメインログオンをしているクライアントから、上記2種類のブラウザを使うと、NTLM認証※を利用しているWebサービスには、認証済みのドメインログオンの情報を利用することができ、ユーザ名やパスワードを入力する必要の無いシングルサインオン環境が実現できます。 ※NTLM認証（NT LAN Manager authentication）とは - IT用語辞典 e-Words 前提 今回利用した構成は以下のような感じ。 Webサーバ CentOS 5 Apache 2.2 + mod_auth_ntl

昨日Webサイトを守るためのセキュリティ講習会の講師を担当しました。講習会の終了後、受講生から「管理者パスワードの定期的変更」に関する質問がありました。備忘の為、質疑内容を以下に記録します。 Q1:上位ポリシーにて、管理者パスワードは定期的に変更するように義務づけられているが、何日毎に変更するのが正しいのか。最近の専門家の見解をお伺いしたい A1:専門家の見解は分かれているとお答えしました 現在の主流はパスワードを定期的に変更するべしという考え方ですが、それに異論を持つ人もいて、私もその一人です。 一般ユーザのパスワードとは異なり、管理者パスワードは、業務の必要上複数の人が知っている状況があります。その状況では、「定期的に変更」するのではなく、管理者パスワードを知っている人が、他業務に異動、あるいは退職するタイミングで遅滞なく変更するべきです。そうしないと、「管理者でなくなった人が管理者パ

今年は、三菱重工業や官公庁、国会議員を狙ったサイバー攻撃が大きな話題となった。こうした攻撃の実態はどのようなもので、被害を防ぐにはどのような手立てがあるのか。F-Secureのセキュリティ研究所で主席研究員を務めるミッコ・ヒッポネン氏に話を聞いた。 我々はこの種の標的型攻撃を調査してきたが、その結果として、実は2005年より前から標的型攻撃はあったということが分かった。それがいわゆるグローバルな問題となってきたということだろう。いま起こっているのは、オンラインでのスパイ活動だ。つまり国と国との間のスパイ活動がオンラインで行われている。 ターゲットとなっているのは、政府機関、国防関係の契約を請け負ってる企業、それから言論の自由を主張するような団体といったところだ。 スパイとは何かと言えば、情報を集めることだ。昔は情報は主に紙に書いてあり、オフィスなどに置いてある物理的なモノの中に情報があった

米国でも日本でも、サイバー攻撃が波紋を広げ始めた。サイバー攻撃とは、コンピューターのネットワークへの攻撃である。日本では衆議院や参議院の各議員の事務所や三菱重工業のような防衛産業の中枢にサイバー攻撃がかけられた。 その発信源はほとんどが中国だという証拠が指摘されている。もし中国だとすれば、中国のどのような組織が米国や日本のコンピューターネットワークに攻撃を発してくるのか。 その発信源がワシントンで明らかにされた。結論を先に言えば、日米両国にサイバー攻撃をかけてくる最大の仕掛け人は中国人民解放軍の「総参謀部 第3部」という組織だというのだ。 米国の首都ワシントンでも2010年から2011年にかけて、サイバー攻撃の被害が頻繁に伝えられるようになった。 サイバー攻撃には大別して2種類がある。第1はコンピューターネットワークへの侵入である。情報を盗むことが主目的となる。第2はコンピューターネットワ

Web開発者のためのサードパーティCookieやらトラッキングやらの問題点について三回ぐらいに分けて書きます。 この文章は個人的に書いていますので、おい、お前のところのサービスがサードパーティCookieに依存してるじゃねーかというツッコミがあるかもしれないが、そういうことを気にしているといつまで経っても公開できないという問題が出てしまうので、そんなことはお構いなしに書く。ちなみに例外なく自社サービスに対してもサードパーティCookieに依存するな死ねと言っている。これはWebプログラマー観点で、自分がサービス開発に関わる上で知っておかねばならないだろう知識として十数年間だらだらとWebを見ていて自然に知っていたものと、あるいは興味を持って率先して調べたものが含まれている。ググッて直ぐに分かる程度の用語の定義的なことは書かない。あくまでWebサイト制作者側からの観点なので、ブラウザ開発関係

9月に発覚した三菱重工業へのサイバー攻撃は、機密性の高い防衛産業が狙われたことで内外に衝撃が走ったが、その後、衆参両院や外務省の在外公館、中央省庁が標的型メールを送りつけられるサイバー攻撃に遭っていたことが次々に明らかとなり、官民のセキュリティー関係者にショックを与えている。 10月に発覚した国土地理院へのサイバー攻撃では、測量用サーバーが外部へのサイバー攻撃の踏み台になっていたことが明らかとなり、国内の大学や民間企業への攻撃の中継サーバーとして使用されていた。政府は10月25日、サイバー攻撃に関する情報共有の「サイバー情報共有イニシアチブ（J-CSIP）」を発足させた。これまでにない危機意識の表れといえる。 日本のネットワークセキュリティーはなぜ頻繁に破られるのか、サイバー攻撃への対策に欠陥はないのか。そうした点について、セキュリティー専門家のウィリアム齋藤氏に聞いた。齋藤氏はカリフォル

スマートフォンのセキュリティ対策の重要性は分かる。でもセキュリティ対策ソフトはインストールしない。そんなユーザーに対する回答として、エフセキュア、カスペルスキー、シマンテック、トレンドマイクロ、マカフィーに聞いたコメントをまとめた。 近年、米国を中心に個人の私物端末を業務でも利用可能とするBYOD（Bring Your Own Device）の動きが加速している。ここでいう端末とは、PCや携帯電話はもちろんのこと、国内でもユーザー数が急増しているスマートフォンやタブレットが含まれる。特に最近ではスマートフォンの企業導入が進んでおり、そうした際に検討事項に挙がるのが「プライベートで使用している端末をそのまま業務用に使わせてしまおう」という考えではないだろうか。 法人導入が当たり前の業務PCとは異なり、ユーザー主導で導入が進んだスマートフォンは「既に持っている」人が大半で、企業が一斉配布するよ

2011年9月19日、多くの新聞およびテレビやインターネットメディアで衝撃的なニュースが報道されました。日本の国防や発電などの基盤産業を支える重要企業の1つである三菱重工業で、国内11拠点でサーバーやPCがマルウェアに感染し、情報が抜き出された可能性があるというのです。 同日発表された三菱重工業の公式見解によると、マルウェア感染の事実は確認され、そのマルウェアの特性から情報漏えいの危険性があることが判明したものの、製品や技術に関する情報の社外へのデータ流出は確認されていないとのことです。ですが、一部のユーザのパスワード情報が流出した可能性なども報道されています。国の防衛上の機密に係るため情報が限定的ではありますが、マルウェアの感染による情報流出および対処の難しさと再認識させられます。 本事件に関する一部報道では、感染したマルウェアは8種類あり、その中にはスパイウェアに分類される「TSPY_

4月に行われた外部からの不正侵入によって「PlayStation Network（PSN）」などのサービスが長期にわたって停止したことは記憶に新しいですが、ソニーがPSNアカウントなどに対して不正アクセスが行われたことを発表しました。 Sony Japan | PlayStationRNetwork、“Sony Entertainment Network”、Sony Online Entertainmentのユーザーアカウントへの第三者の“なりすまし”による不正なサインインの試行について ソニーおよびソニー・コンピュータエンタテインメントのプレスリリースによると、アメリカの太平洋夏時間10月7日から10日にかけて、「PlayStation Network（PSN）」「Sony Entertainment Network（SEN）」および「Sony Online Entertainment

PSN侵入の件から始めよう 今年のセキュリティの話題の中でも特に注目されたものとして、4月20日に起こったPSN侵入事件があります。5月1日にソニーが記者会見をネット中継したことから、ゴールデンウィーク中にもかかわらず多くの方がネット中継を視聴し、感想をTwitterに流しました。もちろん、筆者もその1人です。 このときの様子は、「セキュリティクラスタまとめのまとめ」を連載している山本洋介山さんが、Togetterでまとめています。 Togetterのまとめを読むと、漏えいしたパスワードがどのように保護されていたかが非常に注目されていることが分かります。Togetterのタイムラインで、14:48ごろにいったん「パスワードは平文保存されていた」と発表されると、「そんな馬鹿な」という、呆れたり、驚いたりのつぶやきが非常に多数流れます。 しかし、15:03ごろに「パスワードは暗号化されてなかっ