知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法
知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法：HTML5時代の「新しいセキュリティ・エチケット」（3）（1/2 ページ） 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。前回は、同一オリジンポリシーを突破する攻撃の代表的事例であるXSSについて、特にDOM based XSSと呼ばれるものについて解説しました。今回はその続きとして、XMLHttpRequestによるXSSを解説します。 XHR Level 2によるリモートからのコード挿入によるXSS 従来、XMLHttpRequest（以下、XHR）は、表示しているドキュメントと同じオリジン（オリジンについては第1回を参照）としか通信できませんでしたが、現在の主要なブラウザーではXHR Level 2と呼ばれる実装により、オリジンを超えて通信することが可能になっています。 これは、Jav
パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
【速報】PHP-5.5.2にて大垣さんのstrict sessionsが実装されました
大垣さんのツイートで、strict sessionsがPHPにマージされることを知りました。 やっとStrict Sessionがマージされました。8年越しです。... http://t.co/ZBuVTHunqy — Yasuo Ohgaki (大垣靖男) (@yohgaki) August 5, 2013 本日、PHP-5.5.2が公開されましたので、ChangeLogを確認したところ、確かに入っているようです。 Sessions: Implemented strict sessions RFC (https://wiki.php.net/rfc/strict_sessions) which protects against session fixation attacks and session collisions. PHP 5 ChangeLog より引用 8年越しのstrict
SQLインジェクションやXSSって何されるの？ (1/2)
Q.SQLインジェクションはどのような攻撃ですか？ A.Webアプリケーションが持つ欠陥や仕様上の問題点を利用した攻撃です。 狙われるWebサイト 「SQLインジェクション」は、日本では2005年ごろからWebサイトの攻撃手段として使用されはじめた。ワコールオンラインショップの個人情報漏えい（2005年11月）などのWebサイト攻撃事件にも使用され、情報セキュリティの専門家だけでなく、一般にも名前を知られるようになった。 SQLインジェクションを簡単に説明すると、Webアプリケーションの脆弱性を利用して、外部からデータベースの内容を不正に操作する攻撃である。具体的には、Webサイトにウイルスを埋め込んで閲覧したユーザーのPCに感染させたり、他のユーザーのクレジットカード番号といった個人情報を表示させて盗み出してしまう。 そして、2008年3月頃から世界中でこのSQLインジェクション攻撃によ
よく使われる危険なパスワードトップ500
セキュリティを強化するために使用されるパスワードですが、面倒くさいからとか覚えられないからといって安易なものを使ってしまうとあまり意味がありません。多くの人が思い浮かべる使われやすいパスワード500個が紹介されているので、自分の使っているものと同じものがないかチェックしてみてください。 詳細は以下から。 What’s My Pass? >> The Top 500 Worst Passwords of All Time よく使われるパスワードトップ500。 50人に1人はトップ20のうちのどれかのパスワードを使用しているそうです。「1234」といった簡単な数字の羅列や「qwerty」などのキーボードを横に順番に押しただけのもの、「password」といったそのままの単純なものが上位に多くありますが、「porsche」や「ferrari」といった自動車の名前や「starwars」「matri
中国がＩＴ製品の情報開示を強制 日米業界は強く反発 (1/2ページ) - MSN産経ニュース
中国政府が、ＩＴ（情報技術）セキュリティー製品を販売する際、詳しい製品情報の提供を条件とする方針を示したことが波紋を広げている。中国政府はシステムの安全性や品質を確保するためとしているが、日米の関係業界は知的財産権保護などの観点から強く反発している。だが、従わなければ成長著しい中国市場から閉め出されかねず、業界は不安を募らせている。 中国政府は、家電製品などの安全性を審査する「強制認証制度」の対象に、ネットワークのセキュリティー関連の機器やソフト計１３品目を含める考え。来年５月からの実施を予定している。ＩＣカードの基本ソフト（ＯＳ）や、コンピューターウイルスの侵入を防ぐソフトなどが含まれており、認証を得なければ中国で販売できない。 ＩＴのセキュリティー製品については、日米欧など２５カ国は相互認証制度を採用している。例えば、日本の認証機関で安全性を確認した製品は、そのまま米国でも安全な製品と
全世界のフィッシング攻撃の半分に関与している正体不明のオンライン犯罪組織「Rock Phish」
ニセのページに誘導してオンラインバンキングのパスワードなどを盗み出す「フィッシング」。全世界で行われているこのフィッシング攻撃の実に半分に関与していると言われ、銀行だけで1億ドル（約106億円）もの被害額を出している謎のオンライン犯罪組織、それが「Rock Phish」です。 彼らはごく少数の人間で構成された少数精鋭のテクノロジー犯罪者集団で、メンバーは12人程度と推測されており、フィッシング攻撃で入手した情報は「Mother Ship」(母船)と呼ばれる中央サーバに集め、IRCなどを使って業者へ売買していると考えられています。 この謎の犯罪組織の姿に迫ってみましょう。詳細は以下から。 Rock Phish - Wikipedia, the free encyclopedia 彼らはもともとはルーマニアを起源としているとされており、先月はフィッシング攻撃に使用しているボットネットのインフラ
数百メガバイトの個人情報入りデータがわずか1万円で入手できる
G DATA Softwareの調査によると、電子メールのアカウント、ネットの決済サービスの入力データ、オンラインバンキング情報などを含んだ個人情報がブラック・マーケットで取引されており、価格は数百メガバイトでわずか1万円。さすがにこれだけ安価だとソートされていない生データらしいのですが、それでもこの価格はオドロキです。 一体どのような情報が出回っているのか、知られざるブラック・マーケットの実態は以下から。 次々と巧妙になる、データ窃盗犯の手口 サイバー犯罪者によるデータの窃盗、販売、不正使用による被害額は、年間で約10億ユーロ（約1612億円）。その収入源は、オンライン上で使用されているIDやパスワード、銀行口座番号、クレジットカード番号など。 これらの個人情報を盗み出すため、本物に見せかけたページに被害者を誘い込むような「フィッシング・メール」が今まではよく使われていたものの、今は「ク
ネットの地下経済市場でクレジットカード番号は「1ドル」で買える
インターネット上における地下経済市場は依然として拡大傾向にあり、結果、ネット上には個人情報やクレジットカードの情報を販売しているサイトが多く存在しています。現在、ネットの地下経済市場における個人情報の販売価格は14ドルから18ドル（1600円から2100円程度）。クレジットカード番号の価格にいたっては、わずか1ドルから6ドル（117円～705円ほど）です。 以下、知られざるネットの地下経済市場、いわゆる闇市場の実態と、今そこにある危機について。 Symantec Reports Rise in Data Theft, Data Leakage, and Targeted Attacks Leading to Hackers’ Financial Gain アンチウイルスソフトで有名なシマンテックのこのレポートによると、ネット上におけるボットに感染しているパソコンの数は約600万台、約29％
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News