放棄ドメインの大量取得によるスクリプトの乗っ取りについて - tike blog
はじめに 既に役目を終えたドメインの遺産はリンク切れという形でインターネット上に残ることがあります。 ここでいう遺産とは、放棄ドメインに紐付くリソース(画像、外部スクリプトなど)を指します。 閲覧者の目に直接触れるリソース(画像や動画など)が存在しない状態になったことを閲覧者自身が認識することはさほど難しくはありません。 その一方、外部スクリプトなどの目に見えないリソースについては、それが存在しないことを閲覧者が認識することは難しいのではないかと思います。 このような放棄ドメインに紐付いた「存在しない」リソースを閲覧者に気付かれないように引き継ぎ、別の用途に悪用する事象がいくつか確認できましたので、本ブログで共有したいと思います。 不審な JavaScript 先日、不審な挙動を示す以下のJavaScriptを目にしました。 Cookieを含むいくつかの情報を king[.]connect
クラウドを支えるこれからの暗号技術
『クラウドを支えるこれからの暗号技術』 本書は公開鍵暗号に続く、新しい暗号技術を紹介します。 対象読者 『暗号技術入門』（結城浩）を読んで最先端暗号理論はどうなってるのだろうと興味を持った方 「入門書に載っているRSA暗号は安全ではないので使ってはいけない」ということを知らない方 Hash(secret key||message)で認証してはいけない理由（SHA-2とSHA-3の違い）を知りたい方 楕円曲線暗号の楕円曲線を直感的に把握したい方 最近ちょいちょい聞く「準同型暗号」って何だろうと思っている方 楕円曲線といえばy2 = x3 + ax + bという式が唐突に出てくるけど何故なのと疑問に思った方 EdDSAって何? ECDSAの書き間違い?と思ったらEdwards曲線が出てきて、それ何だろうと思った方 暗号で使われる数学の話をきちんと理解したい方 などなど。 購入 秀和システム 正
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
セキュリティ診断ツール - 情報セキュリティWiki - セキュアなWebアプリケーション構築のために
セキュリティ診断ツール検証用Webアプリケーション OWASP Broken Web Applications Project (OWASPBWA) いわゆる「やられサイト」は古今東西、様々な言語や形態(ソースコード、VMイメージなど)で存在していますが、OWASPのこのプロジェクトをフォローすれば十分でしょう。 プロジェクトに含まれる「やられサイト」一覧 https://code.google.com/p/owaspbwa/wiki/UserGuide#Training_Applications 診断ツールの参考サイト 初心者Webアプリケーション開発者がチェックすべき情報源2013 Appendix A: Testing Tools - OWASP Web Application Vulnerability Scanners - SAMATE Webアプリケーション 有償 AppSca
Rails 3.2.17, 4.0.3 and 4.1.0.beta2 have been released!
Rails 3.2.17, 4.0.3 and 4.1.0.beta2 have been released! Hi everyone! Rails 3.2.17, 4.0.3 and 4.1.0.beta2 have been released! These three releases contain important security fixes, so please upgrade as soon as possible! In order to make upgrading as smooth as possible, we’ve only included commits directly related to each security issue. The security fixes in 3.2.17 are: CVE-2014-0081 CVE-2014-0082
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
おトクなお金のコラム
フリーでやろうぜ！セキュリティチェック！