twitterに学ぶなりすまし投稿対策
先日もtwitter上の犯行予告により20歳の青年が逮捕されたようですが、なりすましによる誤認逮捕ではなかったのか気になるところです。そこで、twitterが、なりすまし投稿をどの程度対策しているかを調べてみることにしました。twitterの安全性を確認することが目的というよりも、twitterが実施している対策を知ることにより、皆様のWebサイトを安全にする参考にしていただければと思います。 今回調べた「なりすまし投稿」の手法は下記の通りです。 クロスサイト・リクエスト・フォージェリ(CSRF) クロスサイトスクリプティング（XSS） HTTPヘッダーインジェクション クリックジャッキング DNSリバインディング クッキーモンスターバグ このうち、上の5つの解説は拙稿「“誤認逮捕”を防ぐWebセキュリティ強化術」、最後のクッキーモンスターバグについては、過去のエントリ「クッキーモンスター
Security at Twitter
Security at Twitter At Twitter, we value your online security as much as you do. Our team works constantly to protect the security of your account, and takes steps every day to provide a secure Twitter experience for our users. Maintaining top notch security online is always a community effort, and we're lucky to have a vibrant group of independent security researchers who volunteer their time to
アップル、「Apple ID」に2段階認証オプションを追加
Appleは米国時間3月21日、「Apple ID」システムにさらなるセキュリティ階層を加えた。これによって、ユーザーがAppleのさまざまなサービスにログインする際のパスワードが強化される可能性がある。 Apple IDを持つユーザーは、パスワードに2段階認証を適用するように登録することができる。2段階認証とは、通常のパスワードに加えて使用することのできる4桁のパスコードを、テキストメッセージでユーザーの携帯端末に送信するシステムである。実際にこれによって、その携帯端末にアクセスできる人物でない限り、アカウントに攻撃を加えられないようにすることができる。 Appleの広報担当者は米CNETに対し、「Appleは顧客のプライバシーを非常に重要視しており、2段階認証は、当社のユーザーのデータが保護されることを保証するさらに堅牢なプロセスである」と述べた。「われわれは現在、ユーザーに対し、この
DNSSECを破る ("Breaking DNSSEC" 日本語訳)
("Breaking DNSSEC" 日本語訳) D. J. Bernstein University of Illinois at Chicago 1993年11月 Galvin: 「ある朝、DNSワーキンググループにおけるDNSセキュリティチームの メンバーがヒューストンのIETFで会った」 1994年2月 Eastlake-Kaufman、 dns-security メーリングリストでの数ヶ月の議論のあと 「DNSSEC」プロトコル仕様が作られる。 DNSSECの調査研究に、百万ドル単位の政府予算が使われる: たとえば DISA から BIND company へ、 NSF から UCLA へ、 DHS から Secure64 Software Corporation へ。 現在のインターネットには、 およそ 80000000個の *.com ドメインがある。 2008年8月20日:
高木浩光＠自宅の日記 - ミログ第三者委員会の「提言」を許してはならない
■ ミログ第三者委員会の「提言」を許してはならない 10月10日の日記「スパイウェア「app.tv」に係るミログ社の大嘘」の件、ミログ社から「第三者委員会報告書」（以下「報告書」という。）が開示された。 第三者調査委員会の調査結果に関するお知らせ, 株式会社ミログ, 2011年12月16日 100ページにも及ぶこの報告書の内容は、「app.tv」と「AppLog」について事実関係を明らかにした上で、いずれも違法行為ではなかったとする結論を導くものであり、加えて、冒頭で、「ユーザーからの同意取得に関する提言」として、一般論を社会に向けて提案するものとなっている。 報告書には次の2つの重大な問題がある。 app.tvの不正指令電磁的記録該当性の検討で肝心の点がすっ飛ばされている。 「ユーザーからの同意取得に関する提言」は到底受け入れられるものではない。 以下、これらを順に明らかにする。 app
高木浩光＠自宅の日記 - Wi-FiのMACアドレスはもはや住所と考えるしかない
■ Wi-FiのMACアドレスはもはや住所と考えるしかない 目次 まえがき これまでの経緯 2つのMACアドレスで自宅の場所を特定される場合 SSIDに「_nomap」でオプトアウト？ PlaceEngineはどうなった？ まえがき 先週、以下の件が話題になった。 Greater choice for wireless access point owners, Official Google Blog, 2011年11月14日 Removing your Wi-Fi network from Google's map, CNET News, 2011年11月14日 グーグル、Wi-Fiネットワークの位置情報収集で対応策を公開, CNET Japan, 2011年11月16日 Google's WiFi Opt-Out Process Makes Users Navigate Technic
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
Strutsにセキュリティ更新、全ユーザにアップデート推奨 | エンタープライズ | マイコミジャーナル
Apache Struts 2.0系を採用している場合、どうやら最新版のApache Struts 2.0.11.2へのアップグレードを実施した方がよさそうだ。マイナーバージョンしかアップデートされていないが、Apache Struts 2.0.11.2ではXWork 2.0.5に存在したセキュリティ脆弱性が修正されている。同脆弱性を利用されると遠隔操作でサーバサイドのコンテキストオブジェクトを変更される可能性がある。すべてのApache Struts 2.0系ユーザに2.0.11.2へのアップグレードが強く推奨されている。 同脆弱性はGoogle Security Team, Meder Kydyraliev氏によって指摘されたもの。XWorkのParametersInterceptor実装に問題があり、セキュリティチェックの回避が可能になっていることが指摘されている。どの程度の割合でこ
OpenIDをとりまくセキュリティ上の脅威とその対策 － ＠IT
前回はConsumerサイトを実際に作る際のプログラミングに関してお話ししましたが、今回はOpenIDに関するセキュリティについて考えてみます。 今回取り上げるトピックとしては、 などを段階的に説明していきます。IdPの構築方法を知る前にOpenIDプロトコルのセキュリティに関して熟知しておきましょう。 OpenIDプロトコルにおける通信経路のセキュリティ ここまで詳細に解説してきませんでしたがOpenID認証プロトコルのフェイズにおいて、どのようにセキュリティ上の安全性を担保しているかを解説しましょう。 まずはassociateモードを正常に実行するSmartモードの場合です。 ConsumerはユーザーからのClaimed Identifierを受け取ると、associateのキャッシュが存在しない場合は新規にIdPに対してassociateモードのリクエストを行います。第3回で「as
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IDEA * IDEA