Webサービス公開前のチェックリスト
個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお
NERV防災アプリを提供するゲヒルン社の紹介｜田中邦裕
NERV防災アプリや、Xの@UN_NERVアカウントの運営をしているゲヒルン社について、どんな会社なんだろうというポストを見かけるので、せっかくですから他己紹介をしてみようと思います。 ゲヒルン社は、いまはさくらインターネットのグループ会社ですが、もともとは代表の石森さんが「さくらのVPS」ユーザーで、ホスティングサービス提供もされていたことから、2011年3月9日にTwitter上でのつながりが始まりました。 その2日後、東日本大震災が発生し、石森さんが石巻出身という事もあって、ヤシマ作戦など、Twitterで震災関連の情報発信を開始し、急遽それらをサーバでサポートする事になりました。 そして数ヶ月後には、さくらインターネットの開発やセキュリティ診断などのお手伝いをいただく事になり、ゲヒルン社の本社がさくらインターネットの東京支社内に設置され、いまのCOOの糠谷さんもジョインされました。
KDDI通信障害の報告書で見えた地獄絵図、痛恨のミスから次々と事態が悪化
総務省の有識者会議「電気通信事故検証会議」は2022年10月5日、KDDIが7月に起こした大規模通信障害に関する検証報告書を公表した。KDDI自身がこれまで4度にわたって記者会見を開いて説明しているので全体像は把握していたが、さらに深掘りした興味深い内容となっている。 例えば障害の影響が全国に波及した点。同業他社からは「KDDIはなぜ影響を局所化できなかったのだろうか」と疑問の声が上がっていた。原因は、同社が音声通話用の「VoLTE（Voice over LTE）交換機」のネットワークをフルメッシュ構成にしていたためだった。東西でネットワークを分けるのが一般的な印象だが、同社は「特定の拠点で発生する輻輳（ふくそう）を早期に収束させるため」に全国フルメッシュ構成を採用していた。これが裏目に出た。今後は東西分散構成に変更するという。 検証報告書を読むと、厄介な出来事が次々と発生して事態が悪化し
デロイト トーマツ コンサルティングでのお客様情報の漏洩について
2022年6月16日 先般、弊社（デロイト トーマツ コンサルティング合同会社）がコンサルティング契約にもとづき業務提供をしたイオン株式会社様（以下、「イオン社様」という）の秘密情報を含む資料の一部内容が週刊誌（週刊ダイヤモンド2022年2月12日号）に掲載されました。 これをうけて、事実関係について弊社から独立してデロイト トーマツ グループに調査委員会が設置され、第三者の弁護士の検証も踏まえて調査をした結果、当該資料は弊社を起点として漏洩し、当該週刊誌に掲載された事実が確認されました。 本事案は、当該コンサルティング業務において守秘義務に対する基本的認識の欠如ならびに社内ルールを逸脱した行為があり、その結果として、イオン社様とのコンサルティング契約における秘密保持条項に違反したことに起因するものでありました。 また、本事案以外にイオン社様の秘密情報が弊社から弊社外に漏洩した事実は無いこ
Amazonから注文していない商品が次々と届く、しかし代引きではない… - xckb的雑記帳
さて、先日から自分のもとに、全く身に覚えの無い謎の雑貨の類が次々とAmazonから届くようになった。これが代引きなら典型的な送りつけ詐欺なのだけれども、代引きではない。 そんな体験をしたことがあるだろうか。 と言うことで、このような現象が何を目的として、どのような人によって引き起こされているかの推理し、対応策を考えるのがこのブログ記事の目的だ。こんな感じの目次でいってみようか。 なにが起こったのか 突然送られてくる謎の商品 Amazonのカスタマーサービスに連絡 さらに次々と送られてくる不審な商品 再びカスタマーサービスに連絡 よくありそうな疑問への回答 配送拒否すればいいのでは？ 返品すればいいのでは？ 何が原因なのか 在庫処分説 ソーシャルハッキング説 仮説の検討 在庫保管にかかる費用 在庫保管制限 返送・廃棄にかかる費用 そもそものAmazonに出品するための手数料 以上の数字の分析
みずほ銀行システム障害に学ぶ
みずほ銀行システム障害の調査報告書が公開されたのがニュースになって、Twitterなどで色々な人がコメントをしているのを見た。140文字しか書けない空間で他人の失敗談の揚げ足取りをするのは簡単だが、そこからは一時の爽快感以外に何も得るものがないので、僕はそういうのはカッコ悪いと思っている。 そこで、ちゃんと読んでみたら全く他人事でない部分も沢山あるし、非常に面白く勉強になったので、ブログにまとめてみる。 技術的な話 銀行のシステムがどのようになっているのか、全然イメージが湧いていなかったので、それがまず勉強になった(p.29)。 トラフィックのソースに応じて用意された色々なシステムから基幹システム「MINORI」の取引メインバスにトラフィックが流れ、そこから各種システムへとリクエストが送られていく。この辺はService Oriented Architectureらしい。開発当時としては（
某大企業のDX状況を教えるよ！
某大企業に勤めてるよ！ みんな絶対に知ってる日本でトップクラスっていうかある意味トップの企業だよ！ もちろんDXをゴリゴリに推進しているし「DX」と名の入った部署まで作って本気だよ！ そんなうちの会社の最新のDX事情を教えてあげるYO！ もちろんDaaS社内システムはもちろんDaaS（Desktop As A Service）を使ってるよ！ 要するにリモートデスクトップだよ！ 社内全員がDaaSを利用するんだけど負荷を抑えるためにWindowsのインデックスサーチはOFFにされてるよ！ なのでファイル検索はめちゃくちゃ遅いしOutlookのメール検索も死ぬほど遅いよ！ おまけに一人あたり20GBの容量しか使えないよ！でも基本的にメールのやりとりだからメールだけで使い切るよ！ え？使い切ったらどうするかって？もちろん、古いメールは削除だよ！ なんで20GBしか使えないのか聞いたら、「平均して
自作サービスがDDoS攻撃された話 - 週休７日で働きたい
攻撃に立ち向かうイヌさんThe English version is available here. タイトル訂正: 「自作サービス『に』→『が』DDoS攻撃された話」「それはDDoSではない」という指摘に関して末尾に追記 (6/18)SaaSを開発していると本当にいろんな事が起こります。それらは時に開発者に喜びや悲しみ、怒り、感謝、落胆や興奮をくれます。思い返してみれば結局はみんないい思い出になるものです。先週末に、拙作の小さなウェブサービスがDDoS攻撃を受けました。言わずもがな、悪い出来事です。本稿ではこの事故がどんなものだったのか、どうやって対処したのかについてお話します。 どうもTAKUYAです。僕はInkdropというクロスプラットフォームなMarkdownノートアプリを独りで3年以上開発・運用しています。ユーザ数2万人以下のとてもニッチなSaaSで、僕はこのサービスで生計を立
アマゾンで他人の“注文履歴”が見えてしまう状態に--同社は「現在調査中」
通販サイトの「Amazon.co.jp」で、他人の注文履歴が表示されてしまうエラーが、9月26日から一部のユーザーの間で起きているようだ。 Amazon.co.jpで注文履歴を選ぶと、そこに身に覚えのない注文履歴が並んでいるという報告がTwitterなどで相次いでいる。名前や住所なども閲覧できる状態だという。 CNET Japan編集部でも確認したところ、同様の事象が起きているスタッフがいた。東京都内で暮らしているが、届け先の住所が「鹿児島県」になっていた。 アマゾンジャパンに同件について問い合わせたところ「Amazonは、お客様のセキュリティとプライバシーを大変重要に考えています。本件については認識しており、現在調査を進めております」との回答を得た。続報があり次第、お伝えする。 【追記】同社は9月28日9時30分に「本事象は解決し、お問い合わせいただいたお客様にはご連絡をしています」とコ
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景
【変更履歴 2018年2月15日】当初の記事タイトルは「いまなぜHTTPS化なのか？ 技術者が知っておきたいSEOよりずっと大切なこと ― TLSの歴史と技術背景」でしたが、現行のものに変更しました。現在GoogleではWebサイトのHTTPS対応と検索結果の関係を強調しておらず、本記事の趣旨の一つにも本来は独立した問題であるSEOとHTTPS化を関連付けるという根強い誤解を解くことがありますが、当初のタイトルではかえってSEOとHTTPSを関連付けて読まれるおそれがあり、また同様の指摘もいただいたことから変更いたしました。 HTTPとHTTPSは、共にTCP通信上で動作します。したがって、いずれもTCPハンドシェイクで通信を開始します。 HTTP通信の場合には、このTCPハンドシェイク直後に、HTTPリクエストとレスポンスのやり取りが始まります。このHTTPのやり取りは平文通信であり、途
WordPressの侵入対策は脆弱性管理とパスワード管理を中心に考えよう
この記事はWordPress Advent Calendar 2015の7日目の記事です。 今年初めてWordCamp Tokyoにて講演の機会をいただき、WordPressのセキュリティについて話しました（スライド）。そこでもお話ししましたが、WordPressに限らず、Webサイトへの侵入経路は2種類しかありません。それは以下の2つです。 ソフトウェアの脆弱性を悪用される 認証を突破される したがって、侵入対策としては以下が重要になります。 全てのソフトウェア（OS、Apache等、PHP、WordPress本体、プラグイン、テーマ等）を最新の状態に保つ パスワードを強固なものにする 以上! と叫びたい気分ですが、それではシンプル過ぎると思いますので、以下、WordCampでお話した内容とリンクしながら、もう少し細く説明したいと思います。 全てのソフトウェアを最新の状態に保つ Word
「銀行から１万４０００件の情報流出」を当事者目線で解説したい
出会い系サイト運営者と繋がりのある方より直接話を聞くことができました。 文才がないながらも出来るだけ当事者側からの目線で解説したいと思います。 先に言いますが、本件は出会い系サイト自身が被害者でもありますので、「出会い系サイトなんて全部サクラサイトだろ?」みたいな先入観をお持ちの方は一旦捨てて頂くと理解しやすいかと思います。真っ当に運営されている出会い系サイトが被害者です。 まず流出したであろう情報とは何なのか?「残高照会ダイヤル」は、契約者が持つ口座の残高や、通帳に「印字されうる」取引明細も音声で知ることができます。例えば 「27-11-27 振込 フグタマスオ *30,000」 「27-11-30 振込 イソノカツオ *10,000」 このような入出金の取引を、音声で知ることができます。 もちろん契約者(契約団体)自身しかアクセスできないはずの情報なわけですが、この残高照会ダイヤルの操
３年程運営していたwordpressのブログがウイルス感染して一瞬で消滅した : 宇佐美典也のブログ
宇佐美典也のブログ 宇佐美典也（うさみのりや）です。1981年、東京都生まれ➡暁星高校➡東京大学経済学部➡経済産業省➡ブロガー・ニート➡再生可能エネルギー業界の端っこ（今ココ）なにかあればinfo@unyconsulting.comまでご連絡を。 お問い合わせ プライバシーポリシー 個人情報保護方針 去る2015年9月19日、サーバーを借りているlolipopから通知が有りまして３年間程運営していたブログがウイルス感染のためあっけなく閉鎖することになりました。 9月15日頃にいわゆるボットが発動したものと思われ、私が借りていたサーバーから大量にSPAMメールが撒かれていたようです。以下9/15から9/16にかけてlolipopから通知があった撒かれたスパムメールの件数です。 （9/15 ） 21:39 ➡ 314通 22:12 ➡ 335通 23:09 ➡ 306通 （9/16） 0:18
個人の善意にあぐらをかいて劣悪な環境で働かせる「悪意」 - 斗比主閲子の姑日記
仕事に絡んだ問題の中には、その仕事の内容に見合った適切な報酬の支払いと人員配置がなされていれば解決できるものが多くあります。 注：本文で善意と悪意という言葉は、法律用語として使っているものではありません。 鳥取養護学校での看護師全員一斉辞職 最近の事例だとこれもそうかなと思いました。養護学校に勤務する非常勤の看護師6名が一斉辞職したというもの。 鳥取養護学校：看護師全員が一斉に辞職 - 毎日新聞 野坂尚史校長は「本来は８人の看護師が必要。一刻も早く人材をを見つけたい」と話した。県教委は「医療的ケアを必要とする児童生徒が増え、看護師の体制が苦しかったとも聞いている。組織としての受け止めなどが不十分だった」と釈明。県看護協会などに派遣を要請中で、近く学校でのケアを再開する方針という。【小野まなみ、真下信幸】 保護者とのトラブルがきっかけで辞職したという報道ですが、校長先生の発言通りなら、元々適
ソニーはパスワード数千個を｢パスワード｣というフォルダに保管していた
ソニーはパスワード数千個を｢パスワード｣というフォルダに保管していた2014.12.05 12:305,620 satomi それはあまりにも当たり前の場所だった。 北朝鮮（？）のハックで、社員6800人の給与がリークし年収1億円超えの経営陣が白人男性ばっかり（9割弱）なことが判明したソニー・ピクチャーズ・エンターテイメント。 ITの中の人かわいそうに…今ごろ死んでるだろうな…と心底同情していたら、こんなものが出てきました。 大事なパスワード保管庫の名前が｢Password｣って…壁に何発か頭ぶつけてよしだよ！ どうりで昨日第2弾のデータの山がリークされたら、あっという間にBuzzfeedがFacebook、MySpace、YouTube、Twitterの｢映画大作の公式アカウントのユーザー名とパスワード｣を探し当ててしまったわけですよ。仕事早いと思ったらなんのことはない。｢Passwor
ウェブアプリにおけるBash脆弱性の即死条件 #ShellShock - めもおきば
条件1. /bin/shの実体がbashのディストリビューション RHEL CentOS Scientific Linux Fedora Amazon Linux openSUSE Arch Linux (自ら設定した場合: Debian, Ubuntu) 条件2. 動作環境 CGI (レンタルサーバでありがちなCGIモードのPHP等も含む) Passenger(Ruby) 条件3. プログラム内容 Passengerは全死亡 *1 systemや `command`、 '| /usr/lib/sendmail' などで外部コマンド実行 *2 PHPのmailやmb_send_mail、その他フレームワーク等を介したメール送信 *3 以下は条件1が不要 明示的にbashを呼ぶ 先頭で #!/bin/bash や #!/usr/bin/env bash しているプログラムを実行 (rbenv
ノートンブログ - ヒント、教育、FAQへの回答
若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ファイルをVVVに書き換えるランサムウェアの蔓延とWin10のアップグレードで感染する事例が急増の懸念【12/13 8:00更新】 - Windows 2000 Blog
被害の前に！Macを買ったら絶対にやるべき10の無料セキュリティ対策
sakedrink.info
