【PoC編】XSSへの耐性においてブラウザのメモリ空間方式はLocal Storage方式より安全か？ - Flatt Security Blog
はじめに こんにちは。 セキュリティエンジニアの@okazu-dm です。 この記事は、Auth0のアクセストークンの保存方法について解説した前回の記事の補足となる記事です。前回の記事の要旨をざっくりまとめると以下のようなものでした。 Auth0はデフォルトではアクセストークンをブラウザのメモリ空間上にのみ保存するin-memory方式であり、XSSへの耐性のなさ等の理由でlocalStorageで保存することを推奨していない しかし、XSSでアクセストークンを奪取できるのはin-memory方式でも同じのはず(検証は行いませんでした)。localStorage方式を過度に忌避する必要はないのではないか なお、Flatt Securityの提供するセキュリティ診断はAuth0に限らずFirebase AuthenticationやAmazon CognitoなどのIDaaSのセキュアな利用
Auth0のアクセストークンをLocal Storageに保存するのは安全？メリット・デメリットをin-memory方式と比較して検討する - Flatt Security Blog
※追記: 本記事の続編としてin-memory方式からアクセストークンを奪取するPoCを下記記事で公開しました。ぜひあわせてご覧ください。 はじめに こんにちは。 セキュリティエンジニアの@okazu-dm です。 この記事では、Auth0のSPA SDKでアクセストークンのキャッシュを有効化する際の考慮ポイントについて紹介し、それを切り口にアクセストークンの保存場所に関してin-memory方式とlocalStorage方式の2つについて解説します。 Auth0のようなIDaaSは昨今かなり普及が進んでいると思いますが、Flatt Securityの提供するセキュリティ診断はAuth0に限らずFirebase AuthenticationやAmazon CognitoなどのIDaaSのセキュアな利用まで観点に含めて専門家がチェックすることが可能です。 ご興味のある方は是非IDaaS利用部
森永製菓 「ランサムウエア」で164万人以上の顧客情報流出か | NHK
大手菓子メーカーの「森永製菓」がサイバー攻撃を受け、社内のシステムの一部がダウンするなどした問題で、会社は、164万人以上の顧客の個人情報が流出した可能性があることを明らかにしました。 また、サーバーの一部のデータが暗号化されて見られなくなり、犯行側からのメッセージもあったということで、身代金要求型のコンピューターウイルス、「ランサムウエア」の被害にあったものとみられます。 大手菓子メーカー「森永製菓」は今月13日、社内のサーバーへの不正アクセスによって複数のシステムがダウンするなどの障害が発生し、一部の商品の製造に影響が出ました。 この問題で、森永製菓は22日、記者会見を開き、通販事業「森永ダイレクトストア」で商品を購入したことのある顧客合わせて164万人以上の個人情報が流出した可能性があることを明らかにしました。 対象は、2018年の5月1日から今月13日の間に利用した人で、氏名や住所
パッケージマネージャで配布されるマルウェア、対策と課題について - ぶるーたるごぶりん
はじめに 画像は記事に全く関係ないカニのフィギュアです👋 近年、善良なパッケージを騙ったマルウェアが配布されているケースが増えてきています。 これらのマルウェアはパッケージマネージャ上で配布され、開発者端末やそれをビルトインしたシステムを利用するユーザー端末で悪事を働きます。 これは俗にいうサプライチェーン型攻撃で、 これらの関連ニュースを目にする機会が増えてきていることを、多くの開発者が体感されていると思います。 ただ、これらのサプライチェーン型攻撃の記事は、 どうしてもエンドユーザー（パッケージを利用する開発者側・それらを組み込んだアプリを実行するユーザー側）の対策に焦点が当てられたものが殆どのように感じています。 そこで本記事では、このエンドユーザー側の対策だけではなく、 パッケージマネージャメンテナーたちがどう対策しているのかも含めて、 「パッケージマネージャ上で行われるマルウェ
HDMIケーブルはどんな制御信号を送っているのか 悪意ある「BadHDMI」を見分けるために知っておくこと
Kernel/VM探検隊はカーネルや仮想マシンなどを代表とした、低レイヤーな話題でワイワイ盛り上がるマニアックな勉強会です。mzyy94氏はRaspberry Piを使用してHDMIを調査した結果について発表しました。 HDMI制御系に存在する2つのプロトコル「CEC」「DDC」 mzyy94氏：「HDMI探検隊」と題して、LT（ライトニングトーク）をお送りします。自己紹介はさっくりと。元セキュリティ系で今は映像系をやっているエンジニアです。 探検に行く前に「みなさん、HDMIをご存じですか？」というところから、基礎を押さえておきましょう。 知っている人がほとんどだと思いますが、HDMIは、映像と音声を送る端子とケーブル、そしてその通信規格のことです。イーサネット通信や、制御系としての機器コントロールや、ディスプレイコントロールなどもできます。今回はこのHDMI制御系の探検をしていきたいと
JAXAなどに大規模なサイバー攻撃 中国人民解放軍の指示か | NHKニュース
JAXA＝宇宙航空研究開発機構や防衛関連の企業など日本のおよそ200にのぼる研究機関や会社が大規模なサイバー攻撃を受け、警察当局の捜査で中国人民解放軍の指示を受けたハッカー集団によるものとみられることが分かりました。 警視庁は、日本に滞在していた中国共産党員の男がサイバー攻撃に使われたレンタルサーバーを偽名で契約したとして、20日にも書類送検する方針です。 捜査関係者によりますと、JAXA＝宇宙航空研究開発機構が2016年にサイバー攻撃を受けていたことがわかり、警視庁が捜査したところ、日本国内にあるレンタルサーバーが使われ、当時日本に滞在していたシステムエンジニアで中国共産党員の30代の男が、5回にわたって偽名で契約していたことが分かりました。 サーバーを使うためのIDなどは、オンラインサイトを通じて「Tick」とよばれる中国のハッカー集団に渡ったということです。 また、中国人民解放軍のサ
GitHub、コード中に書いてはいけないアクセストークンを発見、通知してくれる「Secret scanning」機能、プライベートリポジトリで正式対応
GitHub、コード中に書いてはいけないアクセストークンを発見、通知してくれる「Secret scanning」機能、プライベートリポジトリで正式対応 GitHubは、本来ソースコード中に書くべきではないアクセストークンなどを、コードやアーカイブから発見し通知してくれるSecret scanning機能がプライベートリポジトリでも正式な機能として利用可能になったことを明らかにしました。 Check out two new ways to ship secure applications with GitHub Advanced Security! Secret scanning for private repos is now generally available, and we've released the beta of our new security overview for
ハッカーがPHPの開発者になりすましてソースコードにバックドアを仕込んでいたことが判明
オープンソースのプログラミング言語であるPHPの開発者らが使用していたGitサーバーに何者かが侵入し、PHPのソースコードにバックドアをしかけていたことが判明しました。ハッカーは悪意のあるコミットをプッシュする際、PHPの開発者であるラスマス・ラードフ氏らになりすましていました。 php.internals: Changes to Git commit workflow https://news-web.php.net/php.internals/113838 PHP's Git server hacked to add backdoors to PHP source code https://www.bleepingcomputer.com/news/security/phps-git-server-hacked-to-add-backdoors-to-php-source-code/
管理不備と報じられたLINEの問題についてまとめてみた - piyolog
2021年3月17日、日本国内のLINE利用者の個人情報に対し、国外から技術者らがアクセスできる状態にあったにもかかわらず、規約上で十分な説明が行われていなかったと報じられました。ここでは関連する情報をまとめます。 何が問題と報じられたのか LINEの（主に日本国内利用者における）個人情報保護管理の不備が報じられた。報道で問題として指摘されたのは国内LINE利用者の個人情報移転先である国名の明記。移転先やアクセスを行う国名は原則として明記を行った上、利用者から同意を得るよう個人情報保護委員会が求めていた。 LINEは利用者へ国外で一部利用者情報を取り扱っていたことについて十分な説明ができていないと判断。利用規約において、「利用者の居住国と同等のデータ保護法制を持たない第三国に個人情報を移転することがある」と説明するも国名までは明記していなかった。 今回は管理不備とされる問題が報道で指摘され
中国の4人に接続権限 LINE「日本に人材おらず」：朝日新聞デジタル
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
LINE 個人情報 中国 委託先技術者から少なくとも32回アクセス | NHKニュース
通信アプリ大手、LINEの利用者の個人情報などが、システムの管理を委託されていた中国の会社の技術者からアクセスできる状態になっていた問題で、実際に中国の技術者から少なくとも32回、日本のサーバーにアクセスがあったことがわかりました。 この問題は、LINEがシステムの管理を委託している中国の会社の技術者4人が、日本国内のサーバーに保管されている利用者の名前や電話番号、それにメールアドレスといった個人情報や、利用者の間でやり取りされたメッセージや写真などのうち、不適切だとして通報が寄せられた内容にアクセスできる状態になっていたものです。 LINEでは2月下旬にアクセスできない措置を取りましたが、中国の技術者から少なくとも32回、日本のサーバーにアクセスがあったことがわかりました。 LINEや親会社のZホールディングスによりますと、これまでのところ、情報が悪用されたという報告はないとしています。
Cookieの新しい属性、SameParty属性について - ASnoKaze blog
ChromeでCookieのSameParty属性の開発が進められている (コミット)。 現在のところ「SameParty cookie attribute explainer」に説明が書かれている。 今回は、CookieのSameParty属性について簡単にメモしていく。 背景 トラッキング対策、プライバシーの観点でサードパーティクッキーは制限する方向に進んでいる。その制限をSame Partyの場合に緩和する仕組みを提供するのがSameParty属性の話である。 例えば、同一主体により運営されているドメインの異なるサイト (例えば、google.co.jp, google.co.uk) 間においては、いわゆる(cross-site contextsで送られる)サードパーティクッキーを許可しようという話です。 もともとは、First-Party Setsを活用しSameSite属性にFi
なりすまし口座に約1億円が流出したSBI証券の不正ログインについてまとめたみた - piyolog
SBI証券は顧客アカウントへの不正ログインにより9,864万円の顧客口座の資産が外部へ流出したと発表しました。資産流出には不正に開設された銀行口座も悪用されました。ここでは関連する情報をまとめます。 SBI証券の発表 悪意のある第三者による不正アクセスに関するお知らせ なりすまし口座を使った犯行 不正利用の手口（SBI証券発表情報よりpiyokango作成）SBI証券からの流出は以下の手口で送金まで行われてしまった。 SBI証券の顧客アカウントに不正ログイン。 偽造した本人確認書類を用いて銀行でSBI証券と同名義の口座を開設。 顧客アカウントが保有する有価証券を売却。出金先銀行口座を不正口座に設定変更。 売却した資金を不正口座に送金。送金された金を引き出し。 約1億円が流出 SBI証券が2020年9月16日時点で把握している被害は顧客数6人、総額9,864万円。1件当たり数百～3,000万
Web口振受付と即時口振に頼らなければならない新型決済スキームの問題 - novtanの日常
ドコモ口座の問題はシステム的な部分でいうと「本人確認と認証が甘い」に尽きるんですが、それ以前の問題として、このビジネススキームが何を根拠に成立していて、その根拠に基づいた対応が行われていたか、ということがありますね。なにぶん、それなりに新しいことをやろうとしている話なので必ずしも法整備は十分ではないし、抜け道というか、既存の制度だったらこうすれば使えるよね、というスキームをひねり出して実施していくわけです。なので、根本的な法律や制度の問題とは別に、2者間で成立させるための個別の契約が必ずあるわけです。それがどのくらい今回の事態を想定していたかは定かではないですけれども、少なくともここについて一般に開示されることはないでしょう。でも、そこがキモってのがこの話の難しいところ。 とはいえ、銀行との資金移動に持っていく部分については口振契約ということは明らかですので、そのへんをちょっと考察してみま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「OpenSSL」にリモートコード実行などにつながる脆弱性 ～v3.0.5/1.1.1q」への更新を／最大深刻度は「High」
「Java」に署名検証がフリーパスになってしまう危険な脆弱性 ～影響は計り知れず／2022年4月の「Critical Patch Update」で対策済み、最新版への更新を
Microsoft Officeがマルウェア「Emotet」に感染？ Microsoft Defenderに誤検知か【14:45追記】／最新の定義ファイル「1.353.1874.0」で発生
same-site/cross-site, same-origin/cross-originをちゃんと理解する
新規タブリンクの恐ろしい仕様、Chrome 88で変更へ ～Safari/Firefoxに合わせた安全な仕様に／“rel=noopener”を付け忘れても大丈夫【やじうまの杜】
ゆうちょ銀の緊急会見、「二要素認証、決済事業者に求めていた」は本当か
