発表資料は以下のとおり。春山様はじめECナビの皆様、ありがとうございました。 XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法View more presentations from kazuho.
Kazuho@Cybozu Labs: XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法 (第１回神泉セキュリティ勉強会発表資料)
発表資料は以下のとおり。春山様はじめECナビの皆様、ありがとうございました。 XSSに強いウェブサイトを作る – テンプレートエンジンの選定基準とスニペットの生成手法View more presentations from kazuho.
Kazuho@Cybozu Labs: Shibuya.pm でセキュアコーディングの話をしてきた件
昨日は、Shibuya Perl Mongersテクニカルトーク#14 に参加してきました。 パネラーとしてウェブサイトのセキュリティに関するディスカッションに加えていただいて、いろいろ上から目線で大局的な話をしたり。一方、ライトニングトークでは具体的な事例として、既にブログに書いた Twitter の XSS に絡んで構造化テキストの処理手法について話をさせていただきました (参照: 構造化テキストの正しいエスケープ手法について, String::Filter っていうモジュール書いた)。 とはいえ、既にブログに書いたことを繰り返すのも芸がないので、正しい設計が何か、という切り口ではなく、どういう設計をすれば「安全」か、という話になっています。スライドは以下にありますので、興味のある方はご覧ください。
高木浩光＠自宅の日記 - 音楽著作権団体らの杜撰なアンケートがフィッシング被害を助長する
■ 音楽著作権団体らの杜撰なアンケートがフィッシング被害を助長する 音楽6団体、違法ダウンロード防止の啓蒙キャンペーン, ケータイWatch, 2010年3月4日 プレスリリース, 音楽関係6団体「やめよう！違法ダウンロード」キャンペーン開始, 社団法人日本レコード協会, 2010年3月4日 【特設サイトURL】 パソコン http://www.happy-musiccycle.jp/ 携帯電話 http://www.happy-musiccycle.jp/mobile/ このURLがあちこちに貼られて宣伝されているようだ。たとえば、懸賞情報のメールマガジンなどに掲載されているようだ。 社団法人日本レコード協会 QUOカード1000円分300名プレゼント, 無料サンプル＆懸賞情報サイト 社団法人日本レコード協会 QUOカード1000円分300名プレゼントキャンペーン! エルマークを広めよう
インターネットが終焉するわけではない、HTTPS脆弱性に関する5つの誤解 | エンタープライズ | マイコミジャーナル
The primary goal of the TLS protocol is to provide privacy and data integrity between two communicating applications. 2009年11月に入ってからTLS/SSLまわりの脆弱性に関して慌しい動きが続いている。抜本的に問題に対処するわけではないが、OpenSSLでは介入者攻撃が可能になるパターンの処理が実行されないように該当機能を無効化するという対処を取り込んだバージョンを問題が発覚した直後にリリースしている。 こうした状況に対し、Juniper NetworksのSecurity Researchセキュリティマネージャ、Steve Manzuik氏がTransport Security Layer (TLS) Man-In-The-Middle V...において、流布している
経済 | 毎日新聞
金券ショップに数多く出回る株主優待券。航空や鉄道の運賃が大幅に割引になるなどする特別な券がなぜ店に絶えず並ぶのか、それらは一体どこから来ているのか。その最大級の供給元で地道に繰り広げられている、知られざる仕事の内幕とは――。関連記事・自社商品をお返し 株主優待が増加している＜写真特集＞魅力的な株主
仮想化ハイパーバイザ搭載ノートPC、来年にも登場か － ＠IT
2009/06/10 仮想化技術はサーバ統合やクラウド、開発・テスト環境などの用途で注目されているが、そのほかにもモバイル端末やクライアントPCでも魅力的な応用がある。クライアントPCで業務アプリケーションを利用する環境と、それ以外の環境を切り分けて、企業・組織の情報漏えいを始めとするセキュリティリスクを抑えるというものだ。 Xenプロジェクト創始者で、現在シトリックスでアドバンスド仮想化製品担当バイスプレジデントを務めるイアン・プラット（Ian Pratt）氏。2007年にシトリックスに買収されたXenSourceを創業する前は英ケンブリッジ大学コンピュータ研究所の教授 6月10日に都内で会見したXenプロジェクト創始者で、現在シトリックスでアドバンスド仮想化製品担当バイスプレジデントを務めるイアン・プラット（Ian Pratt）氏は、仮想化ハイパーバイザを搭載したノートPCが、「来年の
時計同期の「ntpd」にバッファオーバーフローの脆弱性
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）および有限責任中間法人 JPCERT コーディネーションセンター（JPCERT/CC）は5月19日、時計同期プロトコル「NTP」を実装した「ntpd（NTP daemon）」にバッファオーバーフローの脆弱性が存在すると公表した。 今回確認された脆弱性の影響を受けるのは、NTP 4.2.4p7未満、およびNTP 4.2.5p177未満。OpenSSLサポート付きでコンパイルした場合に脆弱性が存在する。ntp/ntp.crypto.cに含まれるcrypto_recv() 関数内にあるsprintf() の使用に起因しており、autokeyが有効な場合にのみ影響を受ける。
正規アプリになった携帯ウイルス出現
モバイルマルウェアの「Sexy View」は、Symbianの署名が入った証明書を使い、正規のアプリケーションとしてインストールされてしまう。 携帯電話のショートメッセージサービス（SMS）とインターネット接続機能を使って増殖する新手のマルウェア「Yxes.A!」（別名Sexy View）が出回っていると、セキュリティ企業のF-SecureとFortinetが伝えた。 Yxes.A!は、SymbianOS S60 3rd Edition搭載の携帯電話に感染する。特徴的なのは、Symbianの署名が入った証明書を使っている点だ。これによって正規のアプリケーションとしてインストールされ、アクセス権限を取得する。 端末に感染するとファイルシステムから電話番号を収集し、その番号にあててSMSを送ろうとする。受信した相手がSMSに記載されたURLをクリックすると、悪質なサーバからマルウェアがダウンロ
高木浩光＠自宅の日記 - Googleドキュメントの「招待メール」の危険
■ Googleドキュメントの「招待メール」の危険 ことの始まり 先々週の話。1月23日に次の記事が出ていた。 『Google Docs』の設定にご用心：知らないうちに書き換えも？, WIRED VISION, 2009年1月23日 この記事の趣旨は、「Googleスプレッドシート」の共有設定の画面の説明文「Let people edit without signing in」が誤解を招くために、誤って、誰にでも閲覧や編集を許す設定にしてしまいかねないという話である。この画面は、日本語表示では図1の表記となっている。 WIRED VISIONの記事の言い分では、「people」が上の招待メール送信先の人々のことを指すように読めて、下の「プライバシー」設定も変更しないといけないように誤解してしまうという。 そもそも、この機能の意図されている動作はどういうものか。私も試しているうちに一時混乱し
高木浩光＠自宅の日記 - 旧はてなブックマークで社内情報が漏洩していた可能性
■ 旧はてなブックマークで社内情報が漏洩していた可能性 昨年11月上旬に、はてなブックマークでプライベートアドレスが登録されていることが話題になっていた。 はてなブックマーク - はてなブックマーク - http://192.168. たとえば次などがそれだ。 http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.1/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.2/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.3/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.4/ http://b.
リアルビジネスと融合するOpenID － ＠IT
2009/01/28 ブログやソーシャル系サービスなど、Web2.0的サービスのシングル・サイン・オン技術（SSO）として登場したOpenIDだが、米国をはじめとするグローバルな市場での受容と、日本での受容には大きな違いがあるようだ。1つは、OpenIDの認知度や利用率が日本では突出して高いこと。もう1つは、Webサービス系の連携のフレームワークとしてよりも、インターネットサービスではない“非Web系”の連携ツールとして、OpenIDがリアルビジネスと結びつく形での普及の兆しが見えてきたことだ。 野村総合研究所（NRI）は1月28日にセミナーを開き、日本のID関連ビジネスの動向やOpenIDを使った事例紹介、同社の戦略について説明した。 ネットのデファクト、5億個のOpenID 「利用者への普及という点では、日本は世界的にも突出している」。こう語るのは、自らもOpenIDの仕様策定に加わる
TrueCryptで、Dropboxをもっと“セキュア”に使う - ITmedia Biz.ID
第21回 TrueCryptで、Dropboxをもっと“セキュア”に使う：“PCで仕事”を速くする Dropboxは便利なオンラインストレージサービスだが、ファイルをオンラインにも置くことになるので、どうしてもセキュリティが気になる。そこで、暗号化ドライブ作成ソフトTrueCryptと組み合わせてセキュアに使ってみよう。 Dropboxといえば、（1）差分だけをほぼリアルタイムに高速バックアップ （2）複数のPC（MacもWindowsもLinuxも）でファイルを自動同期 （3）履歴自動保存で上書きしたファイルも復活可能 といった特徴を持つオンラインストレージサービス（こちらの記事参照）。年額99.99ドルで50Gバイト、2Gバイトなら無料で利用が可能だ。 しかしデータをオンラインにも置くことになるため、利用に当たってはそのセキュリティが気になる人もいるだろう。IDとログインパスワードだけ
How-To
WIRED is where tomorrow is realized. It is the essential source of information and ideas that make sense of a world in constant transformation. The WIRED conversation illuminates how technology is changing every aspect of our lives—from culture to business, science to design. The breakthroughs and innovations that we uncover lead to new ways of thinking, new connections, and new industries.
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iPhone in Business Deployment Scenarios and Device Configuration Overview June 2009 Learn how iPhone integrates seamlessly into enterprise environments with these deployment scenarios and the device configuration overview. • Microsoft Exchange • IMAP