Evernoteのテキストを暗号化する方法
本日早朝に、Evernoteが外部からの攻撃を受けて、ユーザ名、メールアドレス、パスワードハッシュ値（ソルト付きハッシュ）にアクセスされたという報告（セキュリティ関連のお知らせ：Evernoteでのパスワード再設定のお願い）がありました。 Evernoteのユーザは、このお知らせの指示にしたがい、パスワードをリセットしましょう。問題は、Evernoteのコンテンツ（ノート）にアクセスされたかどうかですが、Evernote社では、以下のように、ノートにはアクセスされた形跡はないと主張しています。 弊社セキュリティ調査の結果、Evernote に保存されているコンテンツが外部からアクセス・変更・消失された形跡は確認されませんでした。また、Evernote プレミアムおよび Evernote Business のお客様の決済情報がアクセスされた形跡も確認されていませんのでご安心ください。 一応こ
XMLHttpRequestを使ったCSRF対策 - 葉っぱ日記
合わせて読んでください：Flashと特定ブラウザの組み合わせでcross originでカスタムヘッダ付与が出来てしまう問題が未だに直っていない話 (2014-02/07) XMLHttpRequestを使うことで、Cookieやリファラ、hidden内のトークンを使用せずにシンプルにCSRF対策が行える。POSTするJavaScriptは以下の通り。(2013/03/04:コード一部修正) function post(){ var s = "mail=" + encodeURIComponent( document.getElementById("mail").value ) + "&msg=" + encodeURIComponent( document.getElementById("msg").value ); var xhr = new XMLHttpRequest(); xhr
Nexus 7 を買ってまず最初にやるべきこと | 774::Blog
Nexus 7 を買った。 技術者としてまずやるべきことを書いておく。 セキュリティの確保 Android タブレットは Linux カーネルを採用している。 Nexus 7 でも Linux カーネルに標準搭載されている dm-crypt を利用してタブレットに保存されたすべてのデータを暗号化することが可能だ。技術者たるもの手持ちのタブレットから情報が漏洩してソーシャルネットワークをハックされたり、ましてや自分の管轄するサーバーがクラックされるようなことがあってはならない。もちろん暗号化したから絶対に安全というわけではないのだが、タブレットが盗難にあった場合でも暗号を解除される前にセキュリティを変更して対処することが可能である。 現在はカジュアルに軍事利用可能なレベルの暗号を利用でき FBI も犯罪捜査の暗号解除に失敗するような時代である。技術者なら手持ちのすべてのデータは可能な限り最高
iOS6が Single App Mode を搭載で超絶進化！！ iOS6で最も恩恵を受けるのは実はエンタープライズ！！ - 業務用iOSアプリのfeedtailor社長ブログ
遂にリリースされたiOS6。 iPhone5よりも、Passbookよりも、地図よりも、Siriの強化よりも、最近のAppleからの発表全てを凌ぐ超ビッグニュースだと個人的に思ってるのですが、Single App Modeが遂に登場です！！ ｷﾀ━(ﾟ∀ﾟ)━! と言わずにいられるでしょうか。特にエンタープライズの世界ではiPad登場当初からずっとずっと求められていた機能。以前のブログで「推測」という事で書いていた、 Guided Accessと呼ばれるアクセシビリティの機能拡張で、どのような使用感で扱えるのかは不明ですが、もし文言通り/想像通りの挙動をするのであれば、エンタープライズなiOSの魅力は一段と輝きを増すに違いありません。なんと、 HOMEボタンを無効にできる!! タッチパネルが反応しない領域を設定出来る!! というのです。 ってな機能がそのまんま、いぁ、それ以上に！超超理想的
愛用の自転車を盗まれないための「正しい自転車のカギのかけ方」 | ライフハッカー・ジャパン
自転車泥棒に対抗するには、しっかりとカギをかけるしかありません。自転車によく乗る人や、路上に自転車を停めることが多い人は、特に気をつけなければなりません。カギをかけていたとしても、かけ方が間違っていたら結局は盗まれてしまいます。盗まれる可能性はゼロにはなりませんが、少なくとも自転車には正しくカギをかけましょう！ 最近、「Priceonomics」のブログに、自転車泥棒は全米のあらゆる都市にはびこっているというレポートがありました。自転車に乗る人は、常に盗まれる危険にさらされているのです。自転車を路上に停めるというのは、価値あるものが置き去りにされているということと同じです。これでは泥棒に盗んでくれと言わんばかりです。 そこで、今回は上記のPriceonomicsのRohin Dharさんが、自転車の正しいカギのかけ方を教えてくれました。まずは基本的なカギのかけ方を覚えていきます。そのあとで
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
楽しい仲間がぽぽぽぽ～ん
2012/05/17 B-CASカード書き換えでBS/CS有料放送を無料で視聴可能にする裏技 2ちゃんねるのスレッドで、B-CASカードを書き換えて、有料放送を無課金で視聴できるカードにするという方法が話題になっているようです。 有料放送のWOWOWやスカパーなどが見放題になるという『BLACKCASカード』がありましたが、価格が49,800円と高額で今後も使える可能性は保証されるものではありませんでした。しかし、今回の方法は通常のB-CASカードを利用するので、ほとんどお金がかからないとのこと。 というわけで、噂が本当なのか検証してみましたので、ご紹介します。 書き換え可能なB-CASカード 全てのカードでこの裏技が使える訳ではないようで、カード裏面の右下にある英数字8桁の番号（型番）と20桁の数字(ID)、IDは最初の4桁は全て0000で始まるので、下記の数字はそれ以降の数字。
処理開始後の例外処理では「サニタイズ」が有効な場合もある
このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱性対策では、脆弱性が発生するのはデータを使うところであるので、データを使う際の適切なエスケープ処理などで対処するのがよいと言われます。しかし、処理内容によってはエスケープができない場合もあり、その場合の対処についてはまだ定説がないと考えます。 エスケープができない場合の例としては、以下があります。 SQLの数値リテラルを構成する際に、入力に数値以外の文字が入っていた メール送信しようとしたが、メールアドレスに改行文字が入っていた 入力されたURLにリダイレクトしようとしたところ、U
blog.sorah.jp
Capistrano 3: Change SSH port from default for the first time We usually change SSH port to different one for some security. Like when provisioning server from official Ubuntu AMI, connecting to a server fails using same ssh_config without specifying port 22 explicitly. the following quick hack task adds Port line on /etc/ssh/sshd_config then restart sshd. This works on Ubuntu 14.04 trusty. Change
狙われています！ プライバシーを保護しながらネットサーフィンを楽しむ方法 | ライフハッカー・ジャパン
皆さんのプライバシーを侵害するために莫大なお金が動いていることをご存知ですか？ 企業はあなたの情報を知るために大金を支払い、サービスプロバイダーたちはあなたに関する情報を可能な限り集めようと必死になっています。皆さんはどうやって自分の情報を彼らの手から守りますか？ この記事では、プライバシーを保護しながらネットサーフィンを楽しむ方法をご紹介します。 「もしあなたが無料でそのサービスで使っているなら、あなたは客ではなく商品なのだ。」 上記のような格言がありますが、これは紛れもない真実です。日々新しい企業が自社サービスにあなたのアドレス帳をアップさせようとしています。また、ブラウザのプライバシー保護機能をかいくぐり、あなたのネット上の行動を逐一トラッキングしようとしているのです。以下では、なぜ注意が必要なのかの理由と、安全にネットサーフィンするための対策を紹介していきます。 ■なぜ注意が必要な
出先のPCなどでグーグルアカウントに安全にログインする方法
出先などでやむを得ずMac/PCを借りて作業をすることがあるかもしれません。 そんなときに、Gmailをはじめとするグーグルのサービスへ、より安全にログインする方法が紹介されていました。[source: Google Operating System ] 【追記】この認証方法は、グーグルが実験として公開していたもので、現在は利用できないようです。 この方法は、Googleが提供するQRコードとiPhone(またはAndroid)を組み合わせてログイン(認証)を行うというものです。 使用するPC/Mac上でアカウント名・パスワードの入力を行わないため、キーロガー(キー入力を保存するソフト)による、アカウント情報の漏洩を防ぐことができます。 ログインの手順は次のとおり。 QRコードでグーグルアカウントにログインする方法 準備 QRコードを読み取る必要があるので、事前にiPhoneにQRコードに
賢いと称賛されていた「誰がスパム業者にメールアドレスを流出させているのか突き止める方法」 : らばQ
賢いと称賛されていた「誰がスパム業者にメールアドレスを流出させているのか突き止める方法」 eメールがなくては社会が成り立たないほど普及しましたが、スパム（迷惑メール）も同じように増えており、うんざりさせられます。 そして気になるのが、いったいスパム業者はどこからメールアドレスを入手しているのかということ。 こんな風に流出経路を突き止めていると言う、ある手法が海外サイトの注目を集めていました。 海外掲示板で紹介されていたやり方は、以下の通り。 まず、通販サイトであったり、企業サイトに自分のメールアドレスを登録するとき、自分の名前の代わりにそこの会社名やサイト名を入力する。 大半のサイトで無料サービスが提供されているが、メールアドレスの登録が必要なところが多く、そのときに本名をそのまま使わない。 多くのサービスや企業にとって、本名を入れることをそれほど重要視していないので、たとえば"ABC.c
私はいかにして様々なブラウザの脆弱性を発見したか - 葉っぱ日記
先日、Twitterでどのように脆弱性を見つけるかに興味あるんだろうかと書いたら、意外に色々な人から反応があったので、これまでに自分が見つけた脆弱性のいくつかについてどういう経緯で見つけたのかちょっと書いてみます。 JVN#89344424: 複数のメールクライアントソフトにおける、添付ファイルによりメールクライアントソフトが使用不能になる脆弱性 これは、添付ファイル名にUnicodeの円記号を含めておくと、メーラ側でShift_JISに変換する際にバックスラッシュに変換されてしまって想定外のディレクトリに添付ファイルが展開されてしまったり、あるいは「©on」のような名前のファイルを添付しておくことでShift_JISに変換してCONというファイルを開こうとしてメーラが固まってしまうという問題です。これは、私自身が文字コードの問題について調べ始めた初期段階で、Unicodeからの変換で問題
evernoteのテキストをevernote社の管理者にも見えないように暗号化する - ockeghem's blog
このエントリでは、evernoteクライアントを使って、evernote社にも復号できない状態でテキストを暗号化する方法について紹介します。 昨日、EvernoteのXSS問題に関連して、「Evernoteの開発者も徳丸本読んでいたらよかったのにね」などとつぶやいていたら、「EvernoteのCEOが徳丸さんに会いたがっている」という連絡をもらいました。こういうのは異例のことでちょっと悩みましたが、行くっきゃないだろうということで、Evernote社の日本法人でmalaさんと一緒にCEOにお会いしました。 XSSやポリシーについては非常に誠実な対応をお約束いただいたのでよいミーティングだったと思います。僕が指摘した脆弱性についても、当日の夜のうちに直っていたようです。米国時間では深夜から早朝という時間帯で、迅速な対応だったと思いますが、本題はこれからです。 その場で、malaさんが「Eve
ヤフーにおけるインプットバリデーション「何も信じるな」 (Yahoo! JAPAN Tech Blog)
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術 セキュリティスペシャリストの戸田 薫です。 今回は、私たちが普段からヤフーのシステムに対する入力にどのような注意を払っているのか、そのいくつかをご紹介致します。 入力とは? Webサイトを運営している場合、どのような入力があるでしょうか？ たとえば、Webサービスには、以下の入力があります。 Cookie URL GET/POSTのデータ ファイルのアップロード その他リクエストヘッダ そのほかにもいくつもあります。 環境変数 設定ファイル クローラが取得したデータ パートナー企業のAPIから取得したデータ（XMLやJSONなど） パートナー企業の入稿用 F
Mozillaが伝授！ 安全で忘れにくい、超シンプルなパスワード設定法 | ライフハッカー・ジャパン
安全にパスワードを設定する基本として「短くしすぎない」とか「同じパスワードを複数のウェブサイトで使いまわさない」などが提唱されていますが、ウェブサイトごとに別々の長いパスワードを設定しても、これらすべてを覚えるのは、なかなか難しいものですね。 最近では、パスワード管理ツールを利用するという手もありますが、こちらでは、安全だけど忘れにくい、シンプルなパスワード設定のコツについてご紹介しましょう。 Mozillaのセキュリティチームは、冒頭動画のようなパスワード設定のためのチュートリアルをまとめました。ここで提唱されているのは、以下の4ステップです。 1．覚えやすい文を選ぶ たとえば「A stitch in time saves nine」のように、覚えやすい文を選ぶ。このとき、「for」を「4」とか、「ate」を「8」といったように、同じような発音のものは、文字を数字に置き換えるとベター。日
知っておきたいSSLサーバ証明書の取得まで - livedoor ディレクター Blog(ブログ)
こんにちわ。モバイルディレクターの飯田瞬です。 ウェブディレクターの中には、SSL サーバ証明書が必要なウェブサイトの構築を担当した人は少なくないと思います。 今回は SSL サーバ証明書を取得するにあたり、ディレクターが知っておいた方が幸せになれる必要最低限な事項を簡潔にまとめてみました。 割愛している部分もかなりありますが、詳細まで突っ込むと1エントリーでは収まりきらないため、何卒ご理解いただければと思います... 【01】SSLサーバ証明書って何だろう? SSL を一言でまとめると、住所やカード番号などを暗号化して第三者が傍受してもデータの改ざんや盗聴を防ぐといった技術が SSL です。 SSL サーバ証明書というのは、その SSL の暗号化技術を利用するサーバの身元を、第三者である認証局が保証することを示すものです。この証明書の中には SSL でクライアントとサーバ間の通信を暗号化
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Facebookで勝手に友達リクエストや招待メールが送信されるのを停止・解除する方法