J-STAGEがFirefoxでのアクセスを遮断、日本の電子ジャーナルが世界から不可視となった日｜Guest｜note
科学技術振興機構（以下JST）の運営する「J-STAGE」は、国立情報学研究所が運営する「CiNii」と双璧を成す、日本の電子ジャーナルプラットフォームである。それが2018年12月12日、Firefoxからのアクセスが不可能となった。 試しにFirefox 64でアクセスしてみたところ、確かにページ読み込みエラーとなり、コンテンツを表示することができなかった。サーバ証明書のエラーではないため例外を許可して続行することもできない。完全にFirefoxでのアクセスが遮断された格好だ。 翌日13日になってTwitterで原因の考察が始まり、J-STAGEの対応する暗号スイートに問題があることが判明する。 原因はJ-STAGEのTLS仕様違反J-STAGEはセキュリティ強化のため、2018年12月12日にTLS 1.2への切替とTLS 1.0/1.1の無効化を行うことを予告していた。これが影響し
WebサーバのHTTPS化において、SSL/TLS周りの各種設定はどう選択するべきか（2016年度版） - Qiita
WebサーバのHTTPS化において、SSL/TLS周りの各種設定はどう選択するべきか（2016年度版）SecuritySSLHTTPSTLS 公開HTTPSサーバを立てるときに悩む点の一つが、SSL/TLS周りの設定です。 SSL/TLSや暗号周りの知識がないと適切な設定を選ぶのは難しい そもそも設定が何を意味しているのか読み取れない 「推奨される設定」が各種サイトでいくつも、微妙に違うものが紹介されていて、どれが良いのか選べない とりわけ暗号が関連する選択肢は呪文めいていて、専門知識を持たないWebエンジニアにとっては、なかなか難しいものがあると思います。 筆者もSSL/TLSの専門家ではありません。 専門家でないなりに極力信頼できそうなソースや実例を参考にしつつ、まとめました。もともとは自分用調査資料集のような記事です。 すごく長くなってしまいました（若干力尽きている）。 TL;DR
横柄なパスワード – パスワード認証に関する改善策 | POSTD
パスワードにはうんざり。改善しましょう。 誰もが経験するあの瞬間。新しいサービスに登録し、パスワードを選んで入力する。でも、入れません。選んだパスワードは十分安全なはずなのに、使いたいサービスが独善的にそれを拒むのです。 記号、数字、大文字、小文字を少なくとも１つずつ使用しなければなりません。 小文字の長いパスワードの方がドルマークだらけの短いパスワードより安全だということを証明する、 XKCDの有名なコミック のことは忘れましょう。まず、あなたの主力パスワードが $$ICECREAM$$ だとします。アイスクリームは、恐ろしい人生の希望の灯火とも呼べるほどの大好物なので簡単に思い出せます。そして、このパスワードにはブートのための特殊文字が入っています。 残念なことに、 $$ICECREAM$$ には小文字と数字がないので、客観的に見れば安全ではありません。そこで、このサービスのためのパス
DMCA悪用はなぜ問題なのか - ウォンテッドリー社の悪評隠蔽事例 - web > SEO
ビジネスSNS、Wantedlyを運営するウォンテッドリー社のDMCA悪用が話題になっています。 同社のIPOに向けた資料を解説したブログ記事「Wantedly（ウォンテッドリー）のIPOがいろいろ凄いので考察」に対して、ウォンテッドリー社によってDMCAに基づく削除申請が行われました。 その結果、記事はGoogleの検索結果から消され、その記事を言及したツイートは非表示にされています。 DMCA申請は画像の著作権違反を問題視してとのことですが、インターネット上で多く流布されているような画像へのDMCA申請であって、実際は悪評隠蔽の意図であることは明白です。 このことが大きな話題になった今もメディアの取材に対して、悪評封じの意図は無く「弊社が著作権を有する画像の無断使用はやめていただきたいとの判断」と、あくまでも画像の無断利用を問題視しただけ、と主張しています。 私はこれが許されるべきこと
Struts2脆弱性事故のGMO-PGを直撃、事故報告書の疑問に答える
2017年前半、脆弱性を突いた二つの大きなサイバー攻撃が立て続けに日本を襲った。一つは5月12日に世界的に発生したランサムウエア「WannaCry（ワナクライ）」、もう一つは3月10日から日本の企業や団体での被害報告が公表ベースで12件となったJavaのWebアプリケーションフレームワーク「Apache Struts2」だ。 3月10日、東京都と住宅金融支援機構（以下、機構）、日本貿易振興機構（JETRO）がStruts2脆弱性を悪用したサイバー攻撃の被害を最初に公表した。このうち、東京都と機構からクレジットカード払いサイトの運営を委託されていたのが、決済代行事業者大手のGMOペイメントゲートウェイ（以下、GMO-PG）である。
三分でわかるKSKロールオーバー(KSKの更新) - JPNIC
この文書は2016年7月22日に公開された https://www.icann.org/en/system/files/files/ksk-rollover-at-a-glance-22jul16-en.pdf をJPRSおよびICANNの支援によりJPNICが翻訳したものです。 JPNIC、JPRSおよびICANNは、 ICANN文書の日本語翻訳に関して協力する旨の覚書を2015年6月22日に締結しています。 2017年5月31日 KSKの更新について ICANNは、 Domain Name System Security Extensions (DNSSEC)プロトコルにおける信頼の起点*1となる暗号鍵のペアとして一般的に知られている、 ルートゾーンKSKの更新(変更)を計画しています。 今回はKSKが2010年に初めて生成されて以来、最初の鍵の変更となります。 インターネットユーザに
企業は安易なMastodonインスタンスの運用を避けるべきでは? - ただのにっき(2017-04-21)
■ 企業は安易なMastodonインスタンスの運用を避けるべきでは? たまにはセキュリティクラスタ的なことを書いてみる。最初は「安全なMastodonインスタンスの選び方」というタイトルだったんだけど「安全と安心は違うしなぁ」と思い、「安心な～選び方」にしていたんだが、ここ数日で「企業は自社インスタンスを立ち上げるべき！」みたいな煽りをよく目にすることになったのでこうした。 「おひとりさまインスタンス」を立てる記事がいくつも書かれ、さくらインターネットが提供するVPSで簡単にインスタンスを動かせるスクリプトを提供されたりして、この波にのって我が社も専用インスタンスを持とうって考えてる企業は多いと思う。すでにニッポン放送のインスタンス「Tuner」みたいな(非IT系)企業インスタンスができ始めている。 そりゃぁ他人・他社が運用するインスタンスにアカウント作って「公式でござい」なんてするより、
炎上の発信萎縮効果と炎上参加者の特性｜Tatsuo TANAKA慶應義塾大学 経済学部 [PDF]
炎上の発信萎縮効果と炎上参加者の特性 How much Internet flaming discourages public speeches 田中辰雄 1 Tatsuo TANAKA 1 慶應義塾大学経済学部 Keio University, Faculty of Economics Abstract One of the social cost of the internet flamings(“enjyou”) is to discourage speeches in the cyberspace. This paper estimated this cost using internet user survey and found that 15%~20% of SNS users put some restrains on their speeches in the inter
HTTP/2とTLSの間でapacheがハマった脆弱性(CVE-2016-4979) - ぼちぼち日記
0. 短いまとめ 昨晩apache2.4でHTTP/2利用時にTLSクライアント認証をバイパスする脆弱性(CVE-2016-4979)が公表され、対策版がリリースされました。 実際に試すと Firefoxで認証バイパスができることが確認できました。 HTTP/2でTLSのクライアント認証を利用するには仕様上大きな制限があり、SPDY時代から長年の課題となっています。 この課題を解決するため、Secondary Certificate Authentication in HTTP/2という拡張仕様が現在IETFで議論中です。 1. はじめに ちょうど昨晩、apache2.4のhttpdサーバの脆弱性(CVE-2016-4979)が公開され、セキュリティリリースが行われました。 CVE-2016-4979: X509 Client certificate based authenticatio
通信の最適化について – メモ帳的blog
通信の最適化を各主要キャリアが実施するようになりました。(一部会社は停止している) では、何故騒がれているのか、そもそも通信の最適化は何をしているのかについて想定ですが、書いていきたいと思います。 ※ここに書いてあることが全て正しい訳ではありません。 通信の最適化って？ 通信の最適化の最大の目的はキャリアとユーザの端末間の通信量を減らすことです。また、通信には上り(upload)、と下り(download)の2つがあり、ここでの、最適化は下りに限定されます。更に、httpsなど、通信をすべて暗号化しているものは最適化の対象にはなっていません。(倫理的問題) では、画像データの圧縮に関してのプロセスを見て行きましょう。 ブラウザなどから画像をリクエスト リクエスト時にUser-Agentのheader情報が付く キャリアのproxyサーバから画像データをリクエスト webサーバが画像データを
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
毎月150万近い新たなフィッシングサイトが誕生、質・量ともに拡大中
/blog/2016/08/%E3%83%A9%E3%83%B3%E3%82%B5%E3%83%A0%E3%82%A6%E3%82%A7%E3%82%A2%E6%84%9F%E6%9F%93%E6%99%82%E3%81%AE%E5%AF%BE%E5%87%A6%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6%E3%81%AE%E8%80%83%E5%AF%9F/