高木浩光＠自宅の日記 - かんたんログイン方式で漏洩事故が発生
■ かんたんログイン方式で漏洩事故が発生 ガラケーからiPhoneに乗り換えた人々が「ガラケーサイトが見れない!!」とご不満らしいという話は、聞いたことがあったし、そういう方々向けに「ガラケーサイトを閲覧できる」と謳うスマホ用の専用ソフトが提供されたというのも、どこかで見た記憶があった。 そんな10月9日の夜遅く、ある方から、「iPhone用のSBrowserというアプリで、クロネコヤマトのサイトを使ったら、知らない人の個人情報が出てきてびっくりした。どうしたらいいか」という相談が舞い込んできた。 早速、iTunes Appストアで「SBrowser」の商品説明ページを見に行ったところ、数々の雑言レビューが付いており（図1）、この種のアプリの需要とユーザ層が見えた。
ドコモはiモードIDの生成方法を見直すべきだ « mpw.jp管理人のBlog
昨年、「iモードID」の送出が開始されたことにより、「iモードID」のみでユーザ認証を行う携帯サイトが増えてきました。 そして、それら携帯サイトの中に、iモードIDハイジャック（悪意もった第三者による乗っ取り操作）の被害を受けると思われるサイトが、多数散見されます。 被害を受けるサイトの条件 ユーザ認証を「iモードID」のみで行っている。 FORMの入力内容をPOSTメソッドで送信しているものの、受け取り側でリクエストメソッドのチェックを行っていない。もしくは、GETメソッドで送信している。 iモードIDハイジャックの方法 以下のような形で登録処理を行っている攻撃対象サイト(targetdomain.com)を探す。 [http://targetdomain.com/form.php] <html> 会員登録開始<br> IDとパスワードとメアドを入力してください<br> <form me
高木浩光＠自宅の日記 - ドコモはXMLHttpRequestにiモードIDを載せるのを止めるべきだ
■ ドコモはXMLHttpRequestにiモードIDを載せるのを止めるべきだ （建設予定地） （27日追記）建設計画廃止。XMLHttpRequestだけ止めても効果がないことを理解したため。 （29日追記）何が言いたかったか、後日書く。
セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性
iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 HASHコンサルティング株式会社 公開日:2009年11月24日 概要 iモードブラウザ2.0のJavaScriptとDNS Rebinding問題の組み合わせにより、iモードIDを利用した認証機能（以下かんたんログイン）に対する不正アクセスが可能となる場合があることを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザ（たとえばiモードブラウザ）に用意された契約者固有IDを利用した簡易的な認証であり、ユーザがIDやパスワードを入力しなくても認証が可能となる。iモードIDは、NTTドコモの提供する契約者固有IDの一種で、URLにguid=ONというクエリストリングを含めることにより、端末固有の7桁のIDがWebサーバに送
「WEP」はもう危険？ 家庭の無線LANセキュリティ対策を考える
無線LANの暗号化方式「WEP」が、わずか10秒で解読されるという発表がコンピュータセキュリティシンポジウム2008で行われた。今回の特集ではWEPの危険性を踏まえた上で、家庭内で行える無線LANのセキュリティ対策について考えていく。 ■ 「WEPは約10秒で解読できる」と大学教授が発表 2008年10月に開催された「コンピュータセキュリティシンポジウム2008」で、神戸大学と広島大学のグループから無線LANの暗号化方式である「WEP」の解読にわずか10秒で成功したという興味深い発表がなされた（関連記事）。 無線LANは、電波を利用することで、面倒な配線をすることなくPCやゲーム機などをネットワークに接続することができるという利便性を持つ反面、そのセキュリティも問題になりがちだった。PCやゲーム機の間を流れるデータが電波の形で存在するため、これを盗聴することでその内容が第三者にも見えてしま
Flash Playerにゼロデイの脆弱性、大規模被害の恐れも
Flash Playerの未パッチの脆弱性が発覚した。悪質なSWFファイルも出回り、サイト改ざん攻撃との関連が指摘されている。 米Adobe Systemsは5月27日、Flash Playerの脆弱性を突いたとみられる「エクスプロイトが出回っているとの報告を受けた」とブログで伝えた。SANS Internet Storm Centerやセキュリティ企業各社もアラートを公開するなどして注意を呼び掛けている。 SANSによると、脆弱性が報告されたのはFlash Playerの現行バージョン9.0.124.0およびそれ以前のバージョン。Adobeはまだパッチを公開していない。米Symantecはこの脆弱性を突いたエクスプロイトが広く出回っているとして、グローバルセキュリティ警告システム「ThreatCon」の警戒レベルを引き上げた。 米McAfeeは、複数サイトでホスティングされていた悪質なS
Communicating Threats
2007/12/12 山口 也間斗 YAMAGUCHI, Yamato Communicating Threats 人に脅威をお伝えすること Drop your guard? What are you talking about… This is what you call composure. Rev.2.0nb 今回のテーマについて • 技術的な話は一切しません。 • ただし、スキルと同じかそれ以上に大事 な話かもしれません。 • 後半はネタに走るので出て行くなら今の うち • rev.1.0 … 2007年12月1日発表 • rev.1.1 … 一部のシートを削除 • rev.2.0nb … 画像の変更、文言の若干の修正 更新内容 第一章 「 私の業務とは何か？ 」 Communicating Threats 人に脅威をお伝えすること Drop your guard? What a
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
News from the Lab Archive : January 2004 to September 2015
https://nils.toedtmann.net/pub/subjectAltName.txt
SANS.edu Internet Storm Center - SANS Internet Storm Center