いしなお! - 徳保さんのはてなXSS関連の認識の間違い
_ 徳保さんのはてなXSS関連の認識の間違い あるいは「ブログサービスの XSS 脆弱性対策はいらない その3」。 徳保さんはセキュリティ関係の知識が足りていないんで、きちんと勉強するまではXSSなどのセキュリティ関係の用語を使わないで語った方がいい。というか誤解を広げめられると迷惑だ。 「d.hatena.ne.jp 以下のコンテンツでスクリプトの悪用はありません、なぜならはてなが特別に許可したスクリプト以外は使用が制限されているからです」という安心感を売り物にしようとしている はてなはCookieによるユーザー認証を利用しており、ユーザーに自由なJavaScriptを許すと、認証情報の盗難・悪用が可能になるから、ユーザーのJavaScript利用を禁止している。それは「安心感を売り物にしている」というレベルではなく、ユーザー認証を利用したサービスを提供しているサービス提供者の最低限の義
ACCS不正アクセス事件、謝罪文公開と賠償で和解
コンピュータソフトウェア著作権協会（ACCS）によると、ACCSのサーバから個人情報を引き出し、公開した元京大研究員に対して、個人情報を公開された個人3人とACCSが損害賠償を求めていた訴訟で7月25日、東京地方裁判所において、元研究員が賠償金を支払い、謝罪文を公開することで和解が成立した。 賠償額は非公開。謝罪文は同日から1カ月間、Webサイトで公開する。 元研究員は謝罪文で「個人情報を公表することによって、情報保有者に精神的苦痛を与え、協会に無用の混乱を与えたことについて、深くお詫びいたします」などとしている。 ACCSとこの個人3人は昨年2月、元研究員に個人情報を公開され、精神的苦痛を受けたなどとして、計約744万円の損害賠償と謝罪を求めていた。 元研究員は同事件について、不正アクセス禁止法違反で有罪判決を受けている（関連記事参照）。 関連記事 ACCS、個人情報流出事件で約744万
システム管理者が“暴君”になるとき
パスワードポリシーをやたら強化したがるシステム管理者が現れた。「情報漏えいが起きたら、責任を取れますか？ 」――この言葉に従業員には、反論の余地はない（攻めのシステム運用管理）。 会社規模が大きくなるにつれて、さまざまなパスワードが扱われるようになる。セキュリティに過剰なまでの反応を見せるこのご時世で、パスワードポリシーをやたら強化したがるシステム管理者が現れてもおかしくはない。 模範的なパスワードポリシー 前任のシステム管理者は非常に生真面目な性格であった。曲がったことが大嫌いで、特にパスワードポリシーについては一切妥協を許さない性質の人であった。記号入り英数字6文字以上、2週間ごとのパスワード変更義務、同じパスワードは2度と使えないという、良くいえば模範的、悪くいえば非現実的なポリシーである。 当然、社内からは厳しすぎるという不満の声が上がり始めた。しかし、システム管理者としてのある種
Winnyで保安院の原発情報流出 職員の私物PCが感染か
経済産業省原子力安全・保安院は7月22日、原子力発電所の検査報告書などが、P2Pファイル交換ソフト「Winny」で流出したと明らかにした。流出元は分かっていないが、Winnyのウイルスに感染した保安院職員の私物PCから流出した可能性が高いという。 流出したのは、東京電力柏崎刈羽原発、関西電力美浜原発、関西電力美浜原発、九州電力川内原発の検査報告書など5種類で、2000年5月から2002年7月までに作成されたもの。核防護物質情報や個人情報など機密情報は含まれていないとしている。 流出した資料のうち3種類は公開しており、保安院のWebサイトなどから誰でも入手できたが、2種類は非公開で、原発検査の手順などが書かれていた。ただ、現在の検査手順とは異なっており、流出による業務への影響はないという。 先月、経産省の問い合わせメールアドレス宛に「ネットで原発情報を拾った」とするメールが匿名の個人から届き
Firefoxのアドオン「Greasemonkey」にセキュリティ上の欠陥
Mozilla Foundationが、Firefoxの機能拡張「Greasemonkey」に見つかった重要なセキュリティ上の欠陥に対処するアップデートを公開している。 Greasemonkeyは、ウェブページのデザインや動きをカスタマイズする人気の高いアドオン。今回明らかにされた欠陥が攻撃者に悪用されると、利ユーザーのローカルハードディスク上にあるすべてのファイルが読まれたり、ローカルディレクトリの内容が一覧表示されてしまうという。Firefoxの開発とマーケティングをコーディネートするMozilla Foundationのダウンロードページには、アップデート版であるGreasemonkey 0.3.5は米国時間18日にリリースされたと書かれている。 開発者がアプリケーションやアドオンを公開している「Mozdev.org」への書き込みによると、この欠陥は、初期の0.4アルファ版を含むGr
IEコンポーネント採用の国産アプリに脆弱性、セキュリティゾーンの実装に問題
IPAセキュリティセンターとJPCERT/CCは7月12日、IEのコンポーネントを組み込んだ国産アプリケーションのいくつかに脆弱性が存在するとして情報を公開した。 情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンター（JPCERT/CC）は7月12日、Internet Explorerのコンポーネントを組み込んだ国産アプリケーションのいくつかに脆弱性が存在するとして情報を公開した。セキュリティゾーンが適切に扱われない結果、セキュリティ制限がゆるいゾーンで任意のコードを実行されてしまうおそれがあるという。 この脆弱性は、IEおよびIEのコンポーネント自身に存在するものではなく、実装上の問題だ。JVNの情報によると、少なくともジャストシステムの「ネタの種」、ユミルリンクの「紙copi」「紙2001」に存在するほか、マナックス、日本標準、富士通の製品でも脆弱性が
MSの月例アップデート、「緊急」レベルの脆弱性3件に対処
Microsoftは7月の月例アップデートを公開した。コンピュータを完全に制御されてしまう恐れのある深刻度「緊急」の脆弱性3件に対処している。 Microsoftは7月12日、Wordなどに影響する脆弱性3件に対処した月例セキュリティ更新プログラムを予告どおり公開した。いずれも最大深刻度は「緊急」となっている。 Wordの脆弱性（MS05-035）はWord 2000／2002とWorks Suiteが影響を受ける。Wordのフォント解析の脆弱性が原因でリモートからコードを実行される可能性があり、コンピュータを完全に制御されてしまう恐れがある。Office 2003とWord 2003は影響を受けない。 カラー管理モジュールの脆弱性（MS05-036）では、ICCプロファイルフォーマットのタグ認証を処理する方法が原因で、リモートからのコード実行を許す恐れがある。影響を受けるのはWindow
セキュリティバグを修正したFirefox 1.0.5がリリース
今回修正されたバグは、近くリリースされるThunderbirdとMozillaスイートのアップデート版でも修正される。（IDG） Mozilla Foundationは7月12日、Firefoxブラウザの複数のセキュリティバグを修正した。これらバグの多くは、メールクライアントのMozilla ThunderbirdとMozilla Internetスイートの次のリリースでも修正される予定だ。 これらのバグのうち12日以前に公開されたものはなく、全般的に致命的なものとは考えられないとMozilla Foundationのエンジニアリングディレクター、クリス・ホフマン氏は語る。これらのバグは最新のFirefoxバージョン1.0.5で修正されている。 「この2カ月間でセキュリティ研究者から10件の報告があった。これらバグのほとんどは、（悪用するには）ユーザーにエクスプロイト（攻撃コード）とやり取
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
.NET とAIでスパムボットに対抗する（1） Japan.internet.com コラム/15 seconds
http://wbw.blog13.fc2.com/blog-entry-55.html
askaccs.ne.jp
ACCS不正アクセス事件、元国立大研究員が謝罪文を公開し和解 | スラド
askaccs.ne.jp
Firefox-1.0.5, Mac OS X 10.4.2 等々 | スラド