既存IDEのプラグインとして動作するセキュアコーディングツールに新版
アスタリスク・リサーチは2015年11月18日、EclipseやVisualStudioのプラグインとして動作し、セキュアなソフトウエア開発を支援するツールの最新版「SecureAssist 2.5」をリリースした。 アスタリスク・リサーチは2015年11月18日、セキュアなソフトウエア開発を支援するツールの最新版「SecureAssist 2.5」をリリースした。 SecureAssistは、「Eclipse」や「VisualStudio」などの統合開発環境（IDE）のプラグインとして動作し、コーディング作業中にリアルタイムで脆弱（ぜいじゃく）性につながる恐れのある個所を指摘し、具体的な修正案を示す。例えば、入出力チェックやデータの取り扱い、設定の不備の他、最近セキュリティリスクとして注目されつつある弱い暗号関数の利用など、200以上の項目をリアルタイムに検証し、修正を促す。 一般にソフ
脆弱性体験学習ツール AppGoat | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
脆弱性体験学習ツール AppGoat AppGoatに関する不審メール確認のお知らせ（2023/08/04 公開） AppGoatの設定確認の連絡を装った不審メールを確認しています。 AppGoatの利用者に対してAppGoatの窓口からAppGoatの設定確認や変更を依頼することはございません。 不審メールを受け取った際にはメールの内容に従わず（URL内のリンクをクリックしない等）メールの削除をお願いします。 不審メールの見分け方や事例については以下もご参考ください。 ○安心相談窓口だより：メールの見かけ上の送信元情報を安易に信じないで ○安心相談窓口だより：URLリンクへのアクセスに注意 脆弱性体験学習ツール AppGoatとは 脆弱性体験学習ツール「AppGoat」は、脆弱性の概要や対策方法等の脆弱性に関する基礎的な知識を実習形式で体系的に学べるツールです。利用者は、学習テーマ毎に用
携帯サイト特有の問題も解説、「安全なウェブサイトの作り方」第5版 － ＠IT
2011/04/06 情報処理推進機構（IPA）は4月6日、Webサイトの開発者や運営者に向け、セキュリティを考慮したWebサイトを作成するための注意点をまとめた資料「安全なウェブサイトの作り方」の改訂第5版を公開した。IPAのWebサイトからダウンロードできる。 「安全なウェブサイトの作り方」は、Webサイトに起因するセキュリティ問題を解決することを目的とした文書で、2006年1月に第1版が公表された。Webサイト／Webアプリケーションの脆弱性の解決策のほか、フィッシング詐欺を助長しないための対策をはじめとするサイト全体の安全性を向上するための取り組み、さらに、ソースコードも含めた実際の失敗例などを紹介している。 過去の版では、クロスサイトスクリプティングやSQLインジェクション、OSインジェクションといった代表的な脆弱性を取り上げ、根本的な解決策や影響低減策についてまとめてきた。第5
第5回■注目される文字コードのセキュリティ問題
今回から5回にわたって，アプリケーション全体に関する文字コードの問題と対策について説明する。文字コードがセキュリティとどう関わるのか，疑問に思うかもしれないが，Webアプリケーションで文字コードを指定可能な個所は非常に多く，しかも文字コードの選定や処理方法次第ではぜい弱性の原因になることが分かってきている（図1）。実は文字コードはWebアプリケーションのセキュリティ問題の最新の話題と言ってよい。 2008年10月に開催されたセキュリティ・イベントBlack Hat Japan 2008では，ネットエージェントの長谷川陽介氏が「趣味と実益の文字コード攻撃」と題して，文字コード問題の広範なプレゼンテーションを発表した 。そのプレゼンテーション資料が発表されている のでこの問題の詳細に関心のある方は参照されたい。ここでは，セキュアなWebアプリケーションを開発するために文字コードの問題をどのよう
第26回 フォームに関する基礎知識
今回のポイント inputタグ labelタグ sizeプロパティ maxlengthプロパティ textareaタグ 今回はフォーム（form）について勉強します。フォームはWebプログラムにおいてとても重要かつ基本となる部分で，プログラムと密接な関係にあります。閲覧者が何らかのデータをサーバーサイドのプログラムに送信するにはフォームを利用しなくてはなりません。 まずは基本となるフォームです（リスト1）。 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "DTD/xhtml1-strict.dtd"> <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="ja" lang="ja"> <head
Google，Webアプリ用試験ツール「ratproxy」をオープンソースとして公開
米Googleは米国時間2008年7月1日，Webアプリケーションの安全性を確認できるツール「ratproxy」をオープンソースとして公開した。同社のWebサイトから無償ダウンロード提供している。 同ツールは，これまで同社が社内でWebアプリケーションを試験する際に使っていた。プロキシ・サーバーとして作動し，クロスサイト・スクリプティングに悪用される恐れのあるコードや，情報漏えいにつながる問題などを調べられる。従来のセキュリティ・ツールと違い，意識することなく利用でき，オーバヘッドも小さいという。 ソフトウエア・ライセンスはApache License 2.0。現在のバージョンは「1.51ベータ」。Linux/FreeBSD/Mac OS Xと，Windows向け疑似UNIX環境Cygwin用に開発した。 [GoogleのMichal Zalewski氏によるブログ投稿記事]
PostgreSQLに危険なセキュリティ・ホール，管理者はバージョンアップを
PostgreSQL Global Development Groupは1月7日（現地時間），PostgreSQLのセキュリティ・ホールとそれに対する修正リリースを公開した。影響を受けるのは8.2, 8.1, 8.0, 7.4 7.3系列で，深刻度は「critical（高）」。PostgreSQL Global Development Groupでは，データベース管理者に対しアップデートを呼びかけている。 公開されたセキュリティ・ホールは以下の通り。 index関数の権限の昇格（CVE-2007-6600）：PostgreSQLにはユーザーがインデックスを作成できる「expression indexes」として知られる機能が存在する。この機能に関し（1）VACUUMとANALYZE実行中にスーパーユーザーとして実行されてしまう。(2)index関数の中でSET ROLEおよびSET SES
【TRONSHOW 2008】ソフトは作ってはいけない，組み込みソフト開発も標準化が重要
ハードウエア機器に組み込まれるソフトウエアのサイズが肥大化することで，開発期間の長期化や品質の低下を招く。こうした“ソフトウエア爆発”に対する対処方法にはどのような解があるのか---。12月14日，TRONSHOW 2008のパネル・セッション「組込み開発最前線」では，組み込みソフトウエア開発に携わる6社のキーパーソンが組み込みソフトウエアの標準化について議論を交わした。 パネル・セッションの冒頭，司会を務めた日経BP社の浅見直樹 ITpro発行人は，出版社の媒体発行人としての立場から2007年を振り返り，トラブル記事が印象的だったと話した。JR東日本の自動改札機でSuicaが使えなくなった問題やNTT東日本のひかり電話がつながりにくくなった問題に触れ，組み込みソフトウエアの信頼性低下とサイズの肥大化という問題を提起した。 組み込みソフトウエアを取り巻く，こうした問題に対する解としては，プ
IBM，Webアプリのぜい弱性を調べるセキュリティ・ソフト「Rational AppScan」を発表
米IBMは米国時間11月13日，Webアプリケーション向けセキュリティ・ソフトウエア「Rational AppScan」を発表した。この製品は，Webアプリケーションをスキャンしてセキュリティのぜい弱性を評価するもの。IBMが2007年7月に買収した米WatchfireのWebアプリケーション向けセキュリティ技術をベースとしている。 Rational AppScanは，新しい機能やレポート方法を追加している。これには，Webセキュリティについて十分な知識を持たないIT部門の従業員やソフトウエア開発者などによるWebアプリケーションのセキュリティ・テストを支援する「Scan Expert」や，アプリケーションの複数にわたるプロセスのセキュリティ問題を順に従って評価する「State Inducer」などが含まれる。 このほかにも，サイトをまたがってリクエストを偽装する攻撃（CSRF：クロスサイ
「Lhaplusに脆弱性」、IPAがバージョンアップを呼びかけ
情報処理推進機構（IPA）は、圧縮・解凍用フリーソフト「Lhaplus（ラプラス）」におけるセキュリティ上の弱点（脆弱性）に関する注意喚起を公表した。この脆弱性は、フォティーンフォティ技術研究所の鵜飼裕司氏が指摘したものだという。 IPAによると、Lhaplusにはファイルの展開処理に問題があり、バッファ・オーバーフローを引き起こす脆弱性が存在する。具体的には、Lhaplus Version 1.54 以前の場合、ARJ 形式のアーカイブを展開するときにバッファ・オーバーフローが発生する可能性があるという。悪意のあるユーザーがARJ アーカイブに意図的に埋め込んだプログラム・コードが実行される恐れがある。これにより、コンピュータ上でユーザーが意図しないプログラムが実行されたり、ファイルの削除、ウイルスやボットなどがインストールされたりする。 IPAでは、対処済みのLhaplus Versi
社会保険庁システムへの妻の怒りは正当か？
参議院選挙が終わってから、社会保険庁の年金記録問題への世間の関心はやや薄らいできたような気もするが、我が家では、ある出来事がきっかけになって、つい先日まで社会保険庁のシステムがたびたび批判の的になった。正直に言ってささいなことだったが、この経験を通して「顧客と接する情報システム（業務プロセス）の設計が甘いと、顧客には大きな不満が残るのだな」ということが実感できた。 まず、社会保険庁のシステムを巡り、我が家で起こった“ある出来事”について説明しておきたい。筆者の妻は国民年金に加入している。年金記録問題が取りざたされているのをテレビなどで知り、自分の年金加入記録が正しいのか気になったようだ。加入記録は社会保険庁のWebサイトで閲覧できるが、そのためには専用のIDとパスワードを社会保険庁に発行してもらう必要がある。そこで妻は、同庁のWebサイト上でIDとパスワードを申請した。 しかし、申請時に入
高木浩光＠自宅の日記 - 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき, CAPTCHA機能の発注仕様をどうするか
■ 飾りじゃないのよCAPTCHAは 〜前代未聞のCAPTCHAもどき CAPTCHA*1が基本的に荒らし対策目的で使用されるものであることは以前にも書いた。ユーザビリティの犠牲が少ないものは早いうちに破られるし、改良してもイタチごっこになることも目に見えている。それでもなお活用する意義があるのは、使用目的が荒らし対策だからだ。新規ユーザ登録や、ログインなしでできるコメントやトラックバックなど、元々自由に利用させる機能である限り、完全に防ぐことはできないのであり、たとえ将来破られる可能性があろうとも何もしないよりはましだというわけだ。（荒らしがよりハードルの低いところへ行ってくれることを期待できる。） そのようなCAPTCHAは、日本ではあまり普及していないようだ。荒し行為が英語圏での状況ほど深刻なものになっていないためか、あるいは、イタチごっこになることが目に見えている技術の採用を嫌う国
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ビットアーツ、Webアプリ脆弱性スキャナ「Whitetip」を無償公開
携帯プラットフォーム「Symbian」、全ソースコードを公開 
IPA セキュア・プログラミング講座
架空の個人情報を生成する「疑似個人情報ジェネレータ」発売 
リバースエンジニアリング適法化など、文化審小委が中間まとめ
IBM Software | IBM
暗号技術を知る