かっこいいSSH鍵が欲しい - アリ
例えばこのSSH公開鍵、末尾に私の名前(akiym)が入っています。 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFC90x6FIu8iKzJzvGOYOn2WIrCPTbUYOE+eGi/akiym そんなかっこいいssh鍵が欲しいと思いませんか？ ed25519のSSH公開鍵の構造 SSH鍵の形式にはRSAやDSA、ed25519などがありますが、最近のssh-keygenではデフォルトでed25519の鍵を生成するということもあり、ed25519を利用していることを前提として進めます。なにより、RSAの公開鍵に比べると短いので末尾部分が目立つはずです。 そもそも、ed25519のSSH公開鍵のフォーマットはどのようなものになっているか確認してみます。まずはssh-keygenコマンドで秘密鍵と公開鍵を生成します。 % ssh-keygen -t ed25
私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
Google Chrome、全ユーザーに対しHTTPからHTTPSへ自動変更
Bleeping Computerは10月30日(米国時間)、「Google Chrome now auto-upgrades to secure connections for all users」において、GoogleがすべてのChromeユーザーに対し、HTTPリクエストを自動的にHTTPSリクエストに変更する「HTTPSアップグレード」を開始したと報じた。Googleはこれまでにも同機能を限定的に展開していたが、2023年10月16日に安定版のすべてのユーザーが対象になったという。 Google Chrome now auto-upgrades to secure connections for all users 歴史的に、ブラウザはHTTPSをサポートするサイトにおいて安全ではないHTTPリクエストを行うことがある。Google Chromeでは、次のような条件でHTTPリソー
「ドコモ口座」のドメイン、ドコモが取り戻す 出品の経緯をGMO含め聞いた
ドコモは現在、各サービスのドメインを「docomo.ne.jp」へ統合する作業を進めており、現在使用しているもの、すでに使用をやめたものを含め同社の専門部署で一括管理しているという。そのうえで「docomokouza.jp」については、社内管理の不手際により、一時的にドコモの保有ではなくなっていたとしている。 今回の「docomokouza.jp」はドコモが取り戻したため不正利用される心配はなくなったが、こうしたドコモ保有のドメインを失った場合はどういった対応を取るのだろうか。同社は「弊社の商号、商標を含むドメインが第三者に取得されて不正に利用された場合は、JP-DRP（JPドメイン名紛争処理方針）という公的な指針によって必要な措置をすみやかに取る」としている。 JP-DRPは、ドメインにまつわる商標権者とドメイン登録者の紛争処理に関する規約を定めたもの。ドメイン名の不正登録・使用を回避す
今話題のドメイン名オークションの仕組み｜徳丸 浩
NTTドコモのサービスだったドコモ口座のドメイン名docomokouza.jpがドメイン名オークションにかけられて402万円という高値で落札されて話題になっています。 「ドコモ口座」のドメイン、落札される 402万円で - ITmedia NEWS まだ金融機関などから当該ドメインへのリンクなどが残っているので、フィッシングや詐欺サイトなどに悪用される懸念が表明されているところではありますが、この記事では、ドメイン名オークションの仕組みについて説明します。 ドメイン名のライフサイクルたまたま同時期に、EPARKの関連会社アイフラッグが運営していたsweetsguide.jpがオークションにかけられ、Srgr0さんがブログで時系列の説明をされているので引用します。時系列的には今回のdocomokouza.jpも同じだと思われます。 今回の流れ ・2023年05月08日 サイト閉鎖のリリース
どんなに短い離席の時でもPCにロックをかける上司に「意識高いですね」と声をかけると、過去の恐怖体験を教えられた話
ぺんたぶ @pentabutabu どんなに短い離席のときにも必ずサッとWindowsキーとLを同時押ししてPCにロックを掛ける上司がいて、 僕「セキュリティ意識高いですね」 上司「前職でソリが合わなかった部下に、離席中の僕のPCから女子社員にセクハラまがいのメールを送られたことがあってね」 という鬼怖回答に背筋が凍っている。 2023-09-05 19:13:35 ぺんたぶ @pentabutabu エッセイや小説を書いたり、会社で働いたり、妻に恋に落ちたり、小学１年生のむすこのパパだったり。 既刊：いまどうしてる？ 恋してます。/ 作家彼女。/ ハキダメ。他（いずれもKADOKAWA） 140字で書き切れないことはnoteに→note.com/pentabunote
何故パスワードをハッシュ化して保存するだけでは駄目なのか？ - NRIネットコムBlog
不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認
パスワード生成
お好みのパスワードを生成（自動作成）することができるツールです。 パスワードに使用する文字の種類（数字、英文字、記号）、文字数の長さ、生成する個数を指定可能です。 ご希望のセキュリティ強度、文字、文字数、個数がございましたらご入力、ご選択後に「生成」ボタンをクリックしてください。 再度、「生成」ボタンを押すことで新しいパスワードが生成されます。 ※生成されたパスワードはテキストファイルにてダウンロード可能です。 「パスワードデータをダウンロード」ボタンをクリックしてダウンロードしてください。 ※スマートフォンやタブレットでご利用の方は、生成されたパスワードを直接コピーしてご利用ください。 ※文字数は最大40文字まで、個数は最大1000個までとなります。 ※文字の「記号あり」で任意の記号が選択可能になりました。（21/07/21）
徳島市様における「Fujitsu MICJET コンビニ交付」での印刷障害について
徳島市様における「Fujitsu MICJET コンビニ交付」での印刷障害について2023年3月27日に徳島市様において、コンビニエンスストアでの証明書交付サービスと徳島市庁舎内に設置された証明書発行端末（以下、当該端末）を連携させるための設定に誤りがあり、証明書交付サービスで申請された方とは異なる住民の方の戸籍証明書の一部が発行されるという事象が発生いたしました。 徳島市様ならびに証明書交付サービスをご利用の皆様に多大なるご迷惑ご心配をおかけいたしましたことを深くお詫び申し上げます。 本事象の原因は、コンビニエンスストアでの証明書交付サービスと当該端末を連携させるための設定に誤りがあったものでありますが、既に当該端末との連携を停止し、コンビニでの証明書交付サービスが正常に動作することを確認しております。 また、「Fujitsu MICJETコンビニ交付」に関連した一連のトラブルにより、自
Winnyは“暗号の使い方”がおかしかった 通信解析でわかった鍵交換・ファイル交換の挙動
映画『Winny』の公開に伴い、記憶から消えかけている20年前の諸々の思い出話をする「Winnyとは何だったのか v2.0b7.1」。ここで杉浦氏が登壇。Winnyを解析してわかったことと、当時リリースしたサービスについて紹介します。 Winnyの解析をしていた杉浦氏 杉浦隆幸氏（以下、杉浦）：杉浦です。今日は「Winny解析技術と」ということで、（Winnyを）解析した当初（のこと）を思い出して話そうと思います。 自己紹介ですが、Winnyの暗号技術を解読した人ということで。今日はそれで十分かと思います。当時の趣味は通信の解析で、いろいろな通信を解析していました。楽しかったです。 映画『Winny』を、2月14日に舞台挨拶付きの試写会で観てきました。非常に楽しかったので、今日の発表はその伏線も入れたものとなります。 Winnyの登場、そして逮捕者の発生 （スライドを示して）20年前。47
今、インスタの「いいね」をめぐって起きている地獄 / いいねを付ける闇バイトに潜入し目撃した虚像だらけの世界
» 今、インスタの「いいね」をめぐって起きている地獄 / いいねを付ける闇バイトに潜入し目撃した虚像だらけの世界 特集 何から話せばよいだろう。とんでもなく真っ黒で、とんでもなく複雑で、もしかしたら大事（おおごと）なんじゃないか？ ってくらい、気持ちの悪い世界を私は見ていた。 まだすべての答えは出ていないが、先に伝えておいた方が良いこともあるので、今わかっていることを書き残しておきたい。 ・「いいね」を付ける闇バイトに潜入 私が潜り込んでいたのは、インスタ（Instagram）の裏側とも言える世界である。単刀直入に言うと「闇バイト」。 「いいね」を付ける代わりに「報酬（カネ）」を得る、「いいねの労働者」になりすましていた。 極秘の潜入調査につき、身バレの危険性もあるため画像等はお見せできない。なので文章だけの記事になるが、どうか、最後まで読んでほしい。 ・闇の入り口 どのようにこの世界に入
家庭向けルーター不正利用を受けた警視庁の注意喚起についてまとめてみた - piyolog
2023年3月28日、警視庁は家庭向けルーターを悪用した事件が発生しているとして、利用者に対して対策を推奨する注意喚起を行いました。ここでは関連する情報をまとめます。 サイバー攻撃の踏み台悪用受け注意喚起 注意喚起を行ったのは警視庁公安部 サイバー攻撃対策センター。 サイバー攻撃事案の捜査を行っていた中で確認された手口をうけ、従前から対応が呼び掛けられている対策方法だけで十分な対応が行えないと判断したことから新しい対応方法として、定期的な設定内容の確認を行うとする呼びかけがルーターのメーカーや関連団体を含めて行われた。 2023年3月28日 家庭用ルーターの不正利用に関する注意喚起 2023年3月28日 Wi-Fi（無線LAN）ルーターをお使いの方へ 【サイバー攻撃対策センター】 家庭用ルーターがサイバー攻撃に悪用される事案が発生しています。 サイバー攻撃対策センターは、複数の関係メーカー
Wi-Fiルーター、捨てるときは必ず○○を 安全な処分の方法、バッファローに聞いた
Wi-Fiルーター、捨てるときは必ず○○を 安全な処分の方法、バッファローに聞いた：新連載：デジタルガジェットのあとしまつ（1/2 ページ） もはや仕事や生活になくてはならないものになりつつあるデジタルガジェットの数々。購入を勧められることは多々あるが、正しい捨て方は知られていない。本連載では、デジタルガジェットの正しい捨て方を専門家に聞いていく。 今回は、インターネットへの無線接続には欠かせないWi-Fiルーターの捨て方を紹介。バッファローの下村洋平さん（事業本部 コンシューママーケティング部 BBSマーケティング課）に、1問1答形式で聞いた。下村さんによれば、Wi-Fiルーターを捨てるときは、必ずしておくべきことがあるという。 Wi-Fiルーターって何ゴミ？ ──まず、Wi-Fiルーターを捨てるときは何ゴミとして捨てるべきか教えてください 下村さん 小型家電や不燃ごみに分類される場合が
なぜ出力時のHTMLエスケープを省略してはならないのか - Qiita
メリークリスマス！ 週末もPHPを楽しんでますか？ ところでWebセキュリティはWebアプリケーションを公開する上で基礎中の基礎ですよね！ メジャーな脆弱性を作り込まないことはWeb開発においては専門技術ではなく、プロとしての基本です。 中でもXSS (Cross-Site Scriptingクロスサイトスクリプティング)やインジェクションについての考慮は常に絶対に欠いてはならないものです。 現実にはプログラミングには自動車のような運転免許制度がないため、自動車学校に通わず独学で公道に出ることができてしまいます。つまりは基礎知識がないままにWebプログラマとして就職したり、フリーランスとして案件を請けることも現実には罷り通っています。それは一時停止標識も赤信号も知らずにタクシー営業しているようなものです。 このような事情により、体系的な理解のないWeb開発初心者は (時にはn年のキャリアを
セキュリティエンジニアのための English Reading | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
オートバックスのDMにあるQRコードにアクセスしたら詐欺サイトに飛ばされてクレカ決済されてしまった「QRコードを乗っ取られた？」
ドコモ口座ドメイン名流出の背景 企業・政府におけるドメイン運用の課題【鈴木淳也のPay Attention】
パスワードがハッシュ値で保存されているサイトのSQLインジェクションによる認証回避の練習問題 - Qiita
「パスワード平文保存って何か問題あるんですの？」 ITお嬢様と学ぶハッシュ化
本当にあった怖い脆弱性の話
