1894560 - DigiCert: Incorrect case in Business Category
On 29th of April 2024 a DigiCert employee received a personal call from a Sectigo employee. During the call, Sectigo mentioned that they had seen some issues with the case sensitivity of entries in the business category for some EV certificates. This was escalated internally, and an investigation was started. The initial investigation showed there is no issue with certificates currently being issu
Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ
Publickeyのサーバは3月12日から14日にかけて何度もDoS攻撃を受けてダウンしていました。 その間、読者や広告を掲載いただいているお客様や代理店様にご不便やご心配をおかけし申し訳ありませんでした。 ひとまず現在までの状況と対応について報告したいと思います。 先に現状のみを報告すると、CloudflareのDDoS対策サービスを導入していまのところ平穏な状況を保っているため、このまま様子をみているところです。 DoS攻撃の発生時間帯 DoS攻撃とは、大量のトラフィックをWebサーバなどに浴びせることでサーバを応答不能にしてしまう攻撃のことです。 下図が3月12日から14日にかけてPublickeyのサーバに対して行われたDoS攻撃の主な発生時間帯です。 グラフはPublickeyのページビューの推移を示しており、横向きの矢印が主なDoS攻撃の発生時間帯を示しています。発生時間帯では
米下院 TikTokの国内事業売却しなければ利用禁止する法案 可決 | NHK
中国の企業が運営する動画共有アプリTikTokについて、アメリカ議会下院は安全保障上の懸念があるとして、半年以内にアメリカ国内での事業を売却しなければ国内での利用を禁止する法案を超党派で可決しました。 この法案は中国の企業バイトダンスが運営するTikTokについて、「敵対国からの安全保障上の脅威」だとして、180日以内にアメリカ国内での事業を売却しなければ、アプリの配信などを禁止するものです。 アメリカ議会下院は13日、この法案の採決を行い、352対65の超党派で可決しました。 TikTokを巡っては、中国政府に対する情報漏えいへの懸念から、バイデン政権が去年から連邦政府の機関に対して公用の端末での利用を禁止しています。 今後、法案は上院で審議が行われますが、TikTokは若者を中心に人気があり、この法案は表現の自由を制限するとして慎重な意見も多く、上院で可決するかは不透明な状況です。
安全なWebアプリケーションの作り方2018 - slideshare
SecurityとValidationの奇妙な関係、あるいはDrupalはなぜValidationをしたがらないのか
Yahoo!セキュリティセンター｜一部の環境で、2018年10月中旬までにYahoo! JAPANが順次ご利用いただけなくなります。
※当初「2018年9月末まで」と期限をご案内しておりましたが、災害の影響を考慮し、より多くのお客様へライフライン情報をお届けするために、一部サービスにおいて日程を延期いたしました。 いつもYahoo! JAPANをご利用いただき、誠にありがとうございます。 Yahoo! JAPANでは弊社ウェブサービスのセキュリティを強化するため、2018年10月中旬までに、インターネット通信暗号化方式「TLS1.0」および「TLS1.1」のサポートを順次終了いたします。 サポート終了後は、「TLS1.2」に対応していない古いブラウザーやパソコン、スマートフォン、タブレット、ゲーム機などでは、Yahoo! JAPANの全ウェブサービスがご利用いただけなくなります。 なにとぞご理解を賜りますよう、お願いいたします。 2018年4月25日 公開 2018年7月5日 更新 2018年9月18日 更新
Let's Encrypt (certbot) を使ってワイルドカード証明書する！(あとちょっと) - Qiita
はじめに 最近技術書を書いて、沢山の方に読んで頂いていて大変感謝しております。 イラスト図解でよくわかる ITインフラの基礎知識 その書籍の中でも、無料で手軽に使える証明書として紹介したLet's Encrypt (certbot) ですが、唯一ワイルドカード証明書が発行できないという欠点がありました。 しかしながら以前から予告されていたように、先日やっとワイルドカードに対応したというアナウンス Let's Encrypt ACMEv2 implementation now supports wildcard certs. https://t.co/jPk8DZBr4X — Jerry Gamblin (@JGamblin) March 2, 2018 が出ましたので、早速ワイルドカード証明書を取得してみました。 ところがフツーにやろうとするとエラーになになってしまいます。 [root@l
2万3000件以上のSSL/TLS証明書の秘密鍵が電子メールでやりとりされたことが判明し、その全てが失効となる事態に
by Suzy Hazelwood SSL/TLS証明書の大手認証局であるDigiCertは2018年2月28日に、約2万3000件の証明書を即時失効したと発表しました。失効の理由は、証明書販売代理店のCEOが証明書の秘密鍵を電子メールで送信してしまったためとのことです。 DigiCert Statement on Trustico Certificate Revocation - DigiCert https://www.digicert.com/blog/digicert-statement-trustico-certificate-revocation/ インターネットが一般家庭に普及し、必要な買い物もインターネットでできるようになりました。その一方で、買い物をするために必要なクレジットカードや個人情報など、他人に知られたくないデータがインターネットを介してやり取りされることも増えた
What you need to know about TLS-SNI validation issues
[Update 2019-02-11: TLS-SNI-01 is going away soon. Here's what to do for Certbot users. TLS-SNI-03 turned into TLS-ALPN-01, which is not implemented by Certbot.] On 2018-01-09 we got a report from Frans Rosén of Detectify that one of our three validation methods, TLS-SNI-01, could be used to get certificates for domains you don't own, if those domains were hosted on software that allowed upload of
これから開発されるFirefoxの新規機能は、HTTPSにしか対応しない。新規のCSSプロパティなども対象
これから開発されるFirefoxの新規機能は、HTTPSにしか対応しない。新規のCSSプロパティなども対象 Firefoxを開発するMozillaは、Firefoxにおいてこれから開発されるWeb関連の新機能はすべて安全なコンテキスト（Secure Context）のみを対象にすると、Mozilla Security Blogの1月15日付の記事「Secure Contexts Everywhere」で明らかにしました。 安全なコンテキストとは？ 安全なコンテキストとは、W3Cのドキュメント「Secure Contexts」で厳密に定義されています。日本語での説明はMDNの「Secure Contexts」で読むことができ、次のように説明されています。 (HTTPS / TLS を介して) コンテンツが安全に配信され、安全ではないコンテキストとの通信の可能性が限られているという合理的な確信
ジョン・マカフィー曰く、2要素認証を有効にしたらTwitterアカウントがハックされた | スラド セキュリティ
自身のTwitterアカウントが2要素認証を有効にしたせいでハックされたと「サイバーセキュリティのレジェンド」ジョン・マカフィー氏が主張している(HackReadの記事、 BetaNewsの記事、 BBC Newsの記事)。 マカフィー氏は12月21日から「Coin of the day」として、あまり知られていない今後が期待される仮想通貨を毎日Twitterで紹介していたが、26日をもっていったん休止し、毎週月曜日の朝(初回は1月1日)に「Coin of the week」として再開すると宣言していた。しかし、27日に偽の「Coin of the day」がマカフィー氏のアカウントで複数投稿されたらしい。 マカフィー氏はアカウントがハックされ、Twitterに通知したとツイートし、偽投稿は既に削除されている。別のツイートではセキュリティのエキスパートであってもTwitterのセキュリティ
.devなどのTLDはChrome 63からHTTPSを強要される - Sexually Knowing
その昔Powを使っていた名残で、開発時のループバックドメインに `.dev` をよく使っていたのだけれど、最近うまく動かなくて調べたところ、HTTPSで通信しようとして失敗していた。 アプリケーションでそんな設定した覚えないんだけどな……と訝しんでいたら、どうやらChrome (Chromium) に変更があり先読みするドメインのリストでHTTPSを強制する設定が追加されたらしい。 Chrome 63 forces .dev domains to HTTPS via preloaded HSTS `.dev` はGoogleによって買われたらしいという話も書いてあって初耳。 それはそうとどうすればいいかというと、テスト・開発用に予約されたTLDがあるのでそれを使うのがよいだろうと上記記事には書いてある。 `.test` や新たに追加された `.localhost` などがそれにあたるので、
Target="_blank" - the most underestimated vulnerability ever
Target="_blank" - the most underestimated vulnerability ever by Alex Yumashev · Updated Aug 25 2021 People using target='_blank' links usually have no idea about this curious fact: The linked page gains partial access to the linking page via the window.opener object. The newly opened tab can then change the window.opener.location to some phishing page. Users trust the page that is already opened,
Web サービスにパスワードは必要ない - Frasco
Web サイトを開発する際のアーキテクチャ設計において、ユーザーの認証にはメールとパスワードを利用するのが一般的でしょう。この設計は身に染み付いていて、なぜユーザーにパスワードを作成させるのか、考えもしないかもしれません。私たちは慣れてしまったのです。 しかし、ユーザーはパスワードを必要としない可能性があります。 一つの解決策は OAuth 2.0 ですが、すべてのユーザーがSNSのアカウントを持っているわけでもなく、あなたのサイトでそのアカウントを使用したいと考えているとも限りません。 では、あなたはどのようにしてパスワードを使わずユーザーを認証しますか？その回答はこの記事を読めばわかります。 何が問題か？ 最も安全なパスワードは、あなたが覚えられないパスワードです Troy Hunt そもそもパスワードそれ自体に問題があります。あなたや、あなたのユーザーにとっても良いものではありません
ブラウザの脆弱性とそのインパクト
セキュリティ・キャンプ全国大会2017の講義資料です（Masato Kinugawaさんとの共同制作です）。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Hackers exploit Aiohttp bug to find vulnerable networks
IPA-安全なウェブサイトの作り方2021年改訂第7版.pdf
5000万人分の個人情報が流出か フェイスブック - 日本経済新聞
https://conference.hitb.org/hitbsecconf2017ams/materials/D2T2%20-%20Yu%20Hong%20-%20Attack%20Surface%20Extended%20by%20URL%20Schemes.pdf
Game of Chromes: Owning the Web with Zombie Chrome Extensions
Loading...
