楽天とPayPayがつまずいたセールスフォース製品の「設定不備」、被害は氷山の一角か
15万社以上が使い、「世界No.1 CRM（顧客情報管理）」をうたうセールスフォース・ドットコム。同社が提供するクラウドサービスを使う企業で、本来アクセスできないはずの情報を第三者が閲覧できてしまう問題が明らかになった。この問題に気づいていない企業もあるとみられ、情報漏洩のリスクが高まっている。 「自宅の壁にいきなりマジックミラーを取り付けられたようなものだ」。セールスフォースのクラウドを使うネット企業のセキュリティー担当者はこう憤る。 情報セキュリティーに詳しい国際大学グローバル・コミュニケーション・センター（GLOCOM）の楠正憲客員研究員は「今はアンテナが高い企業で被害が判明している段階。金融以外の業種では被害をまだ十分に洗い出せていないのではないか」と指摘する。セールスフォースのクラウドに何が起きたのか。 楽天やPayPayが被害公表 今回の不正アクセス問題が広く知られるようになっ
VAddyを使って脆弱性診断を自動化する - Pepabo Tech Portal
はじめに VAddyはDynamic Security Application Testing(DAST)による脆弱性診断を行なってくれるクラウド型Web脆弱性診断ツールです。 SQLインジェクションやクロスサイトスクリプティング(XSS)など、9つの項目をスキャンできます。今回はSUZURIでの活用事例を紹介します。 VAddyとは VAddyの実行プロセスは大きく分けてクロール・スキャン・レポートの3ステップです。 検査対象アプリケーションのURLとパラメータをVAddyに登録する「クロール」、対象アプリケーションに検査リクエストを送信して脆弱性を診断する「スキャン」、検査結果を通知してくれる「レポート」です。 VAddyサポートサイトに基本的な使い方が書かれているので、これを読むことで簡単にはじめることができます。 とても便利なVAddyですが、シナリオが増えればクロールを手動でやる
高木浩光＠自宅の日記 - 日本の携帯電話はいつになったらアドレスバーを付けてくれるの？
■ docomo IDを作ると生でパスワードを保管されてしまう docomo IDについて, NTTドコモ My docomo-新規登録：ご登録前の準備, NTTドコモ docomo IDを作ると初期パスワードが発行されるが、これは各自、愛用のパスワードに変更して使えるようになっている。それなのに、「ID／パスワードをお忘れの方」の説明を見ると、パスワードを忘れたときは、携帯電話で現在のパスワードを閲覧できるのだという。 これはないわ。パスワードは照合さえできればよいのであって、不可逆変換して持っておけば十分。生で持つ*1必然性がない。パスワード忘れの場合は、再発行すれば済むこと。特にここの場合、登録時と同様に、初期パスワードを生成して画面に出せばよいのであって、何ら不都合がない。 弊社サービスではパスワードを平文で保存していますが何か, AnonymousDiary, 2010年1月2日
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
本日コーポレートサイトでお知らせした通り、Web版のメルカリにおいて一部のお客さまの個人情報が他者から閲覧できる状態になっていたことが判明しました。原因はすでに判明して修正が完了しております。また、個人情報を閲覧された可能性のあるお客さまには、メルカリ事務局より、メルカリ内の個別メッセージにてご連絡させていただきました。 お客さまの大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫びを申し上げます。 本エントリでは技術的観点から詳細をお伝えさせていただきます。 2017年6月27日 CDNのキャッシュの動作について、CDNプロバイダと仕様について確認し検証を行いました。その結果一部記述に実際と異なる箇所があり、加筆修正いたしました。 概要 メルカリWeb版のコンテンツキャッシュをしているCDNのプロバイダ切り替えを行いました。 その際本来キャッシュされるべきでない
ラックが提供する無料の自己診断サービス「自診くん」 | 株式会社ラック
インターネット経由で直接攻撃してくるタイプのサイバー攻撃が社会問題になっています。 「自診くん」は持ち出しパソコンやネットに直接接続されているパソコンが大丈夫かを当該パソコンの利用者自身が自己診断（自診）できるサービスです。 利用規約を必ずお読みください。 利用規約に同意される場合は、「利用規約に同意して診断する」にチェックを入れて「次へ進む」ボタンを押してください。 診断項目を選択します。診断したい内容にチェックを入れて「次へ進む」ボタンを押してください。 診断項目を確認し「診断スタート」ボタンを押して、お進みください。 診断結果が表示されます。 利用規約 株式会社ラック（以下「当社」といいます）は、セキュリティ診断サービス「自診くん」（以下「本サービス」といいます）及び本サービスを提供するウェブサイト（以下「本サイト」といいます）を、このセキュリティ診断サービスの利用規約（以下「本規約
監視カメラを覗くことができるサイトが発掘され、祭りに。日本の銭湯やコンビニなど : IT速報
Insecamというおかしなサイトが話題。世界中の無防備なWebカメラを覗き見ることができる。 メニューから「メーカー」「国」「場所」を選べる仕様 http://www.insecam.org/ （自己責任で） 日本ではPanasonic製のカメラが覗き見られているもよう。中には銭湯の脱衣所などもあり、セキュリティー意識の低さが物議に。 Insecamというおかしなサイトが、世界中の無防備なWebカメラ73000台を表示できる、と豪語している。 その多くはCCTVやシンプルなIPカメラだが、それらに共通しているのは、一般的にアクセス可能なネットワークポートへストリーミングされていることと、デフォルトのパスワードをそのまま使っていることだ。だから誰でも、Webをクロールするロボットなどを使って、単純に”admin/admin”とタイプし、そのストリームにアクセスできる。 わざわざ弱いパスワー
Twitterのつぶやきから自宅の住所を特定するサイトWeKnowYourHouse.com
Twitterの投稿から、投稿者の自宅住所を割り出すという恐ろしげなサイトが今月スタートした。その名も「WeKnowYourHouse.com」（お前の家を知っている）だ。 このサイトは、「家に帰った」のような家からと思われるツイートを探し（英語のつぶやきが対象のようだ）、その位置情報を使って、つぶやいた人の住所を割り出して、サイト上に表示している。サイトには「○○（アカウント名）は××の近くに住んでいる」と表示される（一部は伏せ字になっている）。かなり詳細な場所が特定されているのは見ていて怖くなる。 WeKnowYourHouse.com 同サイトは、SNSのプライバシーに関する実験として作られ、サイト上には過去1時間分のデータのみを表示し、データは保存せず破棄しているという。住所を表示してほしくない人には表示拒否の手段も用意している。位置情報を付けずにつぶやいていれば、WeKnowYo
TechCrunch | Startup and Technology News
Meta will soon officially permit users as young as 10 to use its Meta Quest 2 and 3 VR headsets — if their parents say it’s okay, anyway. In a blog post, the tech giant says that there’s Nikola Corp. is laying off 270 employees, or about 23% of its workforce, and restricting its electric truck efforts to North America as it seeks to preserve cash. The company said Friday it will lay o
たった1つのパスワードを覚えれば全OS・全ブラウザのあらゆるパスワード自動入力＆管理ができる「LastPass」
いろいろなサイトのIDやパスワードをすべて違うランダムなものにしておけば安全なのは分かっていても、入力や管理の手間を考えると面倒になってついつい、全部同じパスワード、しかもすごく短くて覚えやすいものにしてしまいがちですが、「LastPass」を使えば、その名の通りのラスト・パスワード(自分が覚えるべきたった一つだけのパスワード)を覚えておくだけで、Windows/Mac/LinuxといったどのOS上でもいろいろなサイトのパスワードや大事な情報が使えるようになり、しかもIE/Firefox/Chrome/Safari/Operaと連携して同期し、面倒なパスワード入力も全自動化してワンクリックで可能です。 保存したパスワードはすべて256bitのAESで暗号化されてSSL通信でバックアップされ、安全な利用が可能になります。さらにIE/Firefox/RoboForm/1Password/Kee
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
後付けでトラッキング機能が有効化されることについて、はてなとTwitterの場合 - 最速転職研究会
前: http://d.hatena.ne.jp/mala/20120308/1331193381 はてなのその後の話 http://hatena.g.hatena.ne.jp/hatenabookmark/20120313/1331629463 話題になってからの対応が遅い、という人がチラホラいたけれど、別に対応はそれほど遅いというわけでもないと思う。 これは近藤さんがSXSWというイベントに行っていて日本にいなかったためで、収益にも影響する話なので即断できなかったのだろう。 こういう時にあとさき考えないで不良社員が勝手に広報したり、勝手に修正しても良いと思う(個人の感想です) 公平のため記しておくとHUG Tokyoというイベントで大西さんにおごってもらった(はてなの脆弱性をちょくちょく報告しています) Twitterの話 先日、Twitterが外部サイト上でのボタン、ウィジェットでト
CSRFで強制ログインさせるというアイデア - ぼくはまちちゃん！
こんにちはこんにちは！！ 今日はCSRF脆弱性のちょっとした話です！ このCSRFってなにかっていうと、 サーバーへのリクエストを『誰かに勝手に送らせる』っていうセキュリティがらみの攻撃手法のひとつ。 わかりやすい例だと、 HTMLの画像タグを以下のようにしたページを誰かに教える。 <img src="何々SNSの足跡.php" width="1" height="1"> そうすると、そのページを「見た人」が何々SNSの足跡.phpにアクセスしたことになる。 ※詳しくはこちらのマンガで → ［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ ： 第2回 しーさーふって何ですか？ CSRFってこんな風に、 「ログイン済みの人に何か操作させる」ってイメージが強くて、 対策する側もまた、「既にログイン済みの人を守る」ような考えが強いんだよね。 例えば、勝手に日記に投稿させないように対
ブログパーツやソーシャルボタンの類でアクセスログが残るのは当然だけどトラッキングされるのは当たり前にはなっていない - 最速転職研究会
わたくしは立場上、実装がダメなことにはとやかく言いますがポリシーについてはとやかく言わないことをポリシーとしており、また個人的にも所属組織的にも付き合いがある企業様を痛烈に批判するというのはブーメランとか槍とか鉄砲玉とかソーシャルメディアガイドラインとか飛んできたりしてリスキーではあるのですが、どう見てもアウトだろこれ、と考えるに至りまして筆を取らせていただく次第です。 これ http://d.hatena.ne.jp/kanose/20120306/hbmbutton http://blog.dtpwiki.jp/dtp/2011/09/post-9367.html どう見てもアウトだろ。理由は単純で、そういう目的で設置されたボタンではないし、はてなブックマークボタンが設置されているサイトは、はてなの管理してないサイトなのではてなの裁量でやってはいけないからです。いつから「はてな」は「は
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
数日前ニュースになった脆弱性 きちんと対応できましたか？
TechCrunch
撮影した写真が勝手にGoogleマップに投稿される？ 確認すべき設定と通知オフの方法
Twitterアカウント乗っ取り問題を検証中
Security & Privacy for Startups
http://www.google.com/intl/ja/policies/