OWASPのSQLインジェクション対策方針を読んで「おまえは俺か」と思った
つい最近まで、グローバル・スタンダードのセキュリティ施策ではバリデーションが極めて重視されている、いささか過剰ではないかと思っていたのですが、OWASPの文書を読みなおしたところ、これは僕の思い過ごしだったかと思い始めました。あくまでOWASPに限った話ではありますが… OWASP Top 10 2004については、以下のようなプレゼンをしたことがあります（2012年3月27日）。 ここが変だよ、グローバルスタンダードの脆弱性対策～入力値の考え方～ OWASP Top 10 2004をはじめとして、バリデーションが過剰に重視されているのではないかという指摘でした。 しかし、最近OWASPの文書を読みなおしてみると、OWASP Top 10 2004当時にあった「バリデーション至上主義」のようなものはすっかり影を潜め、私が（そして日本の専門家の多くが）言っていることとほとんど変わらないことに
改ざんの標的となるCMS内のPHPファイル(2016-02-25) - JPCERT/CC Eyes
調査の結果、これらのPHPファイルが改ざんされたことにより、Webサイトからのレスポンス内に不正なコードが、閲覧者のアクセス毎に動的に挿入されていたことが判明しました。 改ざんされたPHPファイルによって不正なコードが挿入される仕組み 改ざんされたPHPファイルには、「//istart」および「//iend」というコメントに挟まれた、図 1のような不正なPHPコードが挿入されていました（不正なPHPコードが難読化されている場合も確認しています）。 この不正なPHPコードは、外部から取得したコードを挿入する機能を持っており、特定のURLから不正なコードを受け取り、特定の位置に挿入します。 図 1: 「//istart」および「//iend」に挟まれた不正なPHPコード 挿入される不正なコード Webサイトに閲覧者がアクセスすると、改ざんされたPHPファイル中の不正なPHPコードは、図 2のよ
2段階認証なら安全…を迂回するAndroidマルウェア、シマンテックが発見
シマンテックは1月12日、音声通話ベースの2段階認証(2FA)システムを傍受するAndroidマルウェアがあることをセキュリティブログで明かした。 同社は発見したマルウェアを「Android.Bankosy」と呼んでいる。Android.Bankosyは以前からあったが、バージョンアップされて2段階認証を傍受する機能が追加された。 音声ベースの2段階認証とは、一般的なワンタイムパスワードの送信方法が異なる。一般的には、電話番号を利用したショートメッセージサービス(SMS)で送信する。一部の金融機関などでは、セキュリティを高めるために音声通話による送信を採用している。 攻撃者は、Android.Bankosyをデバイスの侵入させ、まずバックドアを開いてシステム固有情報のリストを収集する。次にコマンド&コントロール(C&C)サーバーに送信してデバイスの情報を登録する。攻撃者は、C&Cサーバー経
ハッシュ衝突でTLSを破るSLOTH攻撃(CVE-2015-7575)とは何か - ぼちぼち日記
0. 簡単なSLOTH攻撃のまとめ 最初に簡単なまとめを書いておきます。長文になりそうなので、読むのが大変な方はここだけ見ておいてください。 MD5ハッシュは既に安全ではなく、証明書の署名方式での利用は停止されていたが、後方互換のためハンドシェイクデータの署名方式にRSA-MD5が今でも利用できるTLS実装が幾つか存在していた(Firefox NSS, Java等)。 先週、INRIAグループからハッシュ衝突を利用して実際にTLSを破る攻撃(SLOTH)が公開された。それを受け、いくつかの実装でRSA-MD5を完全に利用不能にする修正が行われた(CVE-2015-7575)。 SLOTHでは、SHA1やTLS、IKE、SSHに対する攻撃についても評価を行い、幾つかは全く現実的に不可能なレベルではないことが示された。MD5とSHA-1でTLSハンドシェイクの完全性を担保しているTLS1.0/
フェイスブックの位置情報追跡の薄気味悪さを実証したハーバード大生がインターン内定取消しに
フェイスブックの位置情報追跡の薄気味悪さを実証したハーバード大生がインターン内定取消しに2015.08.14 10:20 satomi フェイスブックで働きたかったら、悪いことは言わないから、本家の痛いところは突かないことです…ぶるぶる…。 同社にインターン内定が決まっていたハーバード大生が、位置情報共有設定の不備を指摘したら、感謝されるどころか内定が取消しになってしまったようですよ？ 学生の名前はAran Khanna君。Khanna君はインターン開始まで待ってられなくなって、同社がAndroid版Messengerでユーザーの位置情報を集めていることを実証するChrome拡張機能を作ってみました。 フェイスブックはデフォルトの設定のまま使うと、MessengerのAndroidアプリで同じスレにいる全員に自分の詳しい位置情報が知れてしまうんです。フェイスブックで友達じゃない人にまで。
年額3.65ドルでSSL証明書を手に入れる - Qiita
情報を暗号化する SSL の機能を使用する際に必要となるもの。 身元情報や認証局の確認も行える。 国内の安いプランを探す まずは国内で探すとなると、RapidSSLが安く販売されている。 以下のサイトであれば年額1000円ほどで発行される。 http://www.ssl-store.jp/rapidssl/ しかしながら、安い証明書は海外で発行されたものが多いので、 わざわざ日本で買う必要はないと感じ海外サイトを探してみる。 海外の安いプランを探す いろいろ探してみたが、 Comodo Positive SSLが安いとわかり、尚且つGoGetSSLというサイトが一番安かった。 https://www.gogetssl.com/ 時々キャンペーン等で安くなっているサイトもあるので、その時々で探すとよいかも。 発行する 指定のSSLの項目へ行き、購入。 個人用に 必須項目をすべて埋める その後
AWS で不正アクセスされて凄い額の請求が来ていた件 - yoya's diary
情けない話ですが、自分の大チョンボで AWS の個人アカウントが第三者にアクセスされた結果 190万円相当のリソースが使われ、最終的に AWS さんに免除を頂きました。反省込みで本件のまとめを書きます。 自分が馬鹿を幾つも重ねた結果であって、AWS 自体は怖くないというのが伝われば幸いです はじめにまとめ S3 実験してた時に SECRET KEY を見える場所に貼っていた事があり、第三者がそれでアクセスし大量の高性能インスタンスを全力で回す (恐らくBitCoin採掘) AWS さんから不正アクセスの連絡があり、急いで ACCESS KEY 無効＆パスワード変更、インスタンス全停止、イメージ削除、ネットワーク削除 免除の承認フェーズを進めて、クレジットカードの引き落とし前に完了して助かる AWS さんのサポート AWS さんは最大限サポートしてくれました 承認フェーズが進まない時もあまり
無料で読める情報セキュリティ文書をまとめてみた - ろば電子が詰まつてゐる
最近は何かとセキュリティ流行りなので、こういうのがあると誰かに便利かなーと思ってまとめてみました。半分は自分用のリンク集です。 一応、取り上げた基準としては、以下の感じ。 日本語であること。 無料でWebで読めること。 「文書」であること（ブログでも有用なものはもちろんたくさんありますが、敢えて外しました）。 セキュリティを学ぼうとする人に役立つもの。 Webラーニングプラザ eラーニング [科学技術振興機構] http://weblearningplaza.jst.go.jp/ 「文書であること」と言いながらいきなり違う気がするけど、これはJSTがやっている無料のeラーニング。「情報通信」のところに、情報セキュリティコースがある。内容はかなり初歩の初歩だけど、高校生など、まずどこから手を付けていいかも分からない……という人にはここからがおすすめかな。 Linuxセキュリティ標準教科書 [
Superfish, Komodia, PrivDog vulnerability test
Superfish, Komodia, PrivDog vulnerability test (retired) This test has been retired in favor of the badssl.com Dashboard. You can still find Superfish removal instructions here. Test disabled. What's this about? Turns out Lenovo preloaded their laptops with adware that will intercept all your secure connections, and allow criminals to do it, too. After investigating the Lenovo incident we found ou
サイバーフォレンジックセンター通 第2回：暗号化ファイルと無線LANパスワード解析スピード | dit+ | ディアイティ プラス
第2回：そのパスワードで大丈夫？ ～ GPGPUによる高速パスワード解析 暗号化ファイルと無線LANパスワード解析スピード 今回は、暗号化ファイル(ZIP、RAR等)と無線LAN(WPA2-psk)のパスワード解析の検証結果を紹介したいと思います。前回同様、使用したツール名等は公表しませんが、一般に市販されているツールを利用しています。 検証はブルートフォース攻撃を想定したものであり、他の攻撃手法に関する検証は行っておりません。 検証結果の表について ・ブルートフォースで全パターンを解析するのにかかる時間を記載しています。 ・解析時間が1ヶ月未満のものを赤色で塗りつぶしています。 ・解析時間が１ヶ月以上１年未満のものを黄色で塗りつぶしています。 ※弊社ウェブページ上のセキュリティ調査レポート Vol.3とは、異なる解析マシンを利用しています。 【掲載予定】 第１回 GPGPUと
ZIPにパスワードを付ける方法 | 7-Zip
ZIPファイルにパスワードを付ける（暗号化する）には、圧縮時の画面で設定します。 具体的には、 1 7-Zipを起動し、暗号化したいファイルもしくはフォルダを7-Zipにドラッグ＆ドロップする 2 暗号化したいファイルもしくはフォルダを右クリックし、「7-Zip」メニューから「圧縮」を選択する のどちらかを実行します。 ↓↓↓↓↓↓↓↓↓ 「ファイル圧縮」の画面が開いたら、まずは書庫形式を確認します。ZIPファイルの暗号化の場合は、ZIPが選択されているか確認してください。より高圧縮が可能な7z形式を選択することも可能です。 次に暗号化方式を確認します。7-Zipでは2種類の方式が利用できます。 ZipCrypt：昔からある一般的な方式。弱い AES-256：比較的新しい方式。強い とくに暗号化強度が要求されず、さまざまなところに配布する可能性がある場合は、ZipCryptを選択しておくの
AES 暗号化 ZIP 書庫 の評価 - EverQuestできない日記
[ AES 暗号化 ZIP 書庫 (AES Encryption) ] 対応ソフトの例 WinZip 11 (WinZip 社) SecureZIP Version 11.10.0022 (PKWARE 社) Explzh v.5.24 7-Zip 4.57 7-ZIP32.DLL Version 4.57.00.01 仕様：公開、暗号化処理部分は互換性のあるソースコードが公開されてます。 標準的な ZIP 書庫の圧縮データ部分だけを暗号化したものです。暗号アルゴリズムは Rijndael (ブロック・サイズ 128bit、鍵サイズ 128 / 192 / 256bit) で、CTRモードが使われています。Gladman 博士が WinZip 方式でファイルを暗号化する例のソースコードを公開してます。パスワードから暗号鍵を生成する際や完全性チェックには HMAC-SHA-1 が使われていま
OSSインストール時に変更すべき、7つのセキュリティ設定項目
こんにちは。皆様に安全・安心・快適なインターネットセキュリティ環境を提供すべく昼夜問わず活動中のモリイです。 突然ですが、皆さまはオープンソース・ソフトウェアを扱う機会はありますか? マイナビニュースの読者であることを考えると、各所で用いている方も多いのではないでしょうか。 しかし、オープンソース・ソフトウェアは基本的に「自己責任」で利用するものであるため、知識がない状態で使うことはリスクを伴います。特にシステムのセキュリティにおいてはそれが顕著です。 例えばデフォルトインストールを実行すると、必要のないパッケージやサービスが混入している場合があります。それらのパッケージの中には、脆弱性を含んでいたり、あるいはシステム稼働ポリシー上のセキュリティの観点から望ましくないものが存在していたりすることがあり、そのままの設定では危険です。 そこで本記事では、オープンソース・ソフトウェア(Linux
「SHODAN」を正しく使おう――IPAがレポート公開
情報処理推進機構は2014年2月27日、「増加するインターネット接続機器の不適切な情報公開とその対策」と題するレポートを公開した。 情報処理推進機構（IPA）は2014年2月27日、「増加するインターネット接続機器の不適切な情報公開とその対策」と題するレポートを公開した。インターネットに接続しているさまざまな機器を検索できるWebサービス「SHODAN」を用いて手元の機器を確認し、外部からの不要な通信を遮断するなど、適切な対策を取るために活用する方法を紹介している。 「Internet of Things」という言葉に代表される通り、PCやサーバー、ネットワーク機器以外にも、インターネットに接続されるオフィス機器や家電製品、組み込み機器が増加している。ガートナーの調査によるとその数は、2009年の9億台から2020年には260億台に達すると予測されている。 このようなオフィス機器、例えばデ
クレジットカードの情報盗むウイルス被害 NHKニュース
インターネットバンキングのパスワードがコンピューターウイルスによって盗まれ、預金を奪われる被害が過去最悪のペースで増えていますが、２か月ほど前から、クレジットカードについても同じ手口で情報が盗まれ、高額の買い物をされる被害が相次いでいることが分かり、カード会社などが注意を呼びかけています。 クレジットカード会社などによりますと、国内では、ことし４月ごろから、ネットバンキングだけでなく、クレジットカードの情報を盗み取るウイルスの感染が広がっているということです。 あるカード会社では、こうした手口による被害が、分かっているだけで２０件近くに上り、何者かが不正に、合わせて２００万円分ほどの買い物をしたということです。 ウイルスは、カードの利用明細の確認などを行うホームページにログインすると、別の偽の画面を表示し、利用者にカード番号や有効期限、セキュリティコードなどを入力させて、盗み取るということ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF] Electronの倒し方
nginxのserver_nameとSSLの設定についてのメモ
http://agilecatcloud.com/2015/11/11/android-malware-auto-rooting/
TechCrunch | Startup and Technology News
安全なPHPアプリケーションの作り方2014
