サイバー犯罪：「ウイルス作成罪」創設へ 刑法改正を検討 - 毎日ｊｐ(毎日新聞)
コンピューターウイルスを使って個人情報を流出させるなどのサイバー犯罪を阻止するため、法務省はいわゆる「ウイルス作成罪」を新たに創設する刑法改正の検討に入った。ウイルスを使った犯罪が相次ぐ一方、これまでウイルスの作成や頒布を直接罪に問える法律がなかった。同種の事件は時間の経過とともに被害が飛躍的に拡大する恐れが強いことから、法務省は早期の法案提出を目指す。 法務省が創設を検討しているのは、ウイルスを作成したり、ばらまくことを禁止する「不正指令電磁的記録作成罪」（仮称）。懲役刑を科すことも可能とする。 警視庁は５月、ファイル共有ソフトに個人情報を流出させるウイルスを仕掛け、被害者から個人情報の削除を理由に現金をだまし取ったなどとしてインターネット広告会社役員らを詐欺容疑で逮捕。今月にはパソコン内のファイルを勝手に上書きする「タコイカウイルス」を送りつけてパソコンを感染させ使用不能にしたとして、
「OAuth認証が通ると、アプリ作者からはDMも何もかも見放題」という書き方は誤解を招く - aruto's diary
”なる4”の騒ぎの件で、「OAuthの危険性がわかっているのか？twitter関連アプリの作者は何でもできるんだぞ。たとえば、DMは見放題送り放題だ」という意見を良く見かけるのですが、誤解を招く表現なので、twitterクライアント作者の立場から捕捉しておきます。 （TwitterにおけるOAuth認証についての話です。本文の記述から判別できるとは思いますが、念のため。他サービスの場合、事情が異なってくる場合があります） 少なくともデスクトップで動作するアプリは、これらのリスクは（比較的）低い もちろんスパイウェア等は、この限りではありません。 OAuth認証の流れを図にしてみました（あくまで「おおまかな」図です。色々と、端折っています）。 うだうだと書かれていますが、大事なのは「アクセストークン」です。これさえ覚えてもらえれば、他は全て忘れてしまってかまいません。 twitter関連アプ
オレ標準JavaScript勉強会発表資料 - ockeghem's blog
Loading...での発表に用いた資料です。 お役に立つかどうかは心許ないのですが、ドキュメントの一部を希望されていた方もおられましたので、slideshareで公開します。 ガラケーで楽しむオレJSの勧めView more presentations from Hiroshi Tokumaru.
携帯電話事業者に学ぶ「XSS対策」 - ockeghem's blog
NTTドコモとソフトバンクモバイルは、フィーチャーフォン（いわゆるガラケー）にてJavaScriptの対応を始めています。JavaScriptに対応すると、クロスサイト・スクリプティング(XSS)脆弱性の懸念が高まりますが、両社は独自の手法によりXSS対策をしている（しようとしている）挙動が観測されましたので報告します。この内容は、オレ標準JavaScript勉強会でネタとして使ったものです。 NTTドコモに学ぶ「XSS対策」まず、サンプルとして以下のようなXSS脆弱なスクリプトを用意します。 <?php session_start(); ?> <body> こんにちは<?php echo $_GET['p']; ?>さん </body>これを以下のURLで起動すると、IE7では下図のような表示になります。 []http://example.com/xss01.php?p=山田<scrip
初心者Webアプリケーション開発者がチェックすべき情報源 - ハニーポッターの部屋
初心者Webアプリケーション開発者がチェックすべき情報源を集めてみた。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。 @ikepyonさんのご指摘により「LASDEC ウェブ健康診断」を追記した。 はてなブックマークの関連リンクによさそうな情報源があったので追記しました。それから、カテゴリを作りました。 ■Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html 安全なウェブサイトの作り方(全92ページ、2.09MB） セキュリティ実装 チェックリスト（Excel形式、33KB） 安全なSQLの呼び出し方（全40ページ、714KB） ■Webアプリケーション開発 セキュア・プログラミング講座 http://www.ipa.go.jp/security/awareness/ve
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
うさんくさいサービスを回避するためのチェックポイント
先日、ペニーオークションについてまとめてみたが、自分の目から見て明らかに危険なサービスなのに、お金を払ってしまう人が一定の割合で存在しているのはどうしてだろうと考えていた。これは信頼できるサイトかどうかの判断基準が人によって大きく違うのではないだろうか？ というわけで、自分がよくチェックしている箇所をリストアップしてみたので参考にするか、ネットストーカーキモいとつぶやいてください。 ここで上げたチェックポイントをすべて使用するケースはほとんどないと思うが、このあたりを確認しておけばネットで変な悪徳商法には引っかかりにくいよ、というまとめだ。普段から詳しく確認しておくようにしておけば、うさんくさいサービスに対する嗅覚が鍛えられてすぐに危険度を察知できるようになる。実際、ここまで詳しく調べる必要に迫られることはほとんどない。 運営者情報は掲載されているか？ ・なし→問題外 ・あり→掲載されてい
改造アイフォーンにウイルス NHKニュース
改造アイフォーンにウイルス 6月26日 17時21分 高機能な携帯電話として人気を集めているアップルの「アイフォーン」を改造して使っている利用者を狙ったコンピューターウイルスの被害が、国内で起きていることがわかり、専門家は注意を呼びかけています。 アイフォーンは、パソコン並みの高い機能を備えた「スマートフォン」と呼ばれる携帯電話の一種で、これまでに全世界でおよそ５０００万台が販売され、人気を集めています。東京・千代田区のセキュリティー会社によりますと、アイフォーンの利用者を狙ったコンピューターウイルスの被害が、今月に入って初めて報告されたということです。ウイルスに感染するのは、コンピューターに詳しい利用者などの間で流行しているプログラムを勝手に改造したアイフォーンに限られますが、いったん感染すると、外部から電話を操作されたり、電話帳などの個人情報を盗まれたりするおそれがあるということです。
Twitterの連携アプリを「許可する」ボタンのリスク - Zerobase Journal
TwitterのDM（ダイレクト・メッセージ）機能はメールよりも気軽で便利な連絡手段として普及しつつあります。でも、気をつけてください。あなたが技術者のようにTwitterのことを理解していないのであれば、DMが盗み見られる可能性は、おそらくあなたが考えている以上です。 〔2011年5月追記：個々のアプリに対して付与できる権限を、より細かく制御できるようになりました（参照：Twitterブログ: ミッション: アプリ認証でのアクセス権）。さらには連携アプリの一覧画面もありますので、プライバシーに関する機能が充実しました。詳しくはサードパーティアプリケーションとの連携方法もご覧ください。〕 〔註：本稿はなるべく多くの人に読んで頂けるように、易しく書きました。このように「註」欄で詳しい説明を書いていますが、詳しく知りたい人向けですので、読み飛ばして頂いても構いません〕 「DMで大事な話をするこ
今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた
「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月
Twitterで大規模なアカウント乗っ取り、1000ユーザー以上が被害
フィンランドのセキュリティ企業エフセキュアは2010年6月21日、ミニブログサービス「Twitter」において、1000以上のアカウントが乗っ取られたことを明らかにした。攻撃者により、特定の文字列がツイートされたという。 エフセキュアによれば、発表に至るまでの12時間に、1000件以上のTwitterアカウントが乗っ取られたという。いずれのアカウントでも、「Hacked By Turkish Hackers」とツイートされている（図）。 アカウントがどのようにして乗っ取られたのかは、現時点では不明。エフセキュアが調べたところ、乗っ取られたアカウントのほとんどは、イスラエルのユーザーのアカウントだった。このため、TwitterのユーザーIDやパスワードを盗む目的の、ヘブライ語のフィッシング詐欺が横行している可能性があるとしている。 エフセキュアの情報
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について。 当事者からの報告とそれに関連した高木先生などのつぶやきをまとめています。不完全かつ進行中です。
Amazon EC2でサーバを起動したらアタックされた！ので、運用前にチェック・対策しましょうという話 - 元RX-7乗りの適当な日々
クラウドを使っていたら、こんなことがありました。(実話) Amazon EC2用の固定IPアドレス(Elastic IP Address)を取得する Amazon EC2でサーバ(インスタンス)を起動する 先ほど取得した固定IPアドレスを、EC2のサーバに割り当てる EC2のサーバでApacheを起動する Apacheのプロセス数がいきなり250個オーバーになる(MaxClientsの値にぶつかる) Apacheのログを見ると、常識を超えた連続HTTPアクセス(DoSアタック)を受けていることが判明 EC2で、別の固定IPアドレスを取得する 取得した別の固定IPアドレスを、(アタックを受けている)EC2のサーバに割り当てなおす 静けさを取り戻す ← imkk いやー、噂には聞いていましたが、何気に初めて遭遇しました。 クラウドサービス(IaaS等)では、別のユーザが以前に利用していたIPア
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な
XSSの攻撃手法いろいろ - うなの日記
html5securityのサイトに、XSSの各種攻撃手法がまとめられているのを発見せり!ということで、個人的に「お!」と思った攻撃をサンプルつきでご紹介します。 1. CSS Expression IE7以前には「CSS Expressions」という拡張機能があり、CSS内でJavaScriptを実行できたりします。 <div style="color:expression(alert('XSS'));">a</div> 確認 @IT -［柔軟すぎる］IEのCSS解釈で起こるXSS で詳しく解説されていますが、CSSの解釈が柔軟なことともあいまって自前で無害化するのはなかなか困難。以下のようなコードでもスクリプトが実行されてしまいます。 <div style="color:expr/* コメントの挿入 */ession(alert('XSS'));">a</div> 確認 <div s
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【2ch】ニュー速VIPブログ(`･ω･´)
Engadget | Technology News & Reviews
PHPでのセキュリティ対策についてのメモ - Liner Note
Reverse engineering Charange 2008 -イベント情報：NetAgent Co., Ltd.
SQLインジェクション - Wikipedia