ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法
以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスしたURLに対して勝手に脆弱性をスキャンしてくれます。 ATTACK mode についてOWASP ZAP に追加された attack mode の概要
サーバー監視、セキュリティのトレンドなど最新の話題がいっぱい！ 「第23回さくらの夕べin大阪」レポート | さくらのナレッジ
2015年2月27日に、大阪で開催された「第23回 さくらの夕べin大阪」に参加してきました。 大阪では半年ぶりの開催で、100人近い方々が参加されました。 今回は、株式会社はてな(以下、はてな)のサーバー管理サービス「Mackerel(マカレル)」や、ウェブペイ株式会社の決済サービス「WebPay」についてご紹介します。 「Mackerelによる簡単サーバー管理入門」 はてなのCTO、田中慎司さんに「Mackerel」を紹介していただきました。Mackerelは、はてなが2014年9月にリリースしたクラウド型(SaaS)のサーバー管理ツールです。 サーバーを複数管理している個人や会社にとって、サーバーの管理や運用などの手間は面倒だし煩わしいものです。できれば、サーバーの保守にはあまり手間をかけたくないでしょう。 そんなニーズにマッチするサービスがMackerelです。 Mackerelは
NginxでHTTPS : ゼロから始めてSSLの評価をA+にするまで Part 1 | POSTD
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
画像データから不要なメタデータを一発で削除できる「JPEG＆PNG Stripper」
JPEG画像やPNG画像をドラッグ＆ドロップするだけで、データに含まれるメタデータをサクッと削除してくれるフリーソフトが「JPEG & PNG Stripper」です。スマートフォンやデジタルカメラで撮影した画像データに含まれるEXIF情報などを削除し、画質に一切影響を与えることなく容量の削減を行うことも可能です。 JPEG & PNG Stripper - www.SteelBytes.com http://www.steelbytes.com/?mid=30 JPEG & PNG StripperはWindows版が公開されており、インストールや使い方は以下のとおりとなっています。 ◆ソフトのダウンロード 「JPEG & PNG Stripper」はインストールが不要で、実行ファイルを開くだけですぐ使うことが可能です。まずは上記サイトの「Download」をクリックしてファイルをダウン
バッテリー切れ時にiPhoneの場所を通知する「FINAL SHOUT」を徹底解説 (1/2)
絶対になくしたくないiPhoneだが、飲み会でお酒が入ったりすると忘れがち。そんな時に役立つのが「iPhoneを探す」だが、バッテリー切れだと使えない。そこで今回はバッテリー切れのときに、メールやSNSにiPhoneのある場所を投稿できるアプリ「FINAL SHOUT」の使い方を紹介する。 iPhone紛失に気が付いたらすぐに探し出す 個人情報の塊であるiPhoneは絶対に紛失したくないところ。もちろん、高価なデバイスというのも重要。しかし、飲み会などでは意識が離れてしまい、忘れてしまうことがある。そんなときのために「iPhoneを探す」アプリは使えるようにしておきたい。とはいえ、夜の飲み会時にはバッテリーがピンチで、気が付いたときにはバッテリー切れを起こしているということも多い。そうすると、iPhoneを探すことはできない。そこで活躍するのが「FINAL SHOUT」。今回は、「iPho
フェイスブック、日本政府に初の利用者情報開示：朝日新聞デジタル
フェイスブックは１５日、２０１４年７月～１２月に世界各国の政府から寄せられた利用者情報の開示請求についての報告を公表し、日本政府から利用者の情報の開示を求められ、初めて応じたことを明らかにした。日本のどの政府機関の要請かは明らかにしていない。 フェイスブックはこれまでにも刑事事件の捜査などの際に、各国政府から利用者の個人情報や、投稿内容などの提出を求められてきた。同社はその開示状況を半年ごとに公表している。 ２０１４年には、米国で障害者補助の不正受給の捜査にからみ、「裁判所がフェイスブックに対し、約３８０人分の投稿内容などの提出を求めたが、このうちの３００人以上は起訴されなかった」とフェイスブック幹部が声明を発表するなど、大量の個人情報をひとつかみに入手しようとする政府のやり方を非難した。 今回、利用者について情報開示… こちらは有料会員限定記事です。有料会員になると続きをお読みいただけま
ベネッセの顧客情報23人分、紙に書き写して持ち出した疑い トランスコスモス元契約社員、コールセンターから
ベネッセの顧客情報23人分、紙に書き写して持ち出した疑い トランスコスモス元契約社員、コールセンターから ベネッセのコールセンター業務を委託しているトランスコスモスの元契約社員が、ベネッセの顧客情報23人分を不正に取得し、紙に書き写して外部に持ち出していた可能性。 ベネッセコーポレーションは3月17日、コールセンター業務を委託しているトランスコスモスの元契約社員が、ベネッセの顧客情報23人分を不正に取得し、紙に書き写して外部に持ち出していた可能性があると発表した。 昨年3月ごろから8月ごろにかけ、コールセンターで電話オペレーターを担当していたトランスコスモスの元契約社員が、ベネッセが業務委託の際に閲覧を許可した顧客23人分の苗字と電話番号（一部の顧客は氏名、住所、生年月日、所属先も含まれる）を、コールセンター施設内から持ち出した可能性があるという。 トランスコスモスによると、元契約社員は別
鍵を回してWebサービスや家電を操作 クラウド連携の鍵スイッチ「Hackey」
Wi-Fiを搭載し、物理的な動きでWebサービスや家電を操作できる鍵スイッチ「Hackey」をCerevoが発表した。 Cerevoは3月16日、Webサービスと連携する物理鍵スイッチ「Hackey」を発表した。鍵をひねることでクラウド連携した家電やWebサービスを操作できる。発売は今夏、価格は90ドル前後を予定する。 FacebookやTwitter、EvernoteなどのWebサービスと連携する「IFTTT」のレシピに鍵の動作を組み込むことができ、Wi-Fi経由でアクションを指示できる。帰宅した子どもがキーをひねって親に通知する、緊急時に安否を伝える――といった使い方ができる。 制御用APIを開発者向けに公開するため、ユーザーは対応サービスやガジェットを自由に開発可能。鍵の動きをトリガーとして送るだけでなく、Webからの情報を受け取る機能も搭載し、本体のLEDの色を変更できる。寝室のス
安全なウェブサイトの作り方改訂第7版の変更点と変わらない点
IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定
Google Appsに登録された28万件ものWHOIS情報が漏えい、非公開のはずの2013年中期以降の名前や住所がダダ漏れに
by Christian Ditaputratama Google Apps for Workに登録された名前・住所・メールアドレスといったドメイン情報は、個人情報非公開のオプションを選ぶことで本来なら秘匿され、一般公開されないはずなのですが、28万2000件以上のドメイン情報がWHOISに直接登録されていたことが分かりました。 Epic Google snafu leaks hidden whois data for 280,000 domains | Ars Technica http://arstechnica.com/security/2015/03/epic-google-snafu-leaks-hidden-whois-data-for-280000-domains/ Googleのパートナー企業であるeNomはドメイン管理ツールを提供しており、そのサービスの一つとして年に6％
専門家が泣く、セキュリティ9つの誤解と現実
専門家が泣く、セキュリティ9つの誤解と現実2015.03.15 10:006,423 satomi 脆弱性、ウイルス、不正侵入で人生台無し、国が危ない…というニュースの連続ですが、現実のリスクはいかほどのものなのか？ 専門家にセキュリティのウソ&ホントをずばり訊ねてみました。以下が回答集。小見出しは全部｢ホント｣の方です。 1. 強いパスワードで世のほとんどの攻撃は追っ払える 米Yahoo情報セキュリティ最高執行責任者のAlex Stamosさんは脆弱性を見つけ、ソフトウェアの穴をどう悪用するのか考えるのが仕事。極悪ハックから単純なソーシャルエンジニアリングによる詐欺まで、あらゆる手口のものを見てきました。そのキャリアでわかったのは、大体どのユーザーにも通用する簡単なソリューションがふたつあることです。ひとつは強いパスワード、あとひとつは2段階認証です。 マスコミは最もディープで最も高度な
「LINE」に深刻な脆弱性 外部から全トーク履歴を抜き出される危険性あり - THE ZERO/ONE
全世界で5億人以上が利用しているメッセージ・アプリ「LINE」に深刻なセキュリティ脆弱性が存在していたことが判った。この脆弱性を悪意ある攻撃者に突かれると、利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがある。LINEは3月4日に、この脆弱性を修正したバージョンを緊急リリースしている。利用者は自身のアプリが最新版にアップデートされているかどうかを至急確認したほうがいいだろう。 この脆弱性はサイバーセキュリティ・ラボのスプラウト（本記事掲載の『サイバーインシデント・レポート』発行元）が発見し、1月30日にソフトウェア等の脆弱性情報を取り扱うIPA（独立行政法人情報処理推進機構）に報告したものだ。IPAから2月2日に脆弱性の通知を受けたLINEは、2月12日に脆弱性の一部についてサーバー側で対策。3月4日のアップ
ウェブカメラ、ネットで丸見え３割 パスワード設定せず：朝日新聞デジタル
インターネットでつながるウェブカメラ（ネットワークカメラ）をめぐり、パスワードを設定するセキュリティー対策がとられていないため、商業施設や住宅の映像・音声を第三者がネット上で見たり聞いたりできることが朝日新聞の調べでわかった。調査の対象としたカメラの３割以上がこうした状態にあり、カメラを勝手に操作されたケースもあった。低いコストと手軽さで活用が進む一方で、「ネット社会」のリスクが浮き彫りになった形だ。 ウェブカメラも含めてネットにつながる全ての機器にはＩＰアドレス（ネット上の住所）が割り当てられており、国内には９千万以上ある。朝日新聞は昨秋以降、これらのＩＰアドレスを無作為にたどる方法で調べ、約１２５万のアドレスを抽出。先月末時点で２１６３台のウェブカメラがネットに接続されていることを確認した。 そのうえで接続状況を慎重に検証した結果、３５％にあたる７６９台がパスワードを設定することによっ
Amazonさん、Androidアプリを突然勝手化して大炎上
今朝ほどですが、ふと思い立ってNexus６のQuick Charge2.0対応のバッテリーチャージャー（１時間で80%まで充電できるのよ）買おうと思いまして、ズルトラからいつものAmazonアプリを立ち上げたのですが、驚きました。 いきなりこの告知・・・ あれ、Googleplayでアップデート来てるのかなと思い、チェックしたけど来てない・・・ で、試しにOK押すと アップデートボタンの画面になるんですが。これってAmazonのアプリ内なんですよね。Googleplayじゃない で、正直言いまして「Amazon、どこかに乗っ取られたか」と思いましたが、こういう経験も良いかなと（笑）、アップデート押してみた。 当然。コレ出る。 つまりAmazonアプリをアップデートするためには、 設定 → セキュリティ → 提供元不明のアプリ にいって 「提供元がPlayストアでないアプリのインストールを許
スマホやドアをノックするだけでカギを解錠＆ネット経由でリモート管理、工具なしで取り付け可能な「Sesame」
工具不要の2ステップで取り付け可能で、スマートフォンのアプリ操作のほかスマートフォン本体や扉のノック動作からカギを開閉できるようになるのが「Sesame」です。ゲストを許可すればユーザーの居場所に関わらず扉の開閉ができるので、非常時にカギがなくとも他の人に扉を開けてもらうことも可能で、もし許可していない人が部屋に入ろうとしたらアプリが教えてくれ、そのほか鍵の状態などを遠隔から確認できるという、非常に便利そうなアイテムになっています。 Sesame. Your key, reinvented. by CANDY HOUSE Inc. — Kickstarter https://www.kickstarter.com/projects/1425492550/sesame-your-key-reinvented Sesameの使い方や機能などは以下のムービーから確認可能です。 ガチャガチャとドア
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
エクスプローラーの不調を招いていた更新プログラム「KB3033889」の修正版が公開
OpenSSLにまた重度の欠陥、修正アップデートは3月19日にリリース
NTT Comが考える「IoTセキュリティのフレームワーク」とは (1/2)
Engadget | Technology News & Reviews
