第9回 文字コードが引き起こす表示上の問題点［前編］ | gihyo.jp
文字コードが引き起こす問題点は、これまで説明したような比較の一致・不一致といったソフトウェアの処理上のものだけでなく、人間に対する視覚的な効果という点でも強く影響を与え、攻撃者にとっての強力な道具となることがあります。 今回および次回で、そのような文字コードが引き起こす視覚的な問題点を紹介します。 視覚的に似た文字 見かけのよく似た文字は、フィッシングなどによく利用されます。典型的な例としては、アルファベット小文字のl（エル）と数字の1などがあります。たとえば、http://bank1.example.jp/ というURLのオンラインバンクがあったとすると、攻撃者は http://bankl.example.jp/ というURLを使ってフィッシングを企むということは容易に想像できると思います。 もちろん、収録している文字数が増えれば増えるだけ、このように見かけのよく似た文字が存在する率も高
匿名通信システム「Tor」を使うのに知っておくべき7つのこと
By quinn norton Tor(トーア)はIPアドレスを相手に知られることなくインターネットに接続したり、メールを送信したりできる匿名の通信システムです。世界的に有名なBlack Hatセキュリティカンファレンスでは、Torの暗号化を無効にしてしまう内容の講演が、講演者の在籍する大学の弁護士による要望によってキャンセルされたこともあり、セキュリティ業界に波紋を広げました。インターネットに詳しい人ならよく知っているTorですが、名前を聞いたことはあるけども実際はよく知らない人や、存在自体を知らない人がたくさんいるとのことで、デジタル社会の自由な権利について活動している電子フロンティア財団が、「Torについて知っておくべき7つのこと」を公開しています。 7 Things You Should Know About Tor | Electronic Frontier Foundation
大量のパスワードを暗号化管理し一発で自動ログインできるフリーソフト「LoginCode」
Internet ExplorerなどにAmazon･Twitterのパスワードを保存している人でも、ネットバンキングなどセキュリティに厳しいサイトでは保存できずパスワード忘れてしまうことがあると思います。そんなときに、ログインパスワードを一つだけ覚えておけば、それ以上覚える必要がなくなり、ログインID･パスワードを暗号化して保存でき、登録済みのサイトへ自動ログインが可能になる無料のソフトが「LoginCode」です。インストール･ログインIDとパスワードの登録･自動ログインなどは以下から。 LoginCode - Password Manager that gives you Safety on the Web http://logincode.com/content/download.php ◆インストール 上記サイトの「Download」をクリック。ここでは、Windows 64-b
input type = password autocomplete = off は使ってはいけない
2016/11/18にBurp Suite Japan LT Carnivalで登壇した時の資料です。
IEに重大な脆弱性、サポート終了のWindows XPは修正パッチの予定なし - GIGAZINE
By tim_d Internet Explorer 6から11までの全バージョンに関わる脆弱性の存在をMicrosoftが発表しました。対象OSはWindows 8.1やWindows Server 2012などほぼすべてのWindows OSで、当然、2014年4月9日にサポートが終了したWindows XPも含まれていますが、マイクロソフト セキュリティ アドバイザリの適用はありません。 Microsoft Security Advisory 2963983 https://technet.microsoft.com/ja-jp/library/security/2963983 New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks |
本格化するMITB攻撃に備え、マイナンバーカードにトランザクション署名を
2013年以降、マルウェア感染による不正送金被害が国内でも増加している。警察庁のまとめによると、ウイルスに感染してIDやパスワードを盗み取られ、他人の口座などに不正送金される被害は、2013年は前年の約14倍に当たる1325件に上った。2014年に入ってもその傾向は変わらず、2月末の時点で500件、約6億円に上る被害が生じているという。 不正送金で、最近増えているとされるのが「Man-in-the-Browser」（MITB）と呼ばれる手法だ。被害者のPCに侵入したマルウェアが、オンラインバンキングなど特定のページにアクセスしたときにだけ動作してWebページの表示に改ざんを加え（＝Webインジェクション）、IDやパスワード情報を盗み取ったり、送金先口座を変更してしまったりする。 産業技術総合研究所が2014年3月13日に開催した「第2回 セキュアシステムシンポジウム」において、同研究所の高
Firefox、プラグイン不使用に向けた対応強化 | マイナビニュース
掲載当初、「Firefox、プラグイン廃止へ」というタイトルの下、「プラグインを削除する方向で作業を進めている」と記述しておりましたが、誤りであったため修正いたしました。ご迷惑をおかけした読者の皆様ならびに関係各位に深くお詫び申し上げます。 Mozillaは「Mozilla Security Blog - Update on Plugin Activation」において、セキュリティ強化を目的として、Firefoxのプラグイン(メディアの再生などで必要になるソフトウェアの追加機能)不使用を強化する方向で作業を進めていることを伝えた。 Firefoxでは以前から対応を進めており、現在のバージョンではプラグインはデフォルトで無効。プラグインの使用が必要になるページを開くとプラグインを有効にするかどうかをたずねる「click-to-play」という機能が動作する仕組みになっている。記事ではWeb
Google Chromeが最も安全なWebブラウザ――Accuvant LABS調べ
セキュリティコンサルティング企業の米Accuvant LABSが12月9日（現地時間）に発表したWebブラウザのセキュリティに関する調査結果によると、米GoogleのGoogle Chromeが最も安全なブラウザだという結論に達したという。 この調査では、Google Chrome、米MicrosoftのInternet Explorer（IE）、MozillaのFirefoxに関し、複数の観点から安全性を比較した。従来の調査に多い、脆弱性の報告数やURLブラックリストの比較ではなく、脆弱性攻撃への対抗策の分析・比較に重点を置いたという。 同社は、この調査にはGoogleが資金を提供しているが、結果はAccuvant独自のデータに基づいた客観的なものだとしている。 サンドボックス、プラグインのセキュリティ、JITコンパイラの強度、ASLR（アドレス空間配置のランダム化機能）、DEP（データ
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
IEのゼロデイ攻撃、日本のメディアサイトなどが標的に
米MicrosoftのInternet Explorer（IE）に発覚した未解決の脆弱性を突いて、日本国内の組織を狙った攻撃が発生しているという。米セキュリティ機関のSANS Internet Storm Centerは9月20日、攻撃の拡大を受けて警戒レベルを1段階引き上げ、対策を呼びかけた。 Microsoftは9月17日に公開したセキュリティ情報で、IE 8と9を狙って「限られた件数の標的型攻撃」が発生していると伝えた。セキュリティ企業のFireEyeは、この攻撃が日本国内の組織を狙ったものであることを確認したと報告。Kaspersky Labのニュースサービスthreatpostによると、日本の複数の人気メディアサイトが不正侵入されたほか、政府機関、IT企業、メーカーなどのシステムにマルウェアが感染しているという。 FireEyeの9月21日のブログによれば、攻撃は8月19日ごろか
Chrome などで保存したパスワードが丸見えだから危険とか言われている件について
Google Chrome では設定画面からブラウザに保存してあるパスワードを簡単に見ることができて危ないっていう件について誤解されていそうな点をまとめてみたいと思います。 ソフトウェア開発者の Elliott Kember 氏が自身の Blog に「Chrome's insane password security strategy」 というタイトルで指摘する記事を書き、日本ではギズモード・ジャパンで翻訳記事が上がったことで話題になった、「Google Chrome では設定画面からブラウザに保存してあるパスワードを簡単に見ることができて、マスターパスワードの設定もないから危ない」 っていう件。 Chromeでは自動保存のパスワードが丸見え。サーッと血の気が引いたわ : ギズモード・ジャパン Chromeブラウザの「パスワード丸見え」問題にGoogleが釈明 ： ITmedia ニュース
IE6を永眠させるべき10の理由
3月4日、Internet Explorer（IE）6を埋葬するために、100人もの人が米コロラド州デンバーに集まった。この葬式は、10年近く生き続けてきた同ブラウザの、長々と引き延ばされていた終わりを示す出来事となるだろう。そしてこの葬式の直後には、GoogleがYouTubeでIE6のサポートを終了する。 IE6に永遠にさよならを告げたい人には残念なことだが、別れはすぐには訪れないだろう。同ブラウザは世界中のWindows XPユーザーや、レガシー製品に依存している企業に広く使われている。だからといって、引退させるべきではないということにはならない。IE6は長い間、批判の的になってきた。市場において、セキュリティ問題を引き起こしている最悪の「犯人」の1つとなっている。 最悪の製品にも義理立てを続けることで悪名高いMicrosoftでさえ、IE6を使い続けるよりも、IE8にアップグレード
「IE6は9年前の腐った牛乳」――Microsoftがアップグレード呼び掛け
9年前にリリースされたInternet Explorer（IE）6を使うのは、9年前の腐った牛乳を飲むようなものだ――Microsoftの豪法人が、Webブラウザのアップグレードを促すキャンペーンを実施している。 「IE6は2001年にリリースされたときは、最新のセキュリティ機能を備えていた。その後インターネットは進化し、IE6のセキュリティ機能は時代遅れになった」。Microsoftはキャンペーン特設サイトでこのように述べ、新しいセキュリティ機能を備えたIE8への乗り換えをIE6ユーザーに勧めている。 特設サイトでは、オンライン詐欺やWebブラウザのセキュリティに関する調査結果や、IE8のセキュリティ機能を紹介し、オンライン詐欺から身を守るためにIE8に乗り替えようと呼び掛けている。また「知り合いにIE6を使っている人がいたら教えてほしい」と、友人の名前とメールアドレスを提供するよう呼び
Same-Origin Policy とは何なのか。 - 葉っぱ日記
ちょっと凝ったWebアプリケーションを作成していたり、あるいはWebのセキュリティに関わっている人ならば「Same-Origin Policy」(SOP)という言葉を一度は聞いたことがあると思います。日本語では「同一生成元ポリシー」あるいは「同一生成源ポリシー」などと訳されることもありますが、個人的には「オリジン」は固有の概念を表す語なので下手に訳さず「同一オリジンポリシー」と書いておくのが好きです。 さて、この「オリジン」とは何なのかという話ですが、これは「RFC 6454 - The Web Origin Concept」で定められており、端的に言うと「スキーム、ホスト、ポート」の組み合わせをオリジンと定め、それらが同じものは同一のオリジンとして同じ保護範囲のリソースとして取り扱うということです。 例えば、http://example.jp/fooとhttp://example.jp:
ブラウザにファイルをドロップしてはいけない - ぼくはまちちゃん！
こんにちはこんにちは！！ 先日、CROSS 2013っていう、エンジニア向けのビール飲み放題のイベントに行ってきました！ そこの「HTML5×セキュリティ」っていうコーナーで、ちょっと喋ってきたんですが、 その時の小ネタを紹介しておきます。 最近、ブログとかのWebサービスで写真をアップロードする時に、 ファイルをドラッグ＆ドロップするだけでできたりしますよね。 いちいちダイアログから選ばなくていいから便利です。 こんなやつ。 この手の仕掛けって、ドラッグ時にボーダーカラーを変えたりして 「いまドラッグ＆ドロップ状態ですよ〜」ってわかりやすく表示されますが、 それって別に、ブラウザが警告の意味で出してるんじゃなくて、 あくまで、Webサービス側が親切で表示してるだけなんですよね。 ってことは ・ドラッグされても特にボーダーラインなどを表示せず ・画面上のどこでもドロップを受け入れるようにし
Mozilla Re-Mix: [AutoCopy][Fasterfox Lite]などのFirefoxアドオンが買収され現在の所有者があらゆる情報を収集している件。
Firefoxユーザーなら[AutoCopy]、[Fasterfox Lite]などといった有名かつ人気アドオンのことはご存じかと思います。 実はこれらアドオンはいつからか所有者が変更されており、現在の所有者はアドオン利用者のブラウジング情報を収集しているという事実が判明しています。 現所有者は[wips]というウェブ分析企業となっており、[AutoCopy]、[Fasterfox Lite]利用者は、この企業にOS情報やブラウジングに関する履歴、訪問日時、滞在時間などが送信されるという恐ろしいことになっています。 これら情報収集関しては[wips]に明記されてはいますが、AMOにはなんら情報は記載されておらず、ユーザーはアドオン所有者が変わったことやプライバシー情報が垂れ流しになっていることさえ気が付かないような事態となっています。 この件に関してはすでに各アドオンのレビュー欄や、国内外
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アダルト動画をタップ→スマホブラウザーを乗っ取られ、登録料金9万9800円要求 日本のアダルトサイトで“新手”のワンクリック詐欺登場
Google、“Chrome ウェブストア”以外のChrome拡張機能をブロックする方針を明らかに