続パスワードの定期変更は神話なのか - ockeghem's blog
2008年2月にパスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記を書いた時の反応は、賛否両論という感じだったが、その後、twitterでのつぶやきなどを見るに、「パスワードは定期変更しなくてもいいんじゃない?」という意見は、セキュリティの専門家にも多くなっているような印象を受けている。 そのよう状況の中、以下の記事を読んだ。 辞書攻撃がうまくいかない場合、クラッカーは総攻撃（ブルートフォース攻撃とも言います）を仕掛けます。【中略】仮に1秒間に1000万回の計算ができるとすれば、パスワードのクラックに要する時間は1年にもなりません。どんなに強固なパスワードであっても、1年ももたないということになります。だからこそ、3カ月に1回とか半年に1回はパスワードを変更する必要があるのです。（2ページ目より引用） http://www.itmedia.co.jp/enterp
XSS Theory - InfoSec_2008_Threat_CH4.pdf (application/pdf オブジェクト)
81 XSS Theory Solutions in this Chapter: ■ Getting XSS’ed ■ DOM-based XSS In Detail ■ Redirection ■ CSRF ■ Flash, QuickTime, PDF, Oh My ■ HTTP Response Injection ■ Source vs. DHTML Reality ■ Bypassing XSS Length Limitations ■ XSS Filter Evasion Chapter 4 � Summary � Solutions Fast Track � Frequently Asked Questions 472_InfoSec08_04.qxd 9/5/07 4:33 PM Page 81 Introduction In order to fully understa
妹認証 - 妹がBOTからプログラムを守る
妹認証とは 妹認証は、PHP用のCAPTCHAモジュールです。他のCAPTCHAモジュールとは違い、 非常に斬新なCAPTCHAです。妹認証のコンセプトは「人間的対話による認証」です。 これはネタではありません。極めて真面目なBOT対策用モジュールです これは相手が人間かどうなのかを判断する目的で開発されました。 が、一部ネタも混じっていることを白状しまｓ 質問文と回答文に日本語を完全にサポートします。 質問文はPHP+GD+TTFフォントで画像出力を実現しています。 また、難読化の設定も存在します。（未完成です） また、PHP初級者でもかなり簡単に設置できます。 質問文を含め「妹」はパッケージとして自由に変更可能です。 標準でバンドルされている「れいにゃ」パッケージを元に、 自分のオリジナルキャラクターのパッケージを作るのもいいと思います。 「妹」に限らず「姉」や「弟」・・・・・・・・・
Cryptmountでファイルシステムとスワップ空間を保護する | OSDN Magazine
Cryptmount を使えば、ファイルシステムとスワップ空間の両方を暗号化できる。暗号化されたファイルシステムは、通常のファイルシステムと同じように（たとえば「/dev/sda2」を使って）ブロックデバイスに格納できるほか、別のファイルシステムに属する普通のファイル内に格納することもできる。後者の方法が特に役立つのは、パーティションテーブルを変更したりLVM（Logical Volume Manager）を使ったりせずに暗号化されたファイルシステムを扱いたい場合だ。Cryptmountではスワップ空間も暗号化できるので、暗号化されたファイルシステムに含まれる情報のセキュリティが、プロセスをハードディスクにスワップアウトするLinuxカーネルによって不用意に損なわれることもない。 Cryptmountで設定した暗号化は、Linuxカーネルのデバイスマッパのレベルで行われる。これは、サポート
こめんと(2008-04-22) - MutualTestFox 公開
■ [Misc] 怒涛 うわー、なんか無茶苦茶忙しかった……。 とりあえず2件の発表を終えました。やること溜りまくりですねぇ。 ■ [Work] Fail-Safe C release 1 公開 というわけで、1つ目の発表は Fail-Safe C の正式版公開 です。 最初に函館で発表したのが2001年のJSSST大会*1 で、かれこれもう7年もかかってしまいましたので、プレスリリースは自分なりの1つの纏めとケジメのつもりです。 協力して頂いた皆様、本当にありがとうございました。 Slashdot をはじめいろいろ連絡とかバグレポとかフィードバックを頂いた皆様、対応が遅れていてすみません。 有難く早急に取り組ませて頂きたいと思います。 Fail-Safe C の研究を始めるに当たって「C言語を対象にする」と決めた時点で、 実用に供するというのは大前提の1つです。これからも Fail-Sa
aguse.jp: ウェブ調査
あやしいサイトや知らないサイトを訪れる前に、URLを入力するだけでサイト背景情報を調査したり、迷惑メールの送付経路を表示したりすることが出来ます。
Greasemonkeyの共通な落とし穴を避ける - minghaiの日記
Greasemonkeyの過去においてのセキュリティ上の問題の解説。 Greasemonkeyだけに限らず、JavaScriptによるユーザ拡張を作成している全ての方に対して一読の価値があるドキュメントだと思われます。 原文：O'Reilly Media - Technology and Business Training Greasemonkeyの共通な落とし穴を避ける Greasemonkeyのセキュリティの歴史があなたの今にどう影響するのか (著) Mark pilgrim "Greasemonkey Hacks"の著者 2005/11/11 昔々、あるところにセキュリティホールがありました。（これは普通のおとぎ話ではないからそのまま読んでください。） Greasemonkeyのアーキテクチャは最初に書かれて以来大幅に変更されてきた。Version0.3は初めて広範囲に人気を得たバー
OpenIDをとりまくセキュリティ上の脅威とその対策 － ＠IT
前回はConsumerサイトを実際に作る際のプログラミングに関してお話ししましたが、今回はOpenIDに関するセキュリティについて考えてみます。 今回取り上げるトピックとしては、 などを段階的に説明していきます。IdPの構築方法を知る前にOpenIDプロトコルのセキュリティに関して熟知しておきましょう。 OpenIDプロトコルにおける通信経路のセキュリティ ここまで詳細に解説してきませんでしたがOpenID認証プロトコルのフェイズにおいて、どのようにセキュリティ上の安全性を担保しているかを解説しましょう。 まずはassociateモードを正常に実行するSmartモードの場合です。 ConsumerはユーザーからのClaimed Identifierを受け取ると、associateのキャッシュが存在しない場合は新規にIdPに対してassociateモードのリクエストを行います。第3回で「as
Takayuki Nakamura's blog: 名前ベースのVirtualHostでそれぞれのSSLサーバ証明書を使う
2007年7月4日 名前ベースのVirtualHostでそれぞれのSSLサーバ証明書を使う ＃なんだかんだしてたら、半月経ってしまった ＃来週になったら、ちゃんと再開 『Name-based SSL virtual hosts』 より 名前ベースのVirtualHostでSSLを使う場合、以下の方法をとれば、それぞれのVirtualHostごとの証明書を使うことができます。 ワイルドカード証明書を使うCN=*.example.com という設定の証明書を使えば、www1.example.com と www2.example.com で共通のサーバ証明書を使うことができます。 subjectAltNameを使う 証明書の subjectAltName に別名としてVirtualHostのDNS名を書いておきます。サーバにセットする証明書は１つですが、証明書内の別名をチェックすることで、「証明
Security Entries by Date - (CGISecurity.com)
Looking for something else or having a hard time finding a story? We recently moved things around so please use the search bar on the right!
OOo Password Crackerを使って再考するOpenOffice.orgのパスワード保護の安全性 | OSDN Magazine
OpenOffice.orgファイルに自分で施しておいたパスワードを忘れてしまった場合、あなたならどうするだろうか？ 一番お手軽な方法はOOo Password Crackerをダウンロードすることだろう。これはプロテクトのかけられたOpenOffice.orgドキュメントのパスワードを解読するためのマクロである。 OOo Password Crackerで採用されている解読方式は、辞書を用いた総当たり式のブルートフォースアタックであり、そのため処理速度は遅いが、パスワード保護されたドキュメントの解読ツールとしてはそれなりに有効に機能する。ただしこのマクロを実用に供するには、事前の準備もある程度必要となる。 OOo Password Crackerはスプレッドシートに記述されたマクロという形式で配布されているが、パスワード保護されたファイルを解読させるには、辞書用のディレクトリを用意してお
セキュアプログラミング・テクニック
本ページは、このようなセキュリティ上の問題が存在する事を衆知徹底させる事を目的とする。 衆知徹底する事で、すべてのコンピュータ・ソフトウェアからこのセキュリティ問題を駆逐し、コンピュータ・ソフトウェア環境をより安全なものとなる事を期待する。 Link IPA ISEC セキュア・プログラミング講座 IPA ISEC セキュア・プログラミング講座2 書籍「セキュアWebプログラミング Tips集」 JPCERT/CC クリックジャッキング対策 ～X-FRAME-OPTIONSについて～ WizardBible 45 (SSL の負荷試験記事あり)、[seasurfers:0843] も併せて読むとよい 脆弱性体質の改善 - C/C++セキュアコーディング入門 (1) 脆弱性体質の改善 - C/C++セキュアコーディング入門 (2) 脆弱性体質の改善 - C/C++セキュアコーディング入門 (
セキュアなLinux環境への近道――Damn Vulnerable Linuxの無防備さを極めろ！ | OSDN Magazine
Damn Vulnerable Linux（DVL）には、セキュアなLinuxディストリビューションであれば備えていては“いけない”あらゆる要素が取りそろえられている。DVLの開発陣は、セキュリティホールの原因となる穴だらけの旧式ソフトウェアを意図的に寄せ集めることで、外部からの攻撃に対して無防備極まるLinuxディストリビューションをわざわざ生み出したのだ。もっともこのディストリビューション、一般ユーザのデスクトップ環境で使われることを前提としている訳ではなく、コンピュータセキュリティ用の教材として作られたのであるが。 DVLは、1枚のライブCDに収められた容量150MBのISO形式で配布されている。その母体とされたのは、コンパクトなLinuxディストリビューションとして人気の高いDamn Small Linux（DSL）であるが、その選定理由はこうしたサイズの小ささだけではなく、2.6
高木浩光＠自宅の日記 - 携帯電話向けWebアプリの脆弱性事情はどうなっているのか
■ 携帯電話向けWebアプリの脆弱性事情はどうなっているのか WEB+DB PRESS誌のVol.37に「携帯サイト開発 実践テクニック 2007」という記事が掲載されているのだが、そこにこんな記述があった。 端末認証 登録が必要なサイトの場合，利用する際にはログインが必要です．ID/パスワードを毎回入力するのでは，携帯の場合では特に面倒です． そこで携帯ならではの認証方法として，現在の端末では取得が容易にできる端末自体の情報（端末ID）を利用します． （略） セッション PCサイトでセッションを使う場合は，通常セッションIDをCookieに保存しますが，携帯ブラウザではCookieにデータを保存することができません．そこで携帯サイトでCookieを使う場合はURLにセッションIDを埋め込むことになります． セッションIDをGETで渡す セッションIDをGETで渡す場合は，PHPの設定ファ
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://utf-8.jp/public/20081011/h6.html?file=data.txt
sbox: Put CGI Scripts in a Box
https://www.goolag.org/
Phishers and Malware authors beware!
CodeZine：Rubyを使ってWebアプリケーションの脆弱性を早期に検出する（Web, テスト, Ruby）