正しいウェブページの代わりにエラーページを強制表示させる新型サイバー攻撃「CPDoS」が発見される
ケルン工科大学の研究チームが、コンテンツ・デリバリ・ネットワーク(CDN)で配信されているウェブページの代わりにエラーページを強制的に表示させる新型のサイバー攻撃「Cache Poisoned Denial of Service(キャッシュ汚染型DoS攻撃、CPDoS)」の存在を明らかにしました。 CPDoS: Cache Poisoned Denial of Service https://cpdos.org/ CDNは、ウェブ上で表示されるコンテンツのデータ(キャッシュ)を世界中のサーバー上に分散させ、ユーザーが地理的に近い場所に存在するサーバーからデータにアクセスすることが可能にすることで、データ転送を高速化・安定化させるというシステムです。CDNはデータがサーバー上に分散して保存されるため、元のサーバーがダウンしていても別のサーバーからデータにアクセスできようになります。 そんなC
JVNVU#98433488: HTTP/2 の実装に対するサービス運用妨害 (DoS) 攻撃手法
HTTP/2 通信の処理は、HTTP/1.1 通信の処理と比較して多くのリソースが必要であり、RFC7540 の Security Considerations セクションにおいても、サービス運用妨害 (DoS) 状態に関する検討が行われています(10.5. Denial-of-Service Considerations)。しかし、どのように対策すべきかは実装者にまかされており、これが以下の問題につながっています。 Data Dribble - CVE-2019-9511 攻撃者は複数のストリームを通じて大きなサイズのデータをリクエストし、ウィンドウサイズやストリームの優先順位を操作して、データが 1 バイト単位で処理されるように仕向けます。これらのデータを効率的に処理できなければ、CPU, メモリ、もしくはその両方が大量に消費され、サービス運用妨害 (DoS) 状態が引き起こされる可能
SSL Pulseデータの推移 (SSL Pulse Trends)
SSL Pulseのサイト評価グレードの分布の推移 SSL Pulse ではSSLの設定の安全レベルであるグレードをAからFで評価しています。 その分布の推移をグラフにしました。2014年2月には大きく評価方法が変わったようです。 その途中でも脆弱性の評価項目が随時追加され、評価値が見直されているようです。 SSL/TLSに関連した脆弱性の未対応推移 RC4ストリーム暗号の危殆化やPOODLEの影響など、公開された脆弱性の影響を受けるサイトの比率をグラフにしています。上に行くほど脆弱性の影響を受けるサイトの比率が多いという意味です。多くの脆弱性対応は徐々に対策され、徐々に比率が下がってくるのですが、BEASTに関してだけ、リスクを受容するという方向にあり、影響を受けるサイトが増えています。
これなら合格！ 正しいリダイレクターの作り方
これなら合格！ 正しいリダイレクターの作り方：HTML5時代の「新しいセキュリティ・エチケット」（4）（1/3 ページ） えっ、まだmeta refreshとか301使ってるの？ リダイレクターの作り方も時代とともに移り変わります。記事を読んだらすぐに使えるセキュリティ・エチケットを紹介しましょう。 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回は、「オープンリダイレクター」という脆弱性について説明します。 オープンリダイレクターとは？ オープンリダイレクターとは、あるURLを開くと自動的に他のページにジャンプするリダイレクト機能が、攻撃者によって任意の外部ページへのリダイレクターとして利用可能になっている問題です。 「http://example.jp」上で提供されるWebアプリケーションにて、例えば「http://example.jp/go?url=/nex
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
Slowloris HTTP DoS
Slowloris HTTP DoSCCCCCCCCCCOOCCOOOOO888@8@8888OOOOCCOOO888888888@@@@@@@@@8@8@@@@888OOCooocccc:::: CCCCCCCCCCCCCCCOO888@888888OOOCCCOOOO888888888888@88888@@@@@@@888@8OOCCoococc::: CCCCCCCCCCCCCCOO88@@888888OOOOOOOOOO8888888O88888888O8O8OOO8888@88@@8OOCOOOCoc:: CCCCooooooCCCO88@@8@88@888OOOOOOO88888888888OOOOOOOOOOCCCCCOOOO888@8888OOOCc:::: CooCoCoooCCCO8@88@8888888OOO888888888888888888OOOOCCCooooo
Origin Cookies
httpstate A. Barth Internet-Draft Google, Inc. Intended status: Standards Track August 22, 2010 Expires: February 23, 2011 Simple HTTP State Management Mechanism draft-abarth-cake-00 Abstract This document describes a simple HTTP state management mechanism, called cake, that lets HTTP servers maintain stateful sessions with HTTP user agents. This mechanism is harmonized with the same-origin securi
Huluを海外から観る方法。しかもプロキシーサーバー無しで。
Huluを海外から観る方法。しかもプロキシーサーバー無しで。2010.07.13 18:00 junjun アメリカ以外からでも動画サイトHuluを観る方法、あるっちゃありましたけど、もう少しちゃんと観たい人にオススメな方法をRedditのユーザーが発見したようなので、ご紹介しちゃいます。 しかも、プロキシーサーバーはいらないんです。必要なのはFirefoxアドオンとブロックポートだけ。 まずは、Firefoxのアドオン｢Modify Headers｣をダウンロードします。インストールしたら、Tool＞Modify Headers in Firefoxと進み、ドロップダウンメニューのaddをクリックして新しいフィルターを追加します。最初のボックスにX-Forwarded-For とタイプして、次のボックスにアメリカのWebサイト（どこでもいい）のIPアドレスをタイプします。３番目のボックス
徳丸浩の日記 - iモードブラウザ2.0のXMLHttpRequestでPOSTデータの扱いが困難になった
_iモードブラウザ2.0のXMLHttpRequestでPOSTデータの扱いが困難になった このエントリでは、iモードブラウザ2.0の制限により、XMLHttpRequestでPOSTメソッドの利用が困難になっていることを確認したので報告する。 iモードブラウザ2.0のJavaScriptを試していて、POSTメソッドでデータが渡せていないことに気がついた。以下のようなプログラムで検証してみた。 【post.html】 <html> <head> <script> function test() { try { var requester = new XMLHttpRequest(); requester.open('POST', '/dumppost.php', true); requester.onreadystatechange = function() { if (requeste
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
HTTP応答パケットを悪用するARPスプーフィング・ウイルス
「ARP spoofing HTTP infection malware」より December 21，2007 posted by Kai Zhang, Security Researcher 2007年は，ARPスプーフィングという手口を使うウイルス（ARPキャッシュ・ポイズニング・ウイルス）が数多く登場した。この種のマルウエアからは大量の亜種が派生し，中国で広く流行している。先ごろ筆者らは，新たな特徴を持つARPスプーフィング・ウイルスを見つけた。 この新種のARPスプーフィング・ウイルスは，HTTP応答のセッションに攻撃用URLを挿入する。そして，怪しげなコンテンツでInternet Explorer（IE）を悪用する。同時に，コード挿入でポイズニングしたホスト・コンピュータをHTTPプロキシ・サーバーとして使う。このホストと同じサブネットにあるマシンからのインターネット・アクセス
ヤフー、フィッシング防止に有効なパスワード相互認証プロトコルを開発
ヤフーはこのほど、産業技術総合研究所とウェブ利用に適したパスワード相互認証プロトコルを開発したと発表した。 このプロトコルは、「PAKE（Password Authenticated Key Exchange）」と呼ばれる方式のひとつであるISO/IEC 11770-4のプロトコルを基盤として設計したもの。ユーザーにとっては、使い慣れたIDとパスワードを利用するだけでよく、サービス提供者はユーザーに新たな負担を強いることなく導入できる相互認証方式となっている。 この方式では、ユーザーが入力したパスワードは乱数を用いて暗号学的に加工されてサーバに送信され、一方サーバ側は、そのユーザーのパスワードとして事前に登録されている情報を加工してユーザーのコンピューターに返す。ユーザー側でも、そのサーバが自分のパスワードを過去に登録したサーバであるかを検証することが特徴となっている。 また、ウェブの標準
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch