なぜサポートが終了した Web ブラウザーを使うと危険なのか? | Microsoft Docs
なぜサポートが終了した Web ブラウザーを使うと危険なのか? 10/08/2015 2 minutes to read 前回の記事でも紹介させていただいたように来年 (2016) の 1 月 12 日をもって、IE9 以前の Internet Explorer はサポートが終了します。 しかし、機能が停止したりするわけではありませんので、事情を知らないユーザーはそのままサポートが切れたバージョンの Internet Explorer を使用し続けてしまう可能性があります。もしくは、サポートが切れていることを知っていても、アップグレードが面倒でそのまま使用し続けてしまう人もいるでしょう。 しかし、それは非常に大きなセキュリティ的なリスクを背負うことになります。 それでは、サポート期間の過ぎた Internet Explorer = ソフトウェアを使用し続けることはなぜ危険なのでしょうか?
名前やメールアドレス・住所などを自動的に入力してくれる「オートフィル機能」を使うと個人情報がこっそり盗まれる危険性あり
ブラウザのテキストボックスに文字を入力すると、登録されている情報をナビゲートしたり自動入力したりできる「Autofill(オートフィル)」機能は、煩わしい入力作業を大幅に省略できるので非常に便利です。しかし、オートフィル機能をONにしておくと、極めて単純な手法を使って簡単に住所や電話番号などの個人情報をぶっこ抜くフィッシング詐欺の餌食になってしまう危険性が指摘されています。 GitHub - anttiviljami/browser-autofill-phishing: A simple demo of phishing by abusing the browser autofill feature https://github.com/anttiviljami/browser-autofill-phishing オートフィル機能の危険性を指摘するViljami Kuosmanen氏は、G
Browserleaks - Check your browser for privacy leaks
BrowserLeaks is a suite of tools that offers a range of tests to evaluate the security and privacy of your web browser. These tests focus on identifying ways in which websites may leak your real IP address, collect information about your device, and perform a browser fingerprinting. By understanding these risks, you can take appropriate steps to protect your online privacy and minimize your exposu
外部にURL情報を送信するブラウザの拡張機能の組織内での利用に関する注意喚起 – IIJ Security Diary
Web ブラウザの拡張機能(プラグインなど)には、その拡張機能が組み込まれたブラウザでアクセスした先の URL を、インターネット側の第三者に送信する機能を持つものがあります。これらの拡張機能の多くは利用者の判断で、同意のもとに正当にブラウザに組み込まれたものです。しかし、この機能を利用者が属する会社などの組織の内部において使用したときには、その組織内部の Web サーバに関する情報が外部に送信されることになり、組織からの情報漏えいにあたる行為と考えることができます。IIJ では実際に数多くの企業などにおいて、このような拡張機能が導入されていることを確認し、対策を実施しています。ここに示す情報を組織のセキュリティ基準などと照らし合わせて、組織の内部においては URL を送信するような拡張機能を利用しないように対処することをお勧めします。 アクセスしたURLを外部に送信するブラウザの拡張機能
Webブラウザのセキュリティ警告にユーザーの反応は？
米Googleなどの研究者が、マルウェアや不正なSSL証明書などのセキュリティ警告に対するユーザーの反応を調べた。 Webブラウザが表示するマルウェアや不正なSSL証明書に関するセキュリティ警告はどの程度効果があるのか――。米カリフォルニア大学バークリー校とGoogleの研究者が、ユーザーの反応の実態について調べた結果を発表した。 この調査では、2013年5月から6月にかけてMozilla FirefoxとGoogle Chromeで表示された約2500万件の警告について反応を調べた。 その結果、ユーザーがマルウェア警告やフィッシング詐欺警告を無視してリンクをクリックしてしまう割合は9～23％にとどまった。不正なSSL証明書についての警告が無視される割合は、Firefoxでは33％だった。 この結果から研究チームは、「Webブラウザのセキュリティ警告が大半のユーザーを守る役割を果たしている
私はいかにして様々なブラウザの脆弱性を発見したか - 葉っぱ日記
先日、Twitterでどのように脆弱性を見つけるかに興味あるんだろうかと書いたら、意外に色々な人から反応があったので、これまでに自分が見つけた脆弱性のいくつかについてどういう経緯で見つけたのかちょっと書いてみます。 JVN#89344424: 複数のメールクライアントソフトにおける、添付ファイルによりメールクライアントソフトが使用不能になる脆弱性 これは、添付ファイル名にUnicodeの円記号を含めておくと、メーラ側でShift_JISに変換する際にバックスラッシュに変換されてしまって想定外のディレクトリに添付ファイルが展開されてしまったり、あるいは「©on」のような名前のファイルを添付しておくことでShift_JISに変換してCONというファイルを開こうとしてメーラが固まってしまうという問題です。これは、私自身が文字コードの問題について調べ始めた初期段階で、Unicodeからの変換で問題
TRACEメソッドって危ないのでしょうかの自分メモ — (n)
life is penetration. geeks cheer. geeks be ambitious.時々、Twitterなんかでも話題に上るWebサーバにおいて TRACE/TRACK(以下はTRACEと表現をまとめます)メソッドが 有効であることに対するセキュリティ診断での指摘の程度について考えました。 きっかけはGSX社からリリースされていた「TRACEメソッドの現状」というもの。 よくまとまっていたので自分でも整理するためにメモ。 クロスサイトトレーシング（以下、XST）はもはや説明不要かもしれませんが 簡単に説明すると、WebサーバでTRACEメソッドが有効になっている場合に HTTPヘッダに含まれている情報も盗まれてしまうといったものです。 この盗み出されてしまうかもしれない情報の中で例示される代表格は Basic認証（IDとパスワードをBase64エンコード
「HP‑UX のセキュリティ強化設定 第１回 （インストール編）」
リスクを見つける サイバー攻撃を防ぐ最大の対策は、自社のシステムの脆弱性をなくすことです。しかし、より複雑化・高度化する情報技術を、完璧な状態に保つことは困難です。 GSXは1997年からペネトレーションテストをはじめとした脆弱性診断を提供、豊富な実績とノウハウを蓄積しています。また、セキュリティ人材教育を行い、常に最新のサイバーリスクもキャッチアップしています。 豊富な経験と高度なセキュリティ技術を持った専門家が、診断ツールと手動オペレーションを併用し、サイバー攻撃の起因となるセキュリティの欠陥を発見します。発見した欠陥（脆弱性）について、技術的かつ人的教育の点から最適な各種ソリューションをご提案します。 サイバー攻撃を防ぐ最大の対策は、自社のシステムの脆弱性をなくすことです。しかし、より複雑化・高度化する情報技術を、完璧な状態に保つことは困難です。 GSXは1997年からペネトレーショ
XMLHttpRequestオブジェクトを使ったTRACEメソッド送信のブラウザ対応状況を確認してみる - 思い立ったら書く日記
HTTPのTRACEメソッドを悪用する古い攻撃手法に「Cross Site Tracing(XST)」というものがあります。この攻撃手法を悪用すると、第三者が Cross Site Scripting（XSS）の脆弱性が存在するWeb サイトとブラウザの間でやり取りされる HTTP リクエスト・ヘッダを取得できてしまいます。この手法は一般的に HTTP リクエスト・ヘッダに含まれる Authorization ヘッダや Cookie ヘッダを奪取するために悪用されるようですね。 XST では一般的に JavaScript でXMLHttpRequest オブジェクトを悪用するようですが、最新のブラウザでも XMLHttpRequest オブジェクトで TRACE メソッドの HTTP リクエストを送信できるのでしょうか。というのも、W3C の XMLHttpRequest オブジェクトに関
ウェブブラウザのセキュリティをテストする5つのウェブサイト
＃2：BrowserSpy.dk 2009年に筆者はPanopticlickについての記事を執筆した。その後、筆者はBrowserSpy.dkという同種のウェブサイトを見つけた（図B）。このサイトでは、Panopticlickと同様のテストの他にも64種類のテストが実施される。ただし、残念なことにBrowserSpy.dkは問題の解決方法を提示してくれない。とは言うものの、ウェブサイトにアクセスした際に、どれだけの情報が危険にさらされるのかを実際に見せてくれるわけだ。 ＃3：PC Flank PC Flankはインターネットという観点から見たコンピュータのセキュリティを網羅的にテストしてくれるウェブサイトである。テストには「Stealth Test」や「Advanced Port Scanner Test」「Trojans Test」「Exploits Test」「Browser Test
脆弱性が最多のブラウザはFirefox――Cenzic報告書
企業向けのセキュリティサービスを手掛ける米Cenzicが11月9日に発表したWebアプリケーションのセキュリティ動向報告書によると、2009年上半期はWebアプリケーション関連の脆弱性が増加し、ブラウザではMozilla Firefoxの脆弱性が最も多かった。 報告書によると、2009年上半期に報告された脆弱性のうち、Webサーバ、アプリケーション、ブラウザ、プラグイン、ActiveXなどWeb技術に関するものは全体の78％を占め、前年より大幅に増加。深刻な脆弱性が多かったメーカー・製品はSun Microsystems（Java）、IBM、PHP、Apacheなどが上位を占めた。 脆弱性が最も多かったブラウザはMozilla Firefoxが筆頭で全体の44％を占め、次いでApple Safariの35％。いずれも前期の報告書では筆頭だったInternet Explorer（IE）を大き
Google Chrome、ハッキングコンテストで唯一の生き残りブラウザに
Mac版Safariはコンテスト開始後数分で侵入され、IE 8、Firefoxも初日のうちにハッキングされた。 カナダのバンクーバーで3月18～20日に開催されたハッキングコンテストPwn2Own 2009で、参加者らはGoogleのChrome以外の主要Webブラウザすべてのハッキングに成功した。このコンテストはカナダのセキュリティ企業dragostech.comが2007年から毎年開催しているもので、今年はWebブラウザと携帯端末のセキュリティ侵入のテクニックが競われた。 ターゲットとなったWebブラウザは、Windows 7搭載のソニーのVAIOにインストールされたInternet Explorer（IE）8、Firefox、Chromeと、Mac OS X搭載のMacBookにインストールされたSafariとFirefox。Webブラウザの脆弱性を突くコード（エクスプロイトコード）
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Firefoxの倒し方