山下達郎、WEB独占インタビュー。アルバム『FOR YOU』で訪れた節目、“神様の引き合わせ”という初期8作のアナログ復刻を語る
アナログ中古盤の入手が難しくなる一方だっただけに、聴き手にとってうれしい以外の何物でもないリイシューということになるだろう。ソロ・アルバム第一作に当たる1976年の『CIRCUS TOWN』から、名実ともにアーティストとしての最初のピークを刻んだ82年の『FOR YOU』まで。78年発表のライヴ2枚組『IT’S A POPPIN’ TIME』を含むオリジナル・アルバム7作に、本人監修による公認ベスト『GREATEST HITS! OF TATSURO YAMASHITA』を加えた山下達郎の初期8作が、レコードとカセットのダブル・フォーマットで復刻発売されつつある。いわゆる“シティ・ポップ”ブームに後押しされてのリイシュー。そんな卑近な解釈も成り立たないではないが、その一方で驚かされるのは各々のアルバムのクオリティの高さと密度。6年という短いスパンの中で積み重ねた音楽的な試行錯誤、そのダイナ
[書評] ハッキングAPI ―Web APIを攻撃から守るためのテスト技法
サマリ ハッキングAPI―Web APIを攻撃から守るためのテスト技法（2023年3月27日発売）を読んだ。本書は、Web APIに対するセキュリティテストの全体像と具体的なテスト方法を記載している。ペンテスターは、APIの検出、APIエンドポイントの分析、攻撃（テスト）を行う必要があり、そのために必要な情報がすべて記載されている。また、実習のためのツールと「やられサイト」を複数紹介し、具体的なトレーニング方法を解説している。単にツールやサイトの使い方の説明にとどまらず、本格的なペネトレーションテストの考え方を説明している。 本書の想定読者はAPIのペネトレーションテストを実施するペンテスター及びペンテスターを目指す人であるが、API開発者やウェブアプリケーション脆弱性診断員にとっても有益な内容を多く含む。 重要事項説明 本書の監修者の一人（洲崎俊氏）と評者は知人関係にある 評者が読んだ書
XMLHttpRequest とはなんだったのか | blog.jxck.io
Intro Fetch API の実装が広まり、 IE もリタイアを迎えたことで、今後忘れ去られていくことになるだろう XMLHttpRequest について。 どのように始まり、どのように広まり、どのように使われなくなっていくのか。その間に残した多大な功績を残す。 XMLHttpRequest の始まり この名前は非常に長いため、通常 XHR と略される。 この API は、現在の Web API のように W3C/WHATWG による標準化を経て策定された API ではない。 Microsoft によるいわゆる独自実装の API として始まり、後追いで標準化される。 したがって、 Web API の中でもかなり異質な命名である XHR が、 XmlHttpRequest でも XMLHTTPRequest でもなく XMLHttpRequest である理由も、 Microsoft の命
2024年に制度変更「つみたてNISA」 始めるなら2022年が有利な理由 | マネーポストWEB
近年、つみたてNISAへの加入者が急増している。つみたてNISAとは、2018年にスタートした、毎月一定額を対象の金融商品（投資信託）に積み立てていく少額投資制度のこと。年間40万円まで、最長20年間非課税で運用できるのが大きな魅力。お金を運用の専門家に預けて手数料を支払うことで株式や債券などに投資・運用してもらい、預けた金額に応じて運用益を受け取れる仕組みだ。 つみたてNISAは長期・積立・分散投資が基本である一方で、よりハイリスク・ハイリターンな個別株を年間120万円まで、5年間非課税で運用できる「一般NISA」もある。 いまから2年後の2024年、そのつみたてNISAと一般NISAの制度が変更される。 これまで、つみたてNISAで非課税になるのは、2037年までに投資した分が対象だった。それが今回の改正で、2042年まで非課税で新規投資できるようになったのだ。ファイナンシャルプランナ
Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今回はそのようなタイプの脆弱性についての解説を行います。なお、IDaaSを用いずに自前でログイン機能を実装しているケースを複数パターン想定しています。 はじめに ログイン機能の仕様パターンとセキュリティ
人類はWeb会議に向いていないので、もっとMiroを活用すべき - Cloud Penguins
Miro大好きjacopenです。エンタープライズなIT界隈ではおそらく日本でトップクラスにMiroを愛している自信がある。 さて今日はMiro Advent Calendar 2021の3日目。 今日は、人類がいかにWeb会議に不向きかという話と、そのギャップをMiroで埋めようという話。あとは自分が関わっているカンファレンスでMiroを使いまくっている話をする。 Web会議の8割はXX コロナ禍でだいぶ定着したWeb会議。でも、個人的には世の中のWeb会議の8割は上手くいっていないと思っている。数字に根拠はないけど。 何を持って上手くいっていないとするかだが、「対面の会議と比較して伝えられる度合いが低下している」とすると、8割くらいはそれに該当すると言っても過言ではないだろう。 何故そうなるかというと、基本的に人は言葉だけで物事を正確に伝えることはできないからだ。 人間の会話において、
＜新型コロナ＞「亡くなるべくして亡くなっている」 一家感染の50代夫婦、支援体制の不備や自宅療養の苦しさ激白：東京新聞 TOKYO Web
＜新型コロナ＞「亡くなるべくして亡くなっている」 一家感染の50代夫婦、支援体制の不備や自宅療養の苦しさ激白 家族３人全員が感染し、自宅とホテルに分かれて療養を経験した神奈川県内の５０代夫婦が、本紙の取材に応じた。県が緊急連絡先として広報している電話番号にかけても具体的な対応はなく、不安な日々が続いた。支援態勢の脆弱さに「自分の命は自分で守るしかないと思った」と振り返る。（石原真樹）
高木浩光氏のワクチン予約サイトの問題への見解
Hiromitsu Takagi @HiromitsuTakagi これはしょうがない。緊急時なのだし（情報漏洩が起きるわけでない限り）このままいくしかない。ただ、こういう事実があることは周知されていた方がよい。 dot.asahi.com/dot/2021051700… 2021-05-17 23:02:01 Hiromitsu Takagi @HiromitsuTakagi 識別符号（アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号≒パスワード）がないので、不正アクセス禁止法が禁ずる行為には当たらないが、虚偽内容で予約するのは、人の事務処理を誤らせる目的で行えば電磁的記録不正作出・供用罪。 twitter.com/yasushia/statu… 2021-05-17 23:05:37
Webブラウザセキュリティ ― Webアプリケーションの安全性を支える仕組みを整理する
紙書籍をお届けします（PDFがついてきます） PDFのみ必要な場合は、こちらからPDF単体をご購入ください 紙書籍は通常、ご注文から2～3営業日で発送します 年末年始や大型連休など、1週間から10日程度、配送のお休みをいただく場合があります。詳しくはお知らせをご覧ください ブラウザの視点で学ぶセキュリティ 米内貴志 著 224ページ A5判 ISBN：978-4-908686-10-8 2021年1月5日 第1版第1刷 2022年8月16日 第1版第3刷 発行 正誤情報 サンプルコードなど 現代のWebブラウザには、ユーザーがWebというプラットフォームを安全に利用できるように、さまざまなセキュリティ機構が組み込まれています。 リソース間に境界を設定し、アプリケーションに制限を課す機構（Origin、SOP、CORS、CSPなど） Webブラウザの動作をOSのプロセスレベルで考察することで
Smoozサービス終了に寄せて
202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す
Amazon API Gateway で API キーを使わずに認証とアクセス制御を行う | Amazon Web Services
Amazon Web Services ブログ Amazon API Gateway で API キーを使わずに認証とアクセス制御を行う はじめに Amazon API Gateway の API キーの利用を検討したものの、API キーの制約によってプロダクトの要件を満たせないことがあります。その際、それぞれ Amazon Cognito を利用した認証と AWS WAF を用いた IP ベースのレート制限を利用するという代替案をご紹介いたします。 背景 筆者は普段、プロトタイピングソリューションアーキテクトとして、お客様のプロダクトのプロトタイプ作りをお手伝いさせていただいております。お客様の中には、ユーザー認証やアクセス制御として Amazon API Gateway の API キーの利用を検討している場合があります。しかし、API キーでお客様の要件を満たせるかどうかは、慎重に検
Web口振受付と即時口振に頼らなければならない新型決済スキームの問題 - novtanの日常
ドコモ口座の問題はシステム的な部分でいうと「本人確認と認証が甘い」に尽きるんですが、それ以前の問題として、このビジネススキームが何を根拠に成立していて、その根拠に基づいた対応が行われていたか、ということがありますね。なにぶん、それなりに新しいことをやろうとしている話なので必ずしも法整備は十分ではないし、抜け道というか、既存の制度だったらこうすれば使えるよね、というスキームをひねり出して実施していくわけです。なので、根本的な法律や制度の問題とは別に、2者間で成立させるための個別の契約が必ずあるわけです。それがどのくらい今回の事態を想定していたかは定かではないですけれども、少なくともここについて一般に開示されることはないでしょう。でも、そこがキモってのがこの話の難しいところ。 とはいえ、銀行との資金移動に持っていく部分については口振契約ということは明らかですので、そのへんをちょっと考察してみま
「ドコモ口座」を利用した不正送金が気になりすぎて自分でまとめてみた - 最終防衛ライン3
「ドコモ口座」＋「Web口座振替受付サービス」の悪用 簡単な時系列 「Web口座振替受付サービス」のセキュリティがガバガバ 「ドコモ口座」もガバガバである 「Web口座振替受付サービス」のシステムも問題だが、「ドコモ口座」の責任も免れないだろう 9月9日中の追記 9月10日の追記 9月11日の追記 「ドコモ口座」＋「Web口座振替受付サービス」の悪用 「ドコモ口座」を利用した不正送金が気になりすぎて自分でまとめてみた。 簡単な時系列から「Web口座振替受付サービス」の実体、「ドコモ口座」の問題点などを述べていきたい。 被害情況については ドコモ口座を悪用した不正送金についてまとめてみた - piyolog が詳しい。 手法は不明であるが、『ドコモ口座』の不正利用、誰が被害に遭う？→『ドコモ口座』を使ってない人(篠原修司) - 個人 - Yahoo!ニュース や 「ドコモ口座」で相次ぐ不正出
続々連携がストップしているドコモ口座とWeb口振受付の問題について - novtanの日常
詳細不明なところもありますのでなんとも言えないんだけど、外部から見える範囲でわかる問題点について解説してみます。詳細を調べたら問題なかったり、中の人だけが知っている仕様によってクリアされている問題もあるかもしれません。 事実誤認があれば訂正しますのでよろしく。 そもそもドコモ口座って？ ドコモユーザーならおなじみ、それ以外でも使えるアカウントサービスである「dアカウント」に紐づけてキャッシュレス決済などで使用できる電子マネー（だよね）のことです。 dアカウントは元々はドコモ契約者向けのアカウントサービスだったんですが、スマホを起点としたサービスを提供するに当たり、汎用的なアカウントサービス（ID提供サービスとも言えます）にするためにドコモの回線契約とのつながりを限定的にしたものです。GoogleアカウントやFacebookアカウントでのログインと同様、dアカウントでのログインができるように
「給付金」委託費 電通、パソナなど法人設立３社で分け合う：東京新聞 TOKYO Web
中小企業に最大二百万円を支給する持続化給付金で、一般社団法人サービスデザイン推進協議会から事業の再委託を受けた広告大手の電通がさらに、人材派遣のパソナやＩＴ業のトランスコスモスに業務を外注していたことが分かった。法人の設立に関与したこの三社が給付事業の大部分を担っており、実体に乏しい法人を経由して、国の委託費を身内で分け合う不透明な構図が浮かんだ。（森本智之、桐山純平） 経済産業省が一日、国会の野党合同ヒアリングで明らかにした。法人の職員全員が、三社を含む設立に関与した企業からの出向者であることも判明。給与は法人と元の企業の双方から出ており、野党議員からは法人の存在意義を問う声が強まった。 法人から七百四十九億円で業務の大部分の再委託を受けた電通は、給付金の申請の受け付け業務を四百五億円でパソナに外注、トランスコスモスにもコールセンターの運営を任せていた。給付金の振り込み業務についても、法
gRPCでインターフェースを再整理してからサービスを分割─freeeの段階的なマイクロサービス戦略 - エンジニアHub｜Webエンジニアのキャリアを考える！
株式会社ウルフチーフ 代表取締役。TIS株式会社にて19年半、さまざまな業種のシステムアーキテクチャ設計を担当し、2018年に退職、株式会社ウルフチーフを創業する。以降流しのアーキテクトとして、前職時代から書き溜めていたOSSプロダクトや技術記事を元に、様々な現場でアーキテクチャの設計や研修を実施している。 課題：リポジトリの肥大化に伴ってリリース頻度が低下 川島 freeeではどのような課題を解決するためにマイクロサービス化を検討されたのでしょうか？ 横路 freeeのプロダクトの成り立ちからお話しすると、「会計freee」の最初のリリースが2013年で、翌年に「人事労務freee（当時の名称は給与計算freee）」をリリースしました。その段階で既に、各プロダクトや認証・認可を扱うサービス基盤などは、リポジトリやサービスを分割する形で開発・運用を行っていたんです。 しかし、プロダクトがマ
感染症専門医がおすすめする 新型コロナの正しい最新情報が得られるWebサイトまとめ（忽那賢志） - エキスパート - Yahoo!ニュース
毎日新型コロナウイルス感染症に関する報道が続いています。 中には正しく情報を伝えているメディアもありますが（例えばBuzz Feedは今回の新型コロナウイルス感染症関連の記事は素晴らしいものが多いです）、一部には過剰に不安を煽る報道や間違った報道もあります。 感染症は間違った情報が独り歩きしやすく、テレビのワイドショーの言うことを鵜呑みにするのではなく、ご自身で正しい情報にアクセスすることが大事です。 一般の方が新型コロナウイルス感染症について情報を得るために有用なWebサイトをご紹介します。 感染者数などの情報 東京都東京都 新型コロナウイルス感染症 対策サイト 東京都 新型コロナウイルス感染症対策サイト 3月7日時点での表示東京都の新コロサイトですが、これは素晴らしいです。東京都民の皆さまはぜひご覧ください。 「検査陽性者の状況」では陽性者数のうち何人が入院して、そのうち何人が重症かが
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
文章を読むスピードが最大2倍。「読書アシスト」無償公開
Webページを閲覧しながらメモが取れるChrome拡張機能3選【今日のライフハックツール】 | ライフハッカー・ジャパン
サービス終了となった「Smooz」に未修正の脆弱性？ 利用の継続は大きなリスクを負うことに／中間者攻撃により閲覧中WebページのURLを搾取される恐れ
