「(私のように)セキュリティを何から始めれば良いか分からない開発者の方へ」というセッションを視聴しました！ | DevelopersIO
「(私のように)セキュリティを何から始めれば良いか分からない開発者の方へ」というセッションを視聴しました！ どうもさいちゃんです。今回はAWS Builders Online Seriesの中から「(私のように)セキュリティを何から始めれば良いか分からない開発者の方へ」というセッションを視聴しました。セキュリティ対策に悩む開発者の方におすすめの記事です。 今回はAWS Builders Online Seriesの中から「(私のように)セキュリティを何から始めれば良いか分からない開発者の方へ」というセッションを視聴しました。 AWS Builders Online SeriesとはAWS初心者向けのオンラインイベントです。 AWSについてこれから学んでいきたい方 初心者向けのテーマを短時間でサックっと勉強したい という方にピッタリなセッションがたっぷり用意されています。今回私が受講した「(
AWS IAMの属人的な管理からの脱却【DeNA TechCon 2021】/techcon2021-19
AWSをはじめとするクラウドプラットフォームの普及に伴い、DevとOpsの境目はかなり曖昧になっています。その中でもIAMの管理は設定によっては権限昇格を引き起こしかねないことから、その管理権限は慎重な管理になりがちです。結果的に、IAMは属人的な管理を行っている組織が多いのではないでしょうか。 一方で、DevとOpsの境目がどんどん曖昧になっていく中で、IAMロールやIAMユーザーを自由に作りにくい状況があると大変不便です。IAM関係のトライ・アンド・エラーが手軽に行えないことから、開発速度の鈍化を引き起こしたり、アーキテクチャ設計の上で運用上の足かせとなったりといったことが起こります。 また、それらの問題を回避しようとした結果として、IAMロールやIAMユーザーの使い回しが横行しはじめるなど、結果的に最小権限の原則が守られなくなっていくことも少なくはないのではないでしょうか。最小権限の
Apache Tomcatの脆弱性（CVE-2020-1938）を狙ったと思われる8009/tcpへのアクセス増加
概要 2020年2月24日にApache Software FoundationからApache Tomcatの脆弱性（CVE-2020-1938）情報が公開されました。これは、Apache JServ Protocol（AJP）に関する脆弱性です。AJPとは、Apache Tomcatと通信を行うためのプロトコルであり、例えば、HTTPサーバ（Apache HTTP Server）とアプリケーションサーバ（Apache Tomcat）を連携する際に用いられます。この場合、HTTPリクエストをApache HTTP Serverで受け取り、Javaで動的な処理が必要となるものをApache Tomcatで実行する構成になります。なお、Apache TomcatもHTTPサーバとしての機能を備えており、標準で8080/tcp（HTTP）及び8009/tcp（AJP）を使用する設定となっていま
Spring Security 5.0 解剖速報
2017年11月24日のSpring Fest 2017での発表に使用した資料です． WebFlux対応の内容は堅田さんに作成頂いたものですが，許可を得て公開しております．
AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ - Qiita
AWSアカウントを作成したら最初にやっておきたいことをまとめてみた。 あわせて読みたい 本記事の内容を含めた最新の手順は、下記の書籍にまとまっている。 クラウド破産を回避するAWS実践ガイド AWSアカウント（ルートアカウント）の保護 AWSアカウントが乗っ取られると詰むので、真っ先にセキュリティを強化する。 AWSアカウントへ二段階認証を導入 AWSアカウントでのログインは、AWSアカウント作成時のメールアドレス・パスワードだけでできてしまう。心許ないにもほどがあるので、まずは二段階認証を設定しよう。 IAMのページを開く https://console.aws.amazon.com/iam/home 「ルートアカウントのMFAを有効化」を選択して、「MFAの管理」ボタンをクリック 「仮想MFAデバイス」にチェックが入っていることを確認し、「次のステップ」ボタンをクリック 注意書きを読ん
Spring Securityのお話 - シスアーキ in はてな
ハーイ！僕です。 最近、Spring Securityと戦っています。今のプロジェクトでセキュリティまわりを僕が担当しているのでね。 Spring Frameworkを勉強しはじめて、最初につまづいたのがSpring Securityです。いやね、これね、ちょっと僕には難しすぎるんじゃない？ 「人類には早すぎたのだ！！*1」 と、突然机の前で発狂しながら仕事してます。周りの人はびっくりさせてごめんなさい。 これ以上暴れてまわりの人から変人扱いされても困るので、自分なりにSpring Securityについて纏めてみようと思います。 SpringSecurityを理解する上では、 Filterのお話 Configのお話 Configurationのお話 がそれぞれあると思っているので、その順番で〜 Filterのお話 Spring Securityは主にサーブレットフィルターをもちいてWeb
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
TeslaCrypt（vvvウイルス）によって暗号化されたファイルの復号手順メモ
国内でも昨年末に話題になったランサムウェア「TeslaCrypt」通称「vvv」ウイルス。 本ブログでも実際に感染してみるというエントリーを掲載しました。 このマルウェアに感染すると特定の拡張子を持つファイルが暗号化され金銭を要求されるのですが そちらの復号方法について海外サイトで言及されていましたので 本ブログでも手順を参考にしならが復号の可否を検証しました。 一部、一次情報のサイトとは手順が異なる部分があります。 今回用いる復号スクリプトは「TeslaCrack」というものでこちらで公開されています。 【環境の構築】 まず、復号するために必要な情報を収集するための環境を整えます。 まずは、復号処理を行うスクリプトがPythonで記述されているため現時点での最新版である「2.7.11」をインストールしました。 インストールが完了したら次に「easy_install」をダウンロードし以下の
Safie（セーフィー）｜クラウドカメラ・防犯カメラの録画サービス
【「Safie」がスーパーマーケットの買い物客と従業員に調査】 買い物客の多くがスーパーの「混雑」「品揃え」に不満を抱く一方で 「人通りや混雑の把握」「適切な人員配置」ができない店舗の現状が明
50,000 ドルの価値がある Twitter アカウントが盗まれたその経緯 : にぽたん研究所
ひろしまさん (廣島さん) は、これまでたった 1 文字の Twitter アカウント @N を持っていました。 何故「持っていました」と、過去形なのかというと、どうやら先日、巧妙な罠に、本人ではなく 2 社の有名 IT 関連企業がハメられたことによって、ひろしまさんの稀少なそのアカウントが第三者によって盗まれてしまったそうなのです。 2014/02/26 追記: 記事掲載時点では「持っていました」と過去形で表現していますが、ひろしまさん本人によるツイートで、2014/02/25 の昼過ぎ (日本時間 2014/02/26 の早朝) に、この事件によって盗まれてしまったアカウント @N がようやく取り戻されたことがわかりました。 Order has been restored. — Naoki Hiroshima (@N) February 25, 2014 解決まで一ヶ月以上という相当な
Androidセキュリティ勉強会「WebViewの脆弱性」
資料 本日はありがとうございました。発表可能な資料は後日 http://securedroid.org/ で公開します。 #securedroid / Androidセキュリティ勉強会 http://goo.gl/oMKuc #zusaar ENDO Yasuyuki on Twitter: "本日はありがとうございました。発表可能な資料は後日 http://t.co/9B6CHCJd で公開します。 #securedroid / Androidセキュリティ勉強会 http://t.co/VS6pk18Y #zusaar" とのこと。 twitterまとめ 2012.10.07追記 なんか資料あがってた http://ierae.co.jp/uploads/webview.pdf http://www.ustream.tv/recorded/25950587 2012.10.08追記 なん
高木浩光による怒濤の講演「ゲーム業界におけるプライバシー保護」がすごいことに
「高木浩光＠自宅の日記 - Tポイント曰く「あらかじめご了承ください」」というエントリーによってTポイントツールバーは「騙す気満々の誘導」であると指摘、その2日後にTポイントツールバーのダウンロードが一旦停止されたり、ほかにも「ダウンロード刑罰化で夢の選り取り見取り検挙が可能に」「ローソンと付き合うには友達を捨てる覚悟が必要」「武雄市長、会見で怒り露に「なんでこれが個人情報なんだ！」と吐き捨て」「やはり欠陥だった武雄市の個人情報保護条例」というように、次々とセキュリティに関して絶大な影響を与え続けてきた独立行政法人産業技術総合研究所の高木浩光(通称：ひろみちゅ)氏によるCEDEC2012の講演が、非常に秀逸な内容となっており、ゲームに限らず、スマートフォンまでも含めてそもそも「個人情報」とは一体何か？ということから、個人情報の現在の扱い、プライバシーに関して今後あるべき方向に至るまで、縦横
LINEアカウントは乗っ取られやすい！？LINEの仕組みと注意すべきポイントまとめ
「たったの１５秒間あなたのスマートフォンが操作されただけで、LINEのパスワードが奪われるかもしれません」 LINEにおける「パスワード」や「アカウント」の扱いに関して、いろいろと気になる点があったので、その詳細ついてメモ＋注意喚起。 ※重要な追記事項がたくさんあります。頭から最後まで全文読むことをおすすめします。 目次 1. 背景2. 基本知識：パスワードを他人に知られたら何が起こるのか2.1. もしパスワードがバレたら2.2. CASE1: Bさんがアカウントを乗っ取る2.3. CASE2: 突然LINEのデータが消える2.4. CASE3: BさんがAさんのトークを覗き見る2.5. ログイン中の端末をチェックする2.6. 盗み見られているかも、と思ったら3. パスワードがバレたときの悲劇っぷりが凄まじい4. でも、「パスワードがバレたらこうなるのは当然」じゃない？5. ここからが本題
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
b-casカード不正改造問題の本質はカードの交換を不可能にしたこと - アンカテ
b-casカードの不正改造問題が騒がれているが、「カードがクラックされた」ということではなく「カードが交換できない」ということが問題の本質で、この点がクローズアップされるべきだと思う。 鍵を盗まれたのかアルゴリズムに欠陥があったのか？ 2ちゃんねるでは「b-casカード完全解析」とか「b-casカード終了」とか言われているが、暗号化アルゴリズムが破られたわけではない。 「暗号化アルゴリズムが破られた」という言葉は、鍵無しで暗号文を復号する方法が発見された時に使うべきだ。暗号化アルゴリズムが知られても、鍵が無ければ破れない暗号はたくさんある。というか、本来は、暗号化アルゴリズムは公開され(てレビューを受け)るべきもので、中身を知られてから暗号文をどれだけたくさん集めて研究されても、鍵無しでは絶対に(現実的な計算時間では)復号されないということがアルゴリズムの役割である。 今回のクラッキングは
コメント欄 - 「頂いた意見に関しては、ゴミ以下のご意見のほか、真っ当なご意見も少なからずあります」 - 武雄市長物語 : 高木浩光先生、間違ってます。
今日は「個人情報」について書きます。関心の無い方は長いのでパスしてくださって結構です。 前にも書きましたが、個人情報とは、個人情報の保護に関する法律（平成１５年５月３０日法律第５７号）の第１条にその目的があり、「この法律は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。」となっています。 その中で個人情報とはというと、その定義は、「この法律において「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://springinpractice.com/2010/10/27/quick-tip-spring-security-role-based-authorization-and-permissions
Springを利用したアプリケーションに対する�テスト/セキュリティ対策の最新動向(2015)
[PDF]SNS 利用の注意（急告）｜聖心女子大学
Facebook