令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io
Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp
SaaSを基礎から覆し、ARR100億円を突破！Snyk創業者・Guy Podjarnyに学ぶ「新GTM戦略」
ALL STAR SAAS FUNDのメールマガジン「ALL STAR SAAS NEWSLETTER」購読登録受付中ALL STAR SAAS FUNDがお届けする 最新SaaSニュース、ブログ記事情報を配信するSaaS業界にいる方は必見のメールマガジン！ SaaSのGo-To-Market（GTM）戦略においては、「ボトムアップ型」か「トップダウン型」を用いることが重要だと言われています。しかし、そのセオリーは、果たしてすべてのSaaS企業が倣うべきフレームワークなのでしょうか？ セキュリティ領域でデベロッパーコミュニティと連携し、両方の型を採用しながら、GTM戦略を実践しているユニークな企業があります。「Snyk」は開発者向けのセキュリティSaaSを提供し、短期間でARR100億円を突破しています。未上場サイバーセキュリティスタートアップとしてはLacework、Netskopeに次
Google、「Chrome Enterprise Premium」発表。Chromeブラウザにポリシーの適用や動的URLフィルタリングなどのエンドポイントセキュリティを提供
Google、「Chrome Enterprise Premium」発表。Chromeブラウザにポリシーの適用や動的URLフィルタリングなどのエンドポイントセキュリティを提供 Webブラウザが、企業においてもあらゆる業務アプリケーションのフロントエンドとして使われるようになってきたと同時に、リモートワークの普及やBYOD（Bring Your Own Device）の拡大によって、オフィス以外の場所からWebブラウザを通じて企業内のアプリケーションや業務用のサービスにアクセスする、もしくは社員の私物のスマートフォンなどからWebブラウザを通じて業務アプリケーションにアクセスする機会が大幅に増大しています。 こうした状況においては、エンドポイントとなるWebブラウザにおいてマルウェアやフィッシングの対策、データ漏洩対策を行うことが欠かせません。 今回発表されたChrome Enterpris
WelcomeHRのマイナンバーを含む個人情報漏洩事故の対応がひどい件（追記あり） : なか2656のblog
目次 １．WelcomeHRの個人情報漏洩事故が発覚 ２．マイナンバーも漏洩していたことが発覚 ３．ワークスタイルテックの個人情報漏洩事故の対応の問題点 ■追記：4月15日 マイナンバーカードの利用停止・再発行について １．WelcomeHRの個人情報漏洩事故が発覚 カオナビ子会社のワークスタイルテック（東京都港区）が運営する労務管理クラウドサービス「WelcomeHR」で、ユーザー情報16万人分近くが外部から閲覧可能になっており、うち15万人分近くが実際に第三者にダウンロードされたとワークスタイルテック社が３月29日にニュースリリースを公表しました。 ・弊社サービスをご利用いただいているお客様への重要なご報告とお詫び｜Workstyle Tech （ワークスタイルテックのプレスリリースより） ワークスタイルテックのリリースによると、2020年1月5日から2024年3月22日にかけて、ユー
The massive bug at the heart of the npm ecosystem
Disclosure: I was the Staff Engineering Manager for the npm CLI team between July 2019 & December 2022. I was a part of the GitHub acquistion of npm inc. in 2020. I left GitHub, for various reasons, in December. tldr;a npm package's manifest is published independently from its tarballmanifests are never fully validated against the tarball's contentsthe ecosystem has broadly assumed the contents of
米国証券取引委員会のSNSアカウントのっとりについてまとめてみた - piyolog
2024年1月9日（現地時間）、米国証券取引委員会は同委員会が運用を行っている公式SNSアカウントが何者かにのっとられ、虚偽の内容が投稿されたことを公表しました。ここでは関連する情報をまとめます。 のっとったXアカウントから虚偽投稿 www.sec.gov のっとりの被害にあったのは米国証券取引委員会がXで運用する公式アカウント（@SECGov）。その後、@SECGovから「ビットコインETFの上場および取引について承認した」などと虚偽の投稿や第三者の投稿に対して「いいね」の付与が勝手に行われた。 公式発表 *1よりも先んじて投稿された虚偽情報を受けて、ビットコインの価格が上下（約4万8千ドルまで上昇し、その後約4万5千ドルに下がった）しており、市場に影響が及んだとみられている。*2 *3 *4 虚偽投稿は16時11分、その後16時26分までに問題の投稿は削除されたが、その間に流通するビッ
日本の｢ホワイトハッカー｣育成に不可欠な視点
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
Everything I know about the XZ backdoor
Everything I Know About the XZ Backdoor stateevergreeninblogdate3/29/2024Please note: This is being updated in real-time. The intent is to make sense of lots of simultaneous discoveries regarding this backdoor. last updated: 5:30 EST, on April 2nd Update: The GitHub page for xz has been suspended. 2021JiaT75 (Jia Tan) creates their GitHub account. The first commits they make are not to xz, but the
バグバウンティにおける XSS の具体的な脅威の事例まとめ - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、バグバウンティで実際にあった脆弱性報告の事例をもとに、XSS の具体的な脅威(Impact)についていくつか紹介します。 1. 始めに 免責事項 想定読者 2. XSS (Cross Site Scripting) HackerOne Top 10 Vulnerability Types Escalation (Goal) 3. XSS の脅威 (Impact) 3.1 Response Body から Session ID の奪取 3.2 Local Storage から Access Token の奪取 3.3 IndexedDB から Session Data の奪取 3.4 メールアドレスの改ざん 3.5 パスワードの改ざん 3.6 管理者アカウントの招待 3.7 POST Based Reflected XSS 4.
20年目を迎えたセキュリティ・キャンプ、輩出された人材に見るその価値
20年という時間は、人が生まれ、独り立ちするのに十分な時間といえるだろう。 実にそれだけの期間、セキュリティ人材の発掘、育成を目的に継続してきた取り組みが「セキュリティ・キャンプ」だ。文字通り、情報セキュリティやサイバーセキュリティに興味を抱く若い学生を発掘し、現場の最前線で活躍する講師が講義することで、セキュリティ人材を発掘、育成することを目的にしたプログラムだ。 今や、毎年8月に4泊5日の合宿形式で行われる「全国大会」に加え、全国各地で実施される「ミニキャンプ」や、より若い層をターゲットにした「ジュニアキャンプ」、過去の修了生も含め、より高度で掘り下げた内容を学んでいく「ネクストキャンプ」など、多様な形で、より幅広い層に教育を実施するようになっている。 過去には開催母体の変更に加え、「セキュリティ＆プログラミングキャンプ」という名称で実施して裾野を広げたり、「専門コース」を設けて1つの
CSRF 対策はいまだに Token が必須なのか?
CSRF 対策は One Time Token を form なりに付与して、サーバ側でチェックすれば良い。 それをデフォルトでサポートしてるフレームワークなどもあるし、なくてもライブラリでいくらでも対応できる。 どうせ完全にステートレスなサービスはなかなかないので、サーバ側に redis や memcache を用意するのも別に大変じゃない。 なので、 CSRF 対策として Token を付与するのは、最も安全で推奨できる方式ではある。 っていうのを踏まえた上で、もう SameSite=Lax デフォルトだけど、今でも Token 必須なの？みたいなのがたびたび話に出るので、いい加減まとめる。 前提 この話は、スコープがどこなのかによって話が多少変わるので、そこを絞る。 今回は Passive ではなく Active に対策していく場合を考えるので、前提をこうする。 SameSite=l
Twitterカードが貼られたツイートはすべて詐欺です、という時代 - Qiita
最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Giving NIST Digital Identity Guidelines a Boost: Supplement for Incorporating Syncable Authenticators
Secure enterprise browsing: New ways to strengthen endpoint security | Google Cloud Next 2024
Emerging Tech: Security — The Future of Enterprise Browsers
Exchange Online to retire Basic auth for Client Submission (SMTP AUTH)
XZ Utilsにバックドアを仕込んだ謎の人物「Jia Tan」の正体とは？ 専門家たちの推理
GitHub - phish-report/IOK: IOK (Indicator Of Kit) is an open source language and ruleset for detecting phishing threat actor tools and tactics
「確定申告書等作成コーナー」に問題、「Google Chrome」で［次へ］を押しても先へ進めない／国税庁が回避策を案内 【1月19日追記】
OWASP Node.js Best Practices Guide
