FacebookからOAuthを停止されてわかった今時のセキュリティ - Uzabase for Engineers
NewsPicksの高山です。 この記事はUzabase Advent Calendar 2021の23日目の記事です。昨日は我らが赤澤剛さんによるAWS Organizationの記事でした。 去る2021年10月12日に突然NewsPicksのサービスでFacebookログインやFacebookへの投稿ができなくなりました。この状態は12月13日まで2ヶ月もの間継続していて、ユーザーさんには不便を強いてしまいました。 米Facebook本社とメールでやりとりしていましたが、メール返信に何週間も待たされ、Facebook日本法人に助けてもらってようやく解決に至ることができました。 この苦労話はいくらでもできるのですが、今回はセキュリティの切り口で書いていきます。 Facebookの「データ保護評価」 データセキュリティ項目 「すべてのプラットフォームデータストレージ(すべてのデータベース
データ保護評価の導入
2021年8月13日更新:データ保護の評価に関してさらにガイダンスを追加しました。 本日2021年7月22日に、Facebookプラットフォーム上での個人データの管理と保護の方法を守るための最近の施策「データ保護の評価」について紹介します。これは、昨年行ってきたいくつかの施策の次のステップとなるもので、利用者のプライバシーとデータセキュリティに対する私たちのコミットメントを継続的に進化させるものです。そして、このコミットメントはFacebookエコシステム内にいるすべての開発者と共に担っている責任です。 この新しい「データ保護の評価」は、高度なアクセス許可にアクセスするアプリを対象に、アンケート形式で行われます(Exhibit 2を参照)。特に開発者(直接統合者と技術提供者の両方)が、Facebookプラットフォーム利用規約で説明されているように、どのようにプラットフォームデータを使用し、
Zoncolan: How Facebook uses static analysis to detect and prevent security issues
Zoncolan: How Facebook uses static analysis to detect and prevent security issues Facebook’s web codebase currently contains more than 100 million lines of Hack code, and changes thousands of times per day. To handle the sheer volume of code, we build sophisticated systems that help our security engineers review code. Today, we are sharing the details of one of those tools, called Zoncolan, for th
New and improved two-factor lockout recovery process
3. Get locked out for any reason. 4. Contact GitHub Support. 5. Initiate the recovery process by logging into Facebook and use the Recover Accounts Elsewhere feature. At this point, an audit log entry is added signifying a successful recovery. GitHub Support can then use this information as part of a risk-based analysis to decide if proof of account ownership has been established in order to disab
New and improved two-factor lockout recovery process
ProductNew and improved two-factor lockout recovery processStarting January 31, 2017, the Delegated Account Recovery feature will let you associate your GitHub account with your Facebook account, giving you a way back into GitHub in certain two-factor… Starting January 31, 2017, the Delegated Account Recovery feature will let you associate your GitHub account with your Facebook account, giving you
Untilted blog: Pwning Facebook's OAuth 2.0 through URL hash tricks
Thursday, September 6, 2012 Pwning Facebook's OAuth 2.0 through URL hash tricks Introduction: what's OAuth and so forth I'll describe here several flaws in Facebook's authentication with OAuth and how I was able to exploit them for getting access to victim's account on a site, which uses Facebook authentication. Facebook security team quickly responded and rolled out a fix for this issue shortly a
Endpoint Protection - Symantec Enterprise
過去数カ月、ソーシャルネットワークサイトへと誘導しようとするさまざまなスパム攻撃が確認されています。これらの攻撃のほとんどは、何らかのソーシャルエンジニアリング手法の特徴を備えていますが、ときとして、画期的なソーシャルエンジニアリング手法も登場しています。ここでは、そうした手法のなかでも、Facebook で特に重要な CSRF 対策トークンを盗み出そうとしてユーザーを欺く手口を紹介します。 クロスサイトリクエストフォージェリ攻撃 クロスサイトリクエストフォージェリ（CSRF）とは、ある Web サイトで認証済みのセッションを再利用して、ユーザーに気づかれないまま、または同意を得ずにその Web サイトで悪質な処理を実行する攻撃です。たとえば、ユーザーが自分のオンラインバンキングのサイトにログインしているとします。この Web サイトに CSRF の脆弱性があると、別の悪質な Web サイ
text.ssig33.com - Facebook アプリ開発で注意しておくべきこと
Facebook アプリ開発で注意しておくべきこと についてまとめる。以下を守るのはめんどくさいかもしれないが、なるべく守ったほうがよい。 Facebook へのアクセスは失敗するという前提で作る これ最重要 概要 追加権限の取得を必須にしない API アクセスは高い確率で失敗するので失敗した場合のことを常に考える これら二点の問題の解決には JavaScript でなるべく処理することが有効（かもしれない） 追加権限の取得まわりについては、こちらの長文が参考になります。あと当該記事にもコメントしましたが Facebook API の追加権限取得については、「追加権限をどのように使用するか」の説明を追加権限取得時に説明することが出来ます。あまり分かりやすい UI じゃないですが、書かないよりは書くほうがマシです。 また、上記記事は、いわゆる Web のエキスパートユーザーが執筆したもので、
Home - Broadcom Community - Discussion Forums, Technical Docs, Ideas and Blogs
Broadcom Software Academy We are pleased to announce the launch of the redesigned and upgraded Broadcom Software Academy. Enterprise Software Industry analysts agree: a scalable, open and flexible digital business technology platform is mandatory for digital business success. Explore our capabilities NetOps Virtual Summit Discover how leading organizations are using DX NetOps and AppNeta to assure
about Facebook
Facebookのセキュリティ周りについてのリサーチと文章 元のtxt クリックジャッキングで訪問者のFacebookアカウントを取得するスクリーンキャプチャ 文責/連絡先 ma.la mailto:timpo at ma.la / @bulkneets Facebookの問題点に関するテキスト 1 ====== はじめに ------ この文章はma.laが書きました。これは 2011-03-17 に書かれました。 脆弱性の検証に関する実験はそれ以前に行われています。 この文章では、ユーザーの認可無く悪意のあるサイトからアカウントを特定されるリスクと、その対策について書いています。 まず最初に謝りますが、業務上必要であるのでFacebookアカウントを複数取得しています。私は業務上、Facebookアプリケーションの安全性の確認やFacebookのプラットフォームとしての安全性、自社サー
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Apps with 5.8 million Google Play downloads stole users’ Facebook passwords
このページを見るには、ログインまたは登録してください
Wizard Bible vol.58 (2014,8,15)
Privacy & Security: Google vs. Facebook [INFOGRAPHIC] - e-Strategy After Hours