SQLの暗黙の型変換はワナがいっぱい
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2009年9月24日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり このエントリでは、SQLにおいて「暗黙の型変換」を使うべきでない理由として、具体的な「ワナ」をいくつか紹介します。 数値項目に対するSQLインジェクション対策のまとめにて説明したように、RDBの数値型の列に対してSQLインジェクション対策をする方法として、以下の三種類が知られています。 バインド機構を用いる パラメータの数値としての妥当性確認を行う パラメータを文字列リテラルとしてエスケープする このうち、方法3を使うべきでない説明の補足です。具体的には、方法3には、「暗黙の型変換」が発生しますが、それが思わ
楽天が「security.txt」を導入
楽天グループがWebサーバーに「security.txt」と呼ぶテキストファイルを置き、脆弱性▼情報の受付窓口としてVDP（Vulnerability Disclosure Program、脆弱性開示プログラム）を開始したことがSNSで話題になった。2023年10月2日のことだ。同社広報はこれを事実だと認めた。 security.txtは、米Apple（アップル）や米Google（グーグル）、米GitHub（ギットハブ）、米IBMなど、海外IT大手は既に導入している。一方、日本では少ない。security.txtとは何か、国内でなぜ普及しないのか、脆弱性情報の受け付けとの関連性は――。順に見ていこう。 セキュリティーが高まる理由 security.txtとは、当該企業が提供する製品やサービスの脆弱性情報を見つけた人が通知する窓口を示すためのファイルだ。その仕様は、インターネット関連技術の標
嫌いな相手に糞尿を匿名配送するサービス「ShitExpress」から顧客情報漏れる。利用者のハッカーが脆弱性突く | テクノエッジ TechnoEdge
ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 気に入らない知人や何らかの理由で敵対する相手に対し、匿名で動物の糞尿にメッセージを添えて送りつけられるサービス「ShitExpress」が、サイトの脆弱性を突かれてデータベースをまるごとダウンロードされ、ハッキングフォーラムに公開される事態が発生しました。 ShitExpressのウェブページは日本語にも対応しており、そこには「あなたを悩ますあの人、この人を思い浮かべてみてください」、「もし、その人たちにクッサーいサプライズを贈ることができるとしたら？」と書かかれています。そして送りつけるウ〇コの種類(動物)や箱に飾りのスマイリーシールを貼付するか否かなどのオプションを選択して送付できるようになっています。価
失われたユーザー目線と赤黒の気概―― ディスクユニオン漏洩騒動
株式会社ディスクユニオンは29日、70万件以上の顧客情報が漏洩したと発表した。SNS界隈では前日28日からダークウェブへの流出が確実視（スクショあり）されていたが、夜が明けてからようやく重い腰を上げて公表に踏み切った。 以下に続く散文は、ユニオンを愛する者の率直な心境と受け止めていただきたい。 ※6/30夕刻追記： 昨日のニュースを見た勢いで書きなぐった時は、自分自身の心のモヤモヤを吐き出すことがこのダイアリーの主目的であり、少しトーンが過剰な部分などもあったなと、今あらためて読み直し反省しています。 少しだけ、言葉足らずだった部分を加筆などしておりますが、ご容赦ください。 ◆致命的だった顧客意識とのズレ 今回の騒動で特に問題だったと感じるのは以下の3点だ。 ・パスワードの平文保存 こんなご時世だ。悪意のある行為で情報が流出してしまうリスクはどんな業種であっても否めない。ただ、今回最悪だっ
不正アクセスによる会員様情報流出に関するお詫びとお知らせ – 株式会社ネットマーケティング
この度、当社が提供する恋活・婚活マッチングアプリ「Omiai」を管理するサーバーに対し、外部からの不正アクセスを受け、会員様情報の一部が流出した可能性が高い事が判明しました。 本件に関して、現時点で判明している概要と対応につきまして、下記の通りご報告いたしますとともに、会員様および関係各位の皆様にご心配、ご迷惑をおかけすることとなり、深くお詫び申し上げます。なお、現時点におきまして、今回の事案に関わる個人情報の不正流用等の事実は確認されておりません。 今後当社は、会員様情報の不正流用の発生防止に努めるとともに、本件に誠意を持って全力で対応させていただく所存でございます。皆様にご心配をおかけすることを重ねてお詫び申し上げます。 今回の対象のお客様におかれましては、万が一身に覚えのない連絡や、心当たりのないコンタクトがあった場合、念のためご注意をお願いいたします。また、何かお気づきの点がござい
ベストなパスワードマネージャーはこれ！数十種類から厳選してみた
ベストなパスワードマネージャーはこれ！数十種類から厳選してみた2020.11.25 21:0063,872 Andrew Cunningham, Thorin Klosowski -WIrecutter ［原文］ （ satomi ） Tags : プロダクトバイヤーズガイドWirecutterソフトウェアレビュー ネットで個人情報が盗まれたら大変！ 保護の基本は2段階認証とパスワード管理ソフトというわけで、今回はガジェット徹底比較でおすすめをバシッと言い切る信頼の米国メディア｢Wirecutter（from The New York Times）｣ が数十種類を審査、4つをテストして、機能と互換性、堅牢性、使いやすさの観点から選んだベストを紹介します。 イチ押し：1Password1Passwordアプリは使いやすさ抜群。読みやすい文章でセキュリティのおすすめが表示され、使う人の身に立っ
note執筆者のIPアドレスが漏洩 接続元IPアドレスが一致しても同一人物とは限らないが（楠正憲） - エキスパート - Yahoo!ニュース
利用者が記事を配信・販売できるサービスnoteで8月14日、執筆者のIPアドレスを確認できてしまう不具合が見つかり、運営元は謝罪し同日中に修正しました。同社は「一般的なIPアドレスから、個人情報を特定することはできません」としていますが、ネットでは有名人のIPアドレスと一致する5ちゃんねる投稿が検索されるなど騒ぎは続いています。IPアドレスから個人を特定されたり、他の投稿との名寄せが行われるリスクはどの程度あるのでしょうか。 IPアドレスとはインターネットで通信を行う際に必要な差出人・宛先を示す住所のことです。現在IPv4、IPv6という2つの世代の技術が利用されており、note社のサービスはIPv4のみを利用しています。インターネットのIPv4アドレスは2011年に枯渇し、その後も利用者が増え続けたISPではCGNAT等の技術を用いることで数百人の利用者が同じIPアドレスを共用しています
【お詫び】IPアドレスが他者からも確認できてしまう不具合について｜note株式会社
経緯と再発防止策について追加のご報告をいたしました。くわしくはこちらをご覧ください。https://note.jp/n/naf3775e93a58 （2020年8月14日 22:33追記）noteサービスにおいて、記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまう不具合が存在していました。 なお、一般的なIPアドレスから、個人情報を特定することはできません。 現在は、該当部分を修正し問題なくご利用いただける状態です。ご迷惑をおかけして、大変申し訳ありませんでした。 今回の不具合により、名誉毀損などの被害をこうむったクリエイターに対しては、ご本人と連携して法的措置を含めてnote社がサポートいたします。 以下、発生内容と今後の対策についてご報告します。 IPアドレスとは？ インターネットでの通信先の情報です。一般的にはIPアドレスは地域や建物、組織で同一の値が共有され
例のTikTokのキーロガー疑惑について解説するよ
結論から先に。TikTokはevil。でもやじうまWatchの記事はデマに近い。 問題のやじうまWatchの記事iOS 14でバッチリ可視化、TikTokが「他アプリで入力中のテキスト」を逐一読み取る様子 https://internet.watch.impress.co.jp/docs/yajiuma/1261591.html 6/27 追記 6/26のうちに訂正された模様。よかったよかった。以下は訂正前の記述について述べたものなので、後世の人たちはそのつもりで読んでいただきたい。 この記事のどこが問題か他のアプリで入力中のテキストをほぼリアルタイムで逐一読み取っている様子を可視化したムービー いきなり最初のセンテンスから間違い。 TikTokは「他のアプリで入力中」のテキストを「ほぼリアルタイムで」「逐一」読み取っていたりしないし、元動画もそういう内容ではない。 元動画の内容は、「Ti
天才プログラマーが２週間で構築 テレワークシステムが好評
新型コロナウイルスの流行を機に、ＮＴＴ東日本が開発し無償提供しているテレワークシステムが好評だ。自宅のパソコンから安全に職場のネットワークに入れるシステムで、利用者はすでに３万２千人を超えたが、驚くべきはこのシステムがわずか２週間で開発された点だ。携わったのは同社が４月にヘッドハンティングした登大遊（のぼりだいゆう）さん（３５）。業界では名の知れた天才プログラマーだ。 「短期間で作ったシステムだが、大きな事故はない。今後のシステム開発にとって大きな価値になる」 そう語る登さんは、小学生でプログラミングを始め、高校時代にはプログラミングに関する著書を出版。筑波大在学中に開発した独自のＶＰＮ（仮想プライベートネットワーク）システムで平成１９年に経済産業相表彰も受けた。今も同社に籍を置きつつ、筑波大准教授や自ら起業したソフトウエア会社の代表も務める。 国のサイバーセキュリティー研究の中核を担う独
海外のエッチなサイト見まくり、添付ファイルをバンバン開いていたマルウェア感染PCをヘルプし、最終的にFANZAを教え一件落着した話
たび @mesotabi 流石に少しフェイクを混ぜるが… ･個人商店の1台しかないパソコン ･お父さんが海外のえっちサイトを見まくる ･メールも添付ファイルをバンバン開く ･余裕でウイルスにもマルウェアにも感染。 ･詐欺ポップアップ無限ループ祭り開催。 ･出てきた偽サポート電話番号に国際電話してしまう。 続く↓ 2020-05-09 11:27:13 たび @mesotabi ･電話して謎のマイケルさんにリモート制御権を渡してしまう ･マイケルさんがPCを修理してくれる！(※もちろん詐欺) ･コンビニの店員さんも警察も「それは詐欺だよ」と言っても「マイケルさんがPC治してくれたけんね」とGoogleカード数万円を送金 ･送金数日後、またPCが乗っ取られて警告祭り 続く↓ 2020-05-09 11:27:13 たび @mesotabi ･PCを乗っ取られたタイミングで、偶然カタコトの日本語
LANケーブルをニッパーで切断し５秒でネットワークへ侵入・盗聴できるか実験してみました
サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず
Windowsのパスワードを「chntpw」で強制リセットしてログインできなくなったPCを使えるようにする方法
コンピューターにパスワードを設定することは、セキュリティの観点から非常に大切なことですが、そのパスワードを失念してしまったり、前の持ち主からパスワードを聞きそびれてしまったりした場合、コンピューター内のデータにアクセスできなくなってしまう事態に陥ってしまいます。「chntpw」はWindowsのパスワードを強制リセットし、そうした事態を回避することができるコマンドです。 chntpw | Remove, bypass, unlock and reset forgotten Windows password http://www.chntpw.com/ Windowsのパスワードを忘れてしまい、誤ったパスワードを入力すると、画像のように「パスワードが正しくありません。入力し直してください。」と表示され、ログインができなくなってしまいます。 chntpwはLinux上で動作するコマンド。今回は
米グーグルはテレワークでVPNを使わない、なぜなら「あれ」が危険だから
新型コロナウイルス対策として様々な企業で在宅勤務が推奨される中、VPNに関する発言を耳にする機会が増えた。「大勢が使い始めたので速度が落ちた」「社内からの利用申請が急増した」といった恨み言が中心だが、興味深いものもあった。なんでも「グーグルはテレワークにVPNを使っていない」のだという。 米グーグルは従業員が在宅勤務をする際にVPNを一切使っていない。インターネット経由で利用できるSaaS（ソフトウエア・アズ・ア・サービス）の「G Suite」などで業務が完結するから、といった単純な話ではない。開発システムや経理システムといったあらゆる種類の社内アプリケーションが全てインターネット経由で利用できるようになっているため、従業員はそもそもVPNを利用する必要がないのだという。 同社はこうした社内事情を「BeyondCorp」という取り組みとしてWebサイトや論文で公開している。さらに2017年
「パスワードは複雑さより長さが大切」 FBIが指南
パスワードは複雑にする必要はない。ただ長くすればいい――。米連邦捜査局（FBI）のそんな勧告が話題になっている。根拠としているのは、米国立標準技術研究所（NIST）がまとめた最新版のガイドライン。破られにくく、かつ覚えやすい文字列を作り出すため、パスワードではなく「パスフレーズ」の使用を勧めている。 これまでパスワードといえば、アルファベットの大文字と小文字、数字や記号を使ってできるだけ複雑にするのが望ましいとされてきた。ところがNISTの勧告では、パスワードの複雑さよりも、長さの方が、ずっと大切だと説く。 そこで、長くてしかも覚えやすい文字列をつくりだす手段として提言しているのが、複数の単語を組み合わせたり文章をつなげたりするパスフレーズ。FBIは強いパスフレーズの一例として、「VoicesProtected2020WeAre」「DirectorMonthLearnTruck」などを挙げ
ラブホ検索サイト「ハッピーホテル」で会員情報漏えい サービス一時停止
USEN-NEXT HOLDINGS傘下でホテル管理システムなどを手掛けるアルメックス（東京都品川区）は12月24日、ラブホテル・レジャーホテル検索サイト「ハッピーホテル」の会員情報が漏えいした可能性があると発表した。現在はサービスを一時停止し、原因を究明しているという。 漏えいした可能性があるのは、メールアドレス、ログインパスワード、ハンドルネーム、誕生日、性別、都道府県市区町村までの住所のみ。現時点では氏名、市区町村より先の住所、電話番号、クレジットカード情報、ホテルの予約者情報の漏えいは確認していないという。 原因は22日ごろに発生したサイバー攻撃で、ハッピーホテルのシステムの脆弱性が狙われたとしている。 同社は公式サイトで謝罪し、他社サービスなどでパスワードを使い回している場合は変更するように呼びかけている。 関連記事 「見破るのは実質不可能」──ECサイトからカード番号盗む“最新
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
三井住友フィナンシャルグループ、艦これに関する他愛も無い言い争いからソースコード流出が発覚か : 市況かぶ全力２階建
45歳プログラマーさん、警察庁とNTTとSMBCのソースコードを世界に無償公開してしまう
Hiromitsu Takagi on Twitter: "COCOAにつき本日業務で接したため利益相反等の観点からこれ以降COCOAについては言及しないことになります。今後私が言及していないからといって問題がないということにはならないことにご注意ください。なお、アプリによるコロナ対策と個… https://t.co/SfXtoKeaPS"
はまちや２ on Twitter: "自称セキュリティ専門家ってのは相手が大きいほど「ほーらここにバグがあった！！」と言いたいもんなんだよ。いわば只の鍵屋なんだけどね、そうしないと食っていけないからね"
