Brian Tracy - copy-paste-shell
Don't Copy Paste Into A ShellWhen you see a shell command on the Internet, do not copy it into your terminal. Modern JavaScript Clipboard APIs allow a website to trivially overwrite what you put inside your clipboard, without the user's confirmation or permission. Here is an example of how easy it is to perform this attack. Imagine that the red text below is a shell command you want to use. Below
HTML5のLocal Storageを使ってはいけない（翻訳）｜TechRacho by BPS株式会社
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す
HTTP Security Headers - A Complete Guide
SECURITY IS AWESOME SECURITY IS AWESOME I write about security and privacy. I regularly post original security research, custom tools, and detailed technical guides. Companies selling "security scorecards" are on the rise, and have started to become a factor in enterprise sales. I have heard from customers who were concerned about purchasing from suppliers who had been given poor ratings, and in a
TLS1.3時代の新常識
TLS • TLS (reliable) endpoint endpoint CC BY 3.0 https://www.youtube.com/user/TheWikiLeaksChannel ClientHello+ ApplicationData end_of_early_data Finished ServerHello EncryptedExtension ServerConfiguration Certificate CertificateVerify Finished ApplicationData
共用サーバに対する不正アクセスと思わしき事象について - tike blog
はじめに SEOポイズニングによりユーザを偽ECサイトに誘導しようとする試みは今もなお続いています。 当ブログでは、過去にSEOポイズニングの手法の一つについてご紹介しました。 tike.hatenablog.com このような偽ECサイトに誘導することを目的としたコンテンツが、ある共用サーバ上の複数のWebサイトに集中的に配置された形跡が確認できましたので、ご紹介したいと思います。 きっかけ 調査のきっかけとなったは、以下の不正コンテンツを目にしたことでした。 ある 属性・地域型JPドメインのサイトに対して、偽ECサイトに誘導するコンテンツが設置されていました。 同種のJPドメインのWebサイトで同じような不正コンテンツが設置されているケースをいくつか見かけていたという経緯もあり、調査することにしました。 Webサイトを調査してみた 先ずは urlscan.io で見てみます。 urls
Chromeを起動しているとhttp://unanalytics.comに飛ばされて警告が出るようになった - ブログ運営メモ
chromeを起動しているといつの間にかダブがhttp://unanalytics.com に飛ばされてしまいこういったなんとも恐ろしい画面が表示されるようになった。 とりあえずMcafeeでCドライブをスキャンしてみたが反応はなし。 誤作動的なものかとも思ったが、ググってみたら結構同じような人がいて拡張機能のBetter Historyが原因だと指摘する書き込みも発見。 早速Better Historyを削除まではせず一時停止したが、その後はこの警告画面は出てきていない。 Better Historyを入れてない人にも表示が出ているパターンもあるのでまだ完全に収まったとは言えないが、とりあえず安心は出来ました。 Better Historyはすごく検索履歴を見やすくしてくれるアプリで、ユーザー数も多かったけど、これ拡張機能開発者側の故意だったら怖いなー。 ちなみにセキュリティ無視するとこ
W3C、パスワード不要のウェブ認証「Web Authentication」を勧告候補に
パスワードには問題があり、多くの人がパスワードを適切に管理していない。そこで代替策が、複数の主要ウェブブラウザでサポートされる。Google、Mozilla、Microsoftは今後、パスワード不要の認証方式を「Chrome」「Firefox」「Edge」の各ブラウザに組み込む見通しだ。 World Wide Web Consortium（W3C）は米国時間4月10日、FIDO Allianceから提出された「Web Authentication（WebAuthn）」の仕様を勧告候補（Candidate Recommendation）の段階に進めたと発表した。 これが実装されれば、ユーザー名とパスワードを使わなくても、一意の暗号鍵を使って別のデバイスにIDを保存することで、セキュリティを管理できるようになる。また、PIN（暗証番号）や、指紋、顔認証などの生体認証データを使って、オンライン接
SSL/TLSについてまとめ2018 - Qiita
はじめに SSL/TLSについて改めて理解を深めたい思い、関連する技術についてまとめました。 本記事はTLSに関すること主題として、HTTPS、暗号化、Apache、OpenSSL等について記載しています。 SSL/TLSの通信は色々なプロトコルや暗号化方式が組み合わされ補いあってできています。暗号化の仕組みはパズルのようで面白いです。一つ一つを読み取り理解が深まるごとで、SSL/TLSって本当によくできると思いました。フレームワークの意味について考えさられます。 HTTPSの通信 HTTPSの通信はTCP/IPプロトコルスイートとして、TCPの上層にSSL/TLSがあり、アプリケーションプロトコルのHTTPプロトコルが載って通信をしています。 コネクションとセッションは通信の概念として別になります。TCPでクライアントからWebサーバに対してコネクション(経路)が確立され、その上でセッシ
インターネット分離、公共系に続き企業にも拡大--ITR調べ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ITRの市場予測によると、2016年度の国内インターネット分離市場の売上高は33.7億円で、前年度比63.6％増と大幅な伸びをみせた。 2015年11月に公表された総務省の報告書「新たな自治体情報セキュリティ対策の抜本的強化に向けて」の中で、自治体情報システム強靭性向上モデルによる庁内ネットワークの分割と適切な強靭化の実施といったインターネット分離に関するガイドラインが明らかにされたことから、公共・公益分野において導入が急増した。 2017年度にはインターネット分離の認知度の上昇とともに、公共・公益分野での導入実績を一般企業にも広げ、幅広い業種への導入が期待される。このことから、ITRでは同市場が2016〜2021年度にかけて年平均13
Web分離（インターネット分離/ネットワーク分離）とは？サービス導入の検討ポイントを紹介 – IIJ
Web分離 （インターネット分離/ネットワーク分離）に ついて知りたい Web分離 （インターネット分離/ネットワーク分離） 導入の背景 - メールだけではない!? 深刻化するWeb閲覧に潜む脅威 - 増加するランサムウェアや標的型攻撃の被害。攻撃の入口としてメールだけではなくWeb経由からの攻撃被害が増加しています。 Web経由の攻撃が悪質なのはユーザが「攻撃を受けたことに気づきにくい」点です。代表的な攻撃には、不正広告経由でマルウェアサイトに転送される「マルバタイジング」やサイトを改ざんしてマルウェア感染させる「水飲み場型攻撃」などがあります。 ユーザ側で気付くことが困難なこうした攻撃は企業にとって大きなリスクになります。 Web経由の攻撃の多くはWebコンテンツの脆弱性を利用していますが、未知の脆弱性を利用される可能性もあり、企業側で脆弱性対応を完全に行うことは難しい状況です。 We
Wildcard Certificates Coming January 2018 - Let's Encrypt
Update, March 13, 2018 Wildcard certificate support is live. Let’s Encrypt will begin issuing wildcard certificates in January of 2018. Wildcard certificates are a commonly requested feature and we understand that there are some use cases where they make HTTPS deployment easier. Our hope is that offering wildcards will help to accelerate the Web’s progress towards 100% HTTPS. Let’s Encrypt is curr
pixivを常時HTTPS化するまでの道のり（後編） - pixiv inside
ピクシブ株式会社で開発基盤チームとして働いている @catatsuy です。 前編ではpixivを常時HTTPS化する前にやった前準備として、広告、画像といったリソースをHTTPSに切り替える際の手順を紹介しました。 pixivを常時HTTPS化するまでの道のり（前編） - pixiv inside 後編では実際にpixivのアプリケーション自体を常時HTTPS化していく手順を紹介します。 従来のHTTPS配信 pixivはPHPアプリケーションを実行するアプリケーションサーバー(Apache/mod_php)の前段にnginxを配置する構成になっています。以前からセキュリティ的に重要なページはHTTPSで提供しており、nginxでHTTPS終端処理を行っていました。HTTPSで応答する場合はアプリケーションサーバーにX-HTTPSヘッダーを付けてプロクシーしています。 具体的には以下のよ
認証プロキシをなんとかするためにツールを作っている話 - にわはんみょうをまぜま
【要約】認証プロキシをなんとかするためにツールを作ってGitHubで公開した。 経緯 社内ネットワークからhttp/httpsで外部に出る際にはプロキシを通さなければならない、 という環境は多いと思います。 こういうプロキシの中にはユーザー名とパスワードを入れないと通してくれないタイプのものがあります。 認証プロキシというやつですね。 これは本当に頭痛のタネです。 さすがにブラウザとかは認証プロキシに対応しているのですが、 これに対応していないソフトウェアも結構あります。 今時いろんなソフトウェアがhttp/httpsで通信していまして、 特に開発系のツールは必要なコンポーネントをhttp経由で自動的に取ってくるみたいな動作をすることが多いのです。 こういうソフトウェアの多くが素の状態では認証プロキシを通らない。 家で試すと特に問題なく動くツールが、 会社環境だと意味不明なエラーで動かなく
「Microsoft Edge」からパスワードを盗む攻撃手法が判明、対策はほぼなし？
関連キーワード Windows 10 | Microsoft（マイクロソフト） | JavaScript | セキュリティリスク | 脆弱性 研究者が明らかにしたRow Hammer悪用攻撃とは あるセキュリティ研究者が、メモリ重複排除と、「Row Hammer」（メモリセル間の干渉が引き起こすエラー）のエクスプロイト（攻撃コード）を組み合わせた攻撃の概念実証を発表した。JavaScriptを使ったこの攻撃では、攻撃者が「Windows 10」で稼働するWebブラウザ「Microsoft Edge」に対する読み取り／書き込みアクセス権限を入手できる。企業にとってこの脅威は重大なのか。この脅威に対策はあるのか。 併せて読みたいお薦め記事 「Microsoft Edge」はIEよりも安全なのか さようならIE、「Microsoft Edge」が挑むWebブラウザセキュリティの極北 “危険なIE
XSSを防ぐ新しいXSS-Protectionヘッダ - ASnoKaze blog
evalとreportOnlyについて追記しました (2016/10/10) 2016/10/20 仕様名は以下の通りになりました。Anti-XSS Response-Time Uniqueness Requirement また、ヘッダ名は、XSS-Protectionヘッダではなく、ARTURヘッダとなっておりますが、また変更される可能性があります。 Googleの調査によると、CSPによるXSSの防止は現実的にデプロイの欠陥によりXSSの防止効果がないことを示しています。調査は「CSP Is Dead, Long Live CSP!」としてACMのカンファレンスで発表され、ペーパーも閲覧することができます。 9月に行われたW3C TPAC 2016のWebAppSecのミーティングで議論され、GoogleのMike West氏より新しくXSS Protectionという仕様が提案されて
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - aruneko/WebUSB-MyNumberCard
Burp Suite - Application Security Testing Software
CSP Is Dead, Long Live CSP! On the Insecurity of Whitelists and the Future of Content Security Policy
ウェブサイトのセキュリティを自動判定する「Observatory by Mozilla」 
