Chrome 80が密かに呼び寄せる地獄 ～ SameSite属性のデフォルト変更を調べてみた - Qiita
Chrome 79以下や他ブラウザのデフォルト値。 Chrome 80からこの値を設定する場合、Secure属性も必須となる。 Aサイトに対し、Bサイトからどのようなリクエストがあっても、発行したサイトでCookieヘッダーに含める (Cookieを使用する) 図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないため
Windows CryptoAPIの脆弱性によるECC証明書の偽造(CVE-2020-0601) - ぼちぼち日記
1. はじめに つい先日のWindowsのセキュリティアップデートでWindowsのCryptoAPIの楕円曲線暗号処理に関連した脆弱性の修正が行われました。 「CVE-2020-0601 | Windows CryptoAPI Spoofing Vulnerability」 これがまぁ世界の暗号専門家を中心にセキュリティ業界を驚かせ、いろいろ騒がしています。 その驚きの一つは、この脆弱性の報告者がNSA(米国家安全保障局)だったことです。NSAはMicrosoftのアナウンスとは別により詳しい内容でこの脆弱性を警告するアナウンスを出しています。 「Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers」 これまで数々の諜報活動をインターネット上で行ってきたNSAが、この脆弱性を
バックドア化したASUS Live Updateを通じた攻撃（Operation ShadowHammer）についてまとめてみた - piyolog
Kaspersky LabはASUSが提供するソフトウェア「ASUS Live Update」がバックドア化し、一部ユーザーを対象にマルウエアを配布する攻撃が展開されていたとして調査結果の一部を発表しました。この攻撃を同社は「Operation ShadowHammer」と呼称しています。ここでは関連する情報をまとめます。 Kaspersky Labの調査報告 securelist.com 詳細は2019年4月8日～11日にかけシンガポール開催されるSASで報告される予定。 また同社の調査報告についてMotherboardが取材した記事が公開されている。 motherboard.vice.com 2019年3月21日に取材依頼を行っているがASUSからの返事がない模様。 securelist.com ASUSの反応 Secure your ASUS PC devices now! Down
「Kubernetes」に深刻な脆弱性
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2018-12-04 10:36 「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム（CVSS）による深刻度は9.8（最大値は10.0）となっている。 特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそ
WebAuthn in a nutshell - NTT Tech Conf #3 (ja)
3月にW3Cで勧告候補になったWeb Authentication仕様。生体認証による利便性と、仕様レベルで組み込まれたフィッシング対策による安全性が特長の新しいWeb認証方式です。 如何にしてWebAuthn仕様が利便性と安全性を両立しているか、サーバーサイドをOSSライブラリとして実装して得られた知見を元に仕様を解説し、また、ブラウザ、認証デバイスの対応状況についても紹介します。
MySQL(Aurora) への接続を tcpdump でのぞき見してみて判ったことのメモ - ようへいの日々精進XP
MySQL への接続を tcpdump でのぞき見してみて判ったことのメモ tl;dr MySQL 等のデータベースに接続してクエリを発行するまでを tcpdump でのぞき見してみたて判ったこと等を雑にメモ。 参考 http://yuuki.hatenablog.com/entry/architecture-of-database-connection http://d.hatena.ne.jp/ASnoKaze/20141227/1419697189 http://dev.mysql.com/doc/internals/en/connection-phase.html 完全に理解しきれていませんが、とても参考になりました。有難うございますm(__)m 準備 環境 Amazon Linux RDS（Aurora）→ せっかくなので Aurora を初体験してみた WireShark（Ve
MySQLのプロトコルを学ぶ - ASnoKaze blog
今年ももうそろそろ終わりですね。 沢山パケットキャプチャした方も、そうでない方もいらっしゃると思いますが、今年残り僅かの日々も大事にパケットキャプチャしていければな思います。 じつはWiresharkではMySQLのプロトコルに対応しているのは知っていたのですが、試したことなかったのでせっかくの機会ですので試してみることにしました。特にレプリケーション周りは個人的にも気になっていました(試してないですがGTID使うパターンも気になる) 個人的には実際にパケットキャプチャをしながら資料を読むのが、結構理解につながるなと思っています。 今回は以下のページなども参考にしました。 MySQL Internals Manual MySQLのプロトコル解説 MySQLユーザーのためのMySQLプロトコル入門 環境 ubuntu 14.04 mysql 5.5 mysql client - mysql
クラウド セキュリティを牽引する Google Cloud の新サービス | Google Cloud 公式ブログ
*この記事は米国時間 7 月 25 日に Keyword に投稿されたものの抄訳です。 クラウドへの移行には綿密な計画や ”ハードワーク“ が求められますが、もっと根本的な点において重要なのは「信頼」です。クラウド プロバイダーがデータの安全性を保証し、脅威から守ってくれるという信頼に加え、管理者がきちんと状況を把握できるように、高い透明性を保った上で、上記のことを実践してくれるという信頼が必要です。脅威がますます複雑になる中、クラウド プロバイダーに対しては、セキュリティ イノベーションの最前線に立ち、システム保護の新しい方法を生み出すよう絶えず努力することが求められています。 私たち Google は、お客様のさらなる保護を目的に、20 件以上のセキュリティ拡張を今年 3 月に発表しました。それから 4 か月という短い期間にセキュリティ機能をさらに追加、対象も拡大しました。この記事では
AWS Organizationsによるマルチアカウント戦略とその実装 - クラウドワークス エンジニアブログ
SREチームの @tmknom です。ジョジョ5部のアニメ化に興奮を隠せない今日このごろです。 みなさん、AWS Organizationsは使ってますか？ クラウドワークスでも最近使い始めました。AWS Organizations、超絶便利です。こんなに便利なのに、意外と公開されてる事例が少なくて、ぐぬぬってなります。というわけで、使い始めたばかりですが、サクッと公開してみます。他の会社さんも、公開してくれ！！ AWS Organizations マルチアカウント戦略 先行事例の調査 コンセプト策定 Terraform戦略 Terraformモジュールによる共通化 インフラテンプレート VPCのIPアドレス空間 メールアドレスの管理ポリシー OU（Organizational Unit）の責務 管理用AWSアカウントの責務 Masterアカウントによるアカウント管理 組織 OU（Orga
指紋認証を悪用した悪質広告が話題に 広告タップ → 指紋認証起動 → 触ってしまうと週5500円の定期購入発生
スマートフォンの指紋認証を悪用した、悪質な広告がTwitterで確認され、話題になっています。投稿者によると、広告をタップし、ホームボタンに触れただけで指紋認証が行われ、5500円のアプリを購入したことになってしまったとのこと。しかもアプリは1週間ごとの継続課金になっており、放置しておけば毎週ごとに5500円が請求され続ける仕組みになっていたようです。 画像提供:えぴたん（@epitan25）さん 問題のアプリは「Dora - Photo Editor」というアプリとみられています。投稿者によると、広告をタップしたところすぐに指紋認証画面が立ち上がり、スクリーンショットを撮るためにホームボタンに触れたところ、すぐに課金完了になってしまったとのこと。編集部ではこの広告を発見することができませんでしたが、投稿者はTwitterで1回、Instagramで10回程度確認したといいます。 【訂正:
Simplify Login with Application Load Balancer Built-in Authentication | Amazon Web Services
AWS News Blog Simplify Login with Application Load Balancer Built-in Authentication Today I’m excited to announce built-in authentication support in Application Load Balancers (ALB). ALB can now securely authenticate users as they access applications, letting developers eliminate the code they have to write to support authentication and offload the responsibility of authentication from the backend
AWS Config が新しいマネージド型ルールをサポート
AWS Config が新しい ７ つのマネージド型ルールをサポートするようになりました。これらは、AWS リソース設定が一般的なベストプラクティスに準拠しているかどうかを評価するために AWS Config が使用する事前定義されたルールです。 以下のマネージド型ルールがサポートされるようになりました。 codebuild-project-envvar-awscred-check アクセスキー ID またはシークレットアクセスキーをプレーンテキストの環境変数として保存するプロジェクトを識別します。このルールは、AWS CodeBuild プロジェクトのセキュリティ体制を向上させます。 codebuild-project-source-repo-url-check ソースリポジトリ URL でパーソナルアクセストークン、またはユーザネームとパスワードのいずれかを使用するプロジェクトを識別し
［速報］HashiCorp、インフラ変更全体にまたがるアクセス権を設定する「Sentinel」発表。「Policy as Code」を実現するフレームワーク。HashiConf'17
［速報］HashiCorp、インフラ変更全体にまたがるアクセス権を設定する「Sentinel」発表。「Policy as Code」を実現するフレームワーク。HashiConf'17 仮想マシンの構成管理ツールであるVagrantなどで知られるHashiCorpは、9月18日からイベント「HashiConf'17」を開催しています。 同社は20日（日本時間）、新ツール「Sentinel」を発表しました。 同社はAWSやAzureなどのクラウドをコードで構成する「Terraform」など、インフラ構成をコードを用いて自動化するさまざまなツールを提供しています。 こうしたツールは便利な一方、操作ミスや記述ミスなどがあると一気にインフラを破壊してしまい、ビジネスに大きな影響が出かねません。 Sentinelは同社のインフラ構成ツール全体にまたがるアクセスポリシーを設定することで、アクセス権のない
「中華ウェブカメラ」のセキュリティについて - 黒林檎のお部屋♬
黒林檎です。 今日は、IPカメラをハッキングしていこうと思います。 ◆最初に 巷で話題のIPカメラ『VSTARCAM Mini WIFI IP Camera 技術基準適合認定済み有線/無線LAN対応ネットワークカメラ C7823WIP』をハッキングして、どんなセキュリティリスクがあるか考えていきたいと思います。 hardshopper.hatenablog.com 最初に疑ったことはスピーカーの破損によるシステム音声のボヤきだったので、ウェブカメラで再生される音声データを抽出してみましたが、該当しそうな音声データはありませんでした。 中国カメラ音声 - Google ドライブ 金曜日にこんな面白い話が降ってきたので、速攻ポチって買いました。 同じシステムを使っているカメラを購入してハッキングしていたので、そこまで時間掛けずにハッキングできるだろうといったところでした。 (図)IPカメラ 私
npmjs.com で著名ソフトウェアによく似た名前のマルウェアが大量に発見された - Islands in the byte stream
Malicious packages in npm. Here’s what to do | Ivan Akulov’s blog People found malicious packages in npm that work like real ones, are named similarly real ones, but collect and send your process environment to a third-party server when you install them 訳: 悪意のあるパッケージがnpmで発見された。それらは、実際のパッケージによく似た名前で同じように動くが、パッケージのインストール時にプロセスの環境変数を外部のサーバに送信する。 発見されたパッケージの一覧は元エントリをどうぞ。このようなマルウェアである偽パッケージの一例をあげると、 ba
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か／有志のセキュリティエンジニアによる調査で発覚
セキュリティログ分析基盤の構築 on AWS - Speaker Deck
AWS のマネージドサービスを使ったセキュリティ強化のための自動化 / aws-security-automation - Speaker Deck
SIOS Tech. Lab - エンジニアのためになる技術トピックス
ネット史上初めての「KSKロールオーバー」が始まる、名前解決できなくなる前にDNSサーバーなど設定確認を！ 今年9月は特に注意 「Internet Weekショーケース in 名古屋」の発表から
