馬鹿じゃないのか。このようなセキュリティに関わる情報公開ページは https:// で提供する（閲覧者が望めば https:// でも閲覧できるようにする）のが当然なのに、携帯電話会社ともあろうものが、そろいもそろってこんな認識なのだ。 （8月2日追記: ソフトバンクモバイルについては「7月27日の日記に追記」参照のこと。） それをまた、ケータイWeb関係者の誰ひとり、疑問の声をあげていないことがまた、信じ難い。何の疑問も抱かずにこれをそのまま設定しているのだろう。 こんな状態では、ケータイWebの運営者は、DNSポイゾニング等で偽ページを閲覧させられても、気付かずに、偽アドレス入りの帯域表を信じてしまうだろう。 つまり、たとえば、example.jp というケータイサイトを運営している会社が example.co.jp であるときに、攻撃者は、example.co.jp のDNSサーバに
「今までにもさまざまな情報漏えい事故が発生しているが，Winny（ウィニー）のような『匿名P2Pファイル共有』による情報漏えいは最悪のパターンといえる。匿名P2Pネットワークが存在する限り，（情報を漏えいした／漏えいされた人の）被害が永遠に続く可能性があるためだ」---。カーネギーメロン大学（CMU：Carnegie Mellon University）日本校教授の武田圭史氏は5月15日，同校が開催したオープン・カンファレンスにおいて，「匿名P2Pネットワークでの情報漏えい事故と今後の対応」と題して講演した。 武田氏は，“P2P型情報漏えい（匿名P2Pファイル共有による情報漏えい）”が，Webやメールなどによる情報漏えいと大きく異なる点として，「漏えいした情報に誰でもアクセスできる状態が継続する」ことを挙げる。 Webやメール経由といった従来の情報漏えいでは，漏えいが発生したときにしか，基
「Winny（ウィニー）に見つかった脆弱性（セキュリティ・ホール）を突いて感染を広げるワームは作成可能だ。Winnyのような『匿名P2Pファイル共有』では，ユーザーは自分でポートを開けているので確実に攻撃されてしまう」---。米eEye Digital SecurityのSenior Software Engineerである鵜飼裕司氏は5月15日，カーネギーメロン大学日本校が開催したオープン・カンファレンスにおいて，Winnyの仕組みなどについて講演した。 鵜飼氏はWinnyに見つかった脆弱性の脅威についても言及（関連記事：発見者が語る「Winnyのセキュリティ・ホール」）。この脆弱性を突いてWinnyマシンに感染を広げるようなワームを作成することは可能であるという。Winnyを稼働しているマシンでは，通常，Winnyが使用するポートをユーザーが明示的に開けている。このため，パーソナル・フ
Webアプリケーションの脆弱性を突かれて個人情報や企業の機密情報が漏洩する――そんなニュースが珍しくない昨今。一方でWebアプリが企業の基幹業務で使われる機会は増加の一途を辿っており、今やWebアプリの脆弱性をどうやってなくすかは多くの企業にとって死活問題となりつつある。果たしてどうすればこの脆弱性を無くす、あるいは減らすことができるのか――その点について研究している団体はいくつか存在するが、日本において大きな存在感を示しているのがWeb Application Securityフォーラム(WASフォーラム)だ。 RSA Conference Japan 2006において、WASフォーラム代表で奈良先端科学技術大学院大学の門林雄基助教授が、過去のWASフォーラムでの研究成果(WASフォーラム主催のカンファレンスで発表済みのものを含む)をまとめる形で、現状考えられるWebアプリの脆弱性が生
Webアプリケーションのセキュリティホールが注目を浴びたことから、セキュリティを意識した開発の必要性が高まってきている。今後の流れとして、セキュリティ上満たすべき項目が要件定義の段階から組み込まれるケースが増えていくことが予想されるが、実際の開発現場においてはセキュリティホールをふさぐための実装方法が分からないという声も多いのではないだろうか。 そういった開発者の負担を少しでも軽くすることができるように、本連載ではJavaにおけるWebアプリケーション開発時に最もよく利用されているStrutsフレームワークの実装に踏み込んで、セキュリティ上注意すべきポイントを解説していきたい。なお、本連載ではStruts 1.2.8を対象として解説を行っていくが、すでにStrutsを利用したWebアプリケーション開発を行っている開発者をターゲットとしているため、Strutsの使用方法、各機能の詳細な説明な
概要 2006年 2月に公開された OpenSSH 4.3 (およびその移植版 4.3p1) から、 標準でトンネリングデバイス (tun/tap) を扱う機能がつきました。 これを使うと、手軽に VPN を構築することができます。 現在のところまだ機能はごく限られたものですが、 出先から一時的に ssh 経由で NFS ディレクトリを マウントするなどの目的に使えます。 この文書ではそのための基本的な方法を説明します。 OpenSSH の設定と運用ができ、公開鍵認証の使い方を わかっているシステム管理者を対象としています。 公開鍵認証とは: パスワードのかわりに秘密鍵と公開鍵のペアを使う認証方法です。 通常のパスワードを使った認証では、 たとえ暗号化されているとはいえパスワードがネットワーク上を流れます。 公開鍵認証ではパスワードはまったく (暗号化された形ですら) ネットワーク上に流れ
ワコールは2月8日から，約3カ月にわたって閉鎖していたECサイトを再開する。ワコールオンラインショップで不正アクセスによる個人情報漏えい事件が発生したのは2005年11月。5124件の情報の中にはクレジットカード番号が含まれた情報もあり，カード番号を不正使用された顧客の問い合わせにより発覚した。 不正アクセスに使用されたのは，SQL文を外部から送り込む「SQLインジェクション」と呼ばれる手口だ。このSQLインジェクションは，2005年5月に発生したカカクコムやOZmallなどへの不正アクセス事件でも利用されたとされる。 特にカカクコムの事件は全国紙でも報道されるなど，大きな話題になった。にもかかわらず，ワコールの事件は発生した。教訓は生かされなかったのだろうか。 実はワコールの担当者は，システムを開発したNECネクサソリューションズに対し，2005年7月末に問い合わせを行っていたという。「
オンラインの匿名性をめぐる議論(上) 2006年1月16日 コメント： トラックバック (0) Bruce Schneier 2006年01月16日 『ワイアード』誌の元編集者、ケビン・ケリー氏は最近のエッセイの中で、匿名性にまつわる危険を警告している。少しぐらいならかまわないが、匿名が過度に広まるのは問題だと、ケリー氏は主張する。「私がこれまでに目にしたシステムで、匿名性が一般化したものは例外なく失敗している。ついこの間、『ウィキペディア』の信頼性が損なわれた(日本語版記事)原因は、人目に触れる機会が非常に多い公共の記録に、きわめて簡単に匿名の投稿を掲載できることにある。匿名性が蔓延したコミュニティーは、崩壊するか、米イーベイ社のように、匿名から擬似的な匿名に切り替えることになる。つまりユーザーは、創作されたニックネームの背後に追跡可能な身元情報を持つことになる」 ケリー氏の主張はもっと
今日はなんだか良くワカラナイ人と対話をしてきた。 先に断っておくと、ちょっと長文になる。ご了承頂きたい。 休日とはいえ会社は営業日である。私は単なるシステム屋であるので、別に休日大した仕事がある訳でもないのだが、一応顔を出してきた。システムチームでは私はけっこーまめな部類の人間である。 で、出社してみるとなにやら応接室に人が来ているのだが、どーも騒がしい。副社長に話しかけられた。 「ああしんざきさん、丁度いいとこに。なんかセキュリティがどーたらって人が来てるんだけど、良く話がわかんないんだよね。てきとーに話聞いてみてくれない？」 副社長がこーゆー言い方をするというのは、要は「どうでもいいから適当に追い返せ」の指令である。どーも、システム屋が何かの売り込みに来ている様な話だ。うちの会社の人々は交渉ごとには海千山千なのだが、システム関連の話にはあんまり強くない。 なんだか御社のシステムにセキュ
去る09年7月16日のトムラウシ山での遭難事故で亡くなられた方へ心よりご冥福をお祈りいたします。 はじめてご訪問の方はこちら（自己紹介および投稿リスト等）をご覧ください。
「親切なクムジャさん」は今日から封切りだが、昨日22時からあった公開前夜祭「復讐三部作」オールナイト一挙公開に行って来て一足先に見てきた。実はパク・チャヌク監督の復讐三部作の先行の二つ「オールド・ボーイ」「復讐者に憐れみを」も初めて見た。どの作品もテンポがいいので、見事寝ないで朝を迎えた。詳細はまた近いうちに映画評論に書こうと思うけど、とりあえず一言コメントだけでも。 ・クムジャさん コミカルで笑わせるシーン(但しそのコミカルさを単純な笑いとだけとっていてはだめだろう)もあり、娯楽性もある程度示した復讐のストーリー。三作品の中で複雑性がもっとも低いということもあり、ストーリーを単純に追うだけなら最も楽しめるのではないかと思う。途中の宮台真司氏のトークショーのときに「三作品で一番好きなのは？」の観客に質問したらクムジャさんをあげた人は女性がほとんどだった。けっこう興味深い。 復讐シーンをコミ
日本のスパム対応で特殊なのは、フレッツ接続がある、ということだ。 フレッツという回線の契約と、プロバイダの契約とが分かれているため、スパム発信して契約を解約されても、同じ回線からすぐに他のプロバイダから送ることが出来るし、プロバイダへは（実際に回線がどこにあるかは関係してこないので）実際に住んでいない住所での登録もしやすい。 本来、プロバイダがスパム配信で契約を解約した場合、NTTに連絡しフレッツの契約まで遡って、フレッツの解約をさせるべきなのだと思う。 だが、現在はそういうルートが存在しないし、プロバイダはそういう紐付けが行われていない。というかそういう紐付けが必要ない(どのフレッツ契約からでもインターネット接続可能)ようになっている。 プロバイダ側からNTTに対して、この日時でこのIPからこのIPへPort25で接続しているユーザ、と指定すると、そのユーザをNTTが解約させられる、とい
Copyright ©2005 Impress Corporation, an Impress Group company. All rights reserved.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
