開発用サーバで自己証明のSSLを使っている場合など、Chromeでは必ず警告画面が表示されて鬱陶しいので、スキップする方法を調べてみました。 Macの場合ですので、Windowsは手順が異なるかと思います。 下記画面ですね。 通常は、「詳細設定」リンクから、さらに「***にアクセスする（安全ではありません）」をクリックして進むのですが、毎度のことになると鬱陶しい。 1.まずは、URL欄の鍵アイコンをクリックします。 すると、真ん中あたりに「証明書情報」リンクがあるので、クリック。 2.証明書情報が表示されるので、黄色い証明書のアイコンをドラッグしてデスクトップあたりにDLします。 3.ダウンロードした証明書をダブルクリックすると、キーチェーンアクセスが起動して承認を求められるので、「常に信頼」をクリック。 4.「ルート証明書」の場合はこれでOKですが、「自己署名ルート証明書」とかになってる
脆弱性の見つけ方（初心者向け脆弱性検査入門）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 EC-CUBEで脆弱性を見つけたり、mixiの脆弱性報告制度で成果を挙げたりしたせいか、「どうやって脆弱性を見つけてるんですか？」という質問をされることが時折あり、一応手順は説明するのですが、いつも口頭で細かくは説明できなくて申し訳ないので、自分のやり方をまとめてこのブログにアップしておきます。 標準的な脆弱性検査のやり方しか説明していないので、脆弱性検査のやり方を既に把握している人が読んでも得るものは少ないのではないかと思います。今回は脆弱性検査に興味があるが何をどうしたらいいか分からないような初心者向けコンテンツで
このJPRSの発表に対し、この欠陥を発見した中京大学の鈴木常彦教授、前野年紀氏は「危険性をよく理解して対策をとるにあたって十分な情報が含まれているとはいえません」を懸念し、下記のブログ記事等でこの問題の危険性を訴えています。 この問題はインターネットの根幹に関わるものですが、どんな問題を孕んでいるのでしょうか。それを理解するために、まずはDNSの仕組みから見て行きましょう。 DNSの仕組みとDNSキャッシュサーバDNSとはインターネットの根幹に関わる仕組みで、目的のサーバにアクセスする為の重要な役割を持ちます。簡単に説明すると、"http://www.example.jp"というURLのサイトを見たい場合、それを管理するサーバのインターネット上の住所（IPアドレス）が必要になります。そこで、DNSサーバに上記URLのラベル（ドメイン）に相当する"www.example.jp"を管理するサー
前回は、サービスごとにユニークなパスワードを作る方法を提案しました。 今日一緒にランチを食べていた、元同僚からこんなことを教わりました。 「似たことを、ブルース・シュナイアーが言ってたよ」 ブルース・シュナイアー（Bruce Schneier、1963年1月15日 – ）は、アメリカ合衆国の暗号研究者、コンピュータのセキュリティ専門家、作家。BT Counterpaneのコンピュータセキュリティと暗号に関する著作があり、Counterpaneインターネットセキュリティ社[1]の創設者であり、最高技術責任者（CTO）でもある それはこちらのエントリでした。 興味深かったのでざっくりサマって見ます。 私の英語力は非常に残念なので、ミスがあったらぜひ教えて下さい。 Passwords / paul.orear はじめに 一番良いパスワードは、それが壊れた言葉であることです。 と言うのは攻撃者はた
高木先生案件かもしれません。 ネットバンクでは基本的にトークン（ワンタイムパスワード生成機）を使うようにしています。トークンとは一定時間毎に暗号化による6桁のパスワードを表示する親指くらいの大きさのデバイスです。 ジャパンネット銀行ですと、ログイン時はパスワード（自分で決めた英数字最大8文字）でログイン可、振込みや限度額変更など重要な処理の場合にトークンが表示するワンタイムパスワードを入力という合理的な設計になっています。 一方、三井住友銀行（SMBCダイレクト）はログイン時はパスワード（自分で決めた英数字最大8文字）とトークンのワンタイムパスワードの両方が必要、そして、振込みや限度額変更など重要な処理の場合にはもうトークンは関係なくて、昔ながらの暗証カードが必要、という変てこな仕様になっていました。 これですと外出先から振込みがあったか確認したいなんて場合にトークンを持ち歩かなければなり
1. さくらのVPSに来る悪い人 を観察する その２ Security Casual Talks すみだセキュリティ勉強会その2 2013/12/07 @ozuma5119 2013-11-18 20:12:18 login attempt [root/12345] failed 2013-11-18 20:12:21 login attempt [root/1qazxsw23edc] failed 2013-11-18 20:12:25 login attempt [root/Passw0rd] failed 2013-11-18 20:12:28 login attempt [root/password0] failed 2013-11-18 20:12:32 login attempt [root/password1] failed 176.223.62.254 - - [23/No
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
HTML5で生じる脆弱性と対策は？ JPCERT/CCが報告書公開：HTML5を利用した安全なWebアプリ開発のために JPCERTコーディネーションセンターは、HTML5およびその周辺技術の利用によって生じ得る脆弱性とその対策、HTML5で追加されたセキュリティ機能などについてまとめた調査報告書を公開した。 JPCERTコーディネーションセンター（JPCERT/CC）は2013年10月30日、HTML5およびその周辺技術の利用によって生じ得る脆弱性とその対策、HTML5で追加されたセキュリティ機能などについてまとめた「HTML5を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」を公開した。調査作業の一部は、ネットエージェントが委託を受けて実施した。報告書は、JPCERT/CCのWebサイトから無償でダウンロード可能だ。 次世代のHTMLとして注目を集めるHTML5は、
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予測」と、セキュリティコミュニティでは大変著名なネットエージェント、長谷川陽介氏による「HTML5時代におけるセキュリティを意識した開発」の2つのセッションの様子をお送りしよう。 竹迫氏が「HTML」の周りの最新技術と、3つの未来予測を語る 未来予測その1：通信は暗号化が標準に――「スタバでドヤリング」から考える最新技術 竹迫氏はまず、スターバックスでスタイリッシュなMacBook Airをこれ見よがしに使う、「ドヤリング」という技術（？）について写真を出すところから講演を始めた。 実は、この「ドヤリング」、公衆無線LANを利用すると盗聴のリスクがあることが指摘されて
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
Facebookにはバグ発見者に対して500USドル以上の報奨金を支払うという制度が存在します。ハッカーによるバグの悪用を防ぎ、逆にバグを発見してもらうために設けられている制度です。しかし、先日セキュリティのバグを発見したKhalil Shreateh氏が得たのは、報奨金ではなく「アカウント一時利用停止」という措置でした。 彼はFacebookのCEO、マーク・ザッカーバーグ氏本人のFacebookアカウントに侵入し、バグの存在を全世界に向けて報告したのです！ ザッカーバーグ氏のFacebookのウォール上で、謝罪をしつつバグを報告 パレスチナ人のウェブ開発者でありハッカーでもあるShreateh氏は、先日ザッカーバーク氏のFacebookアカウントに侵入し、部外者の投稿が禁止されているはずのウォールに、「謝罪」から始まるメッセージを書き残しました。 「プライバシーに侵入してすみません..
» Twitterのアカウント乗っ取りに注意！ アンケートで「パスワード」を求められても絶対入力してはダメ 特集 インターネットサービスで利用するアカウントやパスワードの管理は十分にされているでしょうか。Twitterでアカウントを乗っ取るアンケートが見つかり、ここ数日、物議をかもしています。 もしもそのようなサービスを発見しパスワードの入力を求められても、入力しないようにしてください。今回見つかったアンケートは、次の内容を表示していたようです。 ・アカウントとパスワードを乗っ取るアンケート 「あなたが今一番求めているもの・・・ あなたが呟いたツイートの内容から欲しいものを回答します！ [現在の的中率：97.9％]」 ・通常はIDのみ入力かTwitter経由でログイン Twitterの投稿内容を利用した診断系サービスは珍しくありません。しかし、通常はIDのみを入力するか、Twitter経由
はせがわようすけ氏のブログエントリ「機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき」にて、巧妙な罠を仕掛けることにより、別ドメインのJSONデータをvbscriptとして読み込み、エラーハンドラ経由で機密情報を盗み出すという手法が紹介されました。これは、IEの脆弱性CVE-2013-1297を悪用したもので、MS13-037にて解消されていますが、MS13-037はIE6～IE8が対象であり、IE9以降では解消されていません。 また、MS13-037を適用いていないIE6～IE8の利用者もしばらく残ると考えられることから、この問題を詳しく説明致します。サイト側の対策の参考にして下さい。 問題の概要 JSON形式のデータは、通常はXMLHttpRequestオブジェクトにより読み出しますが、攻撃者が罠サイトを作成して、vbscript
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
韓国への大規模サイバーテロ事件について | snowwalker's blog
まだ状況がはっきりしていない部分も多いのですが、韓国で大規模なサイバーテロが発生した模様ですね。現在明らかになっている情報を総合すると、犯人は不明ですがきわめて意図的な大規模攻撃のように見えます。Mandiant報告にあるような産業スパイ大作戦とはまた異なる様相のストレートなサイバー戦争が発生しているように思えるので、こちらで少し状況をまとめておきます。 1.被害状況 複数の放送局・金融機関で社内コンピュータネットワークが一時マヒ状態になる 新韓銀行ではATMやオンラインバンキングサービスまで一時的に利用不能 2.攻撃手法 良くありがちなDDOSなんぞではなく、malware配布によるもの。 感染経路としては韓国内で60%程度のシェアを誇るアンラボ社製品の各社に設置された資産管理サーバを乗っ取り、そこにmalwareを仕込んだと思われる。 アンラボ社の見解(韓国語) 資産管理サーバーを乗っ
インターネットバンキングの利用者のパソコンをウイルスに感染させ、口座の現金を不正に送金する事件が相次いでいますが、このウイルスは、細工が施されたホームページを閲覧しただけで感染するようになっていたことが、情報セキュリティー会社の調査で分かりました。 三井住友銀行やゆうちょ銀行など６つの銀行のインターネットバンキングでは、利用者のパスワードがウイルスによって盗まれ、先月末までに、合わせて１８００万円以上が不正に送金されたことが分かっています。 このパスワードを盗み出すウイルスを情報セキュリティー会社が調査したところ、不正な細工が施されたホームページを閲覧しただけで感染するようになっていたことが分かりました。 不正な細工がどのホームページに施されていたかは分かっていませんが、パソコンで広く利用されているＪａｖａというプログラムの古いバージョンの欠陥を悪用していたということです。 ウイルスを調べ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
