AWS Key Management Service - AWS Key Management Service
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 AWS Key Management Service AWS Key Management Service （AWS KMS) は、データの暗号化に使用される暗号化キーの作成と制御を容易にする AWS マネージドサービスです。で AWS KMS keys 作成した AWS KMS は、FIPS 140-3 セキュリティレベル 3 検証済みハードウェアセキュリティモジュール (HSM) によって保護されます。暗号化 AWS KMS されていない を残すことはありません。KMS キーを使用または管理するには、 を操作します AWS KMS。 を使用する理由 AWS KMS データを暗号化する場合は、暗号化キーを保護する必要があります。キーを暗号化する場合は、その暗号化キ
2022年9月1日にロシア最大手のタクシー会社であるYandex Taxiがハッキング被害を受け、偽の予約により全ての運転手が1つの場所に誘導された結果、モスクワの通りで渋滞が発生したと報じられています。 Yandex Taxi zhakowana. Taksówki utworzyły korek - Geekweek w INTERIA.PL https://geekweek.interia.pl/transport/news-czegos-takiego-jeszcze-w-moskwie-nie-widzieli-dziesiatki-tak,nId,6258500 Hackers atacam a maior empresa de táxis da Rússia e causam engarrafamento em Moscovo – Observador https://obs
以下のツイートを読んで気持ちが昂ったので。 みんな、もうSNSでいがみ合うのはやめよう。 平和に好きなJWTの話でもしようよ。 JWTの格納場所はlocalStorageとCookieのどっちが好き？— 徳丸 浩 (@ockeghem) 2022年2月11日 というのも、JWTをセッションに使うときに保存先含めて一時期悩んでいたので、その時の自分の解。 ただ、考えるたびに変化しているので、変わるのかもしれない。 要約 タイトル。 あとは優秀な方々が既に色々考えておられるのでそちらを読むとよいでしょう。 SPAセキュリティ入門～PHP Conference Japan 2021 JWT カテゴリーの記事一覧 - r-weblife どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org JWT形式を採用したChatWorkのアクセストークンについて -
長い記事なので先に結論を書きます。 Spectre の登場で、ウェブサイトに必要とされるセキュリティ要件は増えました。具体的に必要な対策は下記の通りです。 すべてのリソースは Cross-Origin-Resource-Policy ヘッダーを使って cross-origin なドキュメントへの読み込みを制御する。 HTML ドキュメントには X-Frame-Options ヘッダーもしくは Content-Security-Policy (CSP) ヘッダーの frame-ancestors ディレクティブを追加して、cross-origin なページへの iframe による埋め込みを制御する。 HTML ドキュメントには Cross-Origin-Opener-Policy ヘッダーを追加して popup ウィンドウとして開かれた場合の cross-origin なページとのコミュニ
どうも@sugimuです。 7/17、日本時間の深夜（だいたい23時頃）にEmotetが戻ってきたのでほぼ個人的な備忘録です。 EMOTET UPDATE | We are observing more activity coming from the #Emotet #Botnet today. We are seeing email traffic from this botnet again. Both URLs and Attachments are being utilized for distribution. #malspam #threatintel pic.twitter.com/9zrc9fWMlN— Spamhaus (@spamhaus) 2020年7月17日 前回の拡散活動は2/6頃まで世界的に拡散活動が観測されていたので、約5か月ぶりの攻撃です。 目次 Emot
Contents Security Policy（CSP） 個人でのお勉強時のメモです。殆どコピペなので。。。 CSPとは？ CSP（Content Security Policy）は、クロスサイトスクリプティング (XSS) 、データインジェクション、クリックジャッキング、パケットキャプチャなどブラウザに表示されるコンテンツを用いた、よく知られた種類の攻撃を検出して軽減するするために追加されたセキュリティレイヤー。 サーバサイドからブラウザに対してコンテンツの使用ポリシーを伝えて各種攻撃を回避する。 仕組み CSP を記述することで、コンテンツの提供元や取得方法（HTTPS経由のみ取得可能など）を制限することができ、コンテンツ提供者が意図しないコンテンツを読み込ませることを阻止することができる。 コンテンツには実行可能なスクリプトも含まれているため、第三者による悪意のスクリプトの実行を制
概要 Kryptoniteというサービスを見つけたので使ってみました。 KryptoniteはSSHの秘密鍵をスマートフォン上に保存し、PCなどで利用する際にはスマートフォンにPUSH通知が来て承認した場合のみ利用できるようにするものです。 利用イメージは上のサイトの動画を見るとすぐ掴めると思います。 秘密鍵が安全に管理できますし、複数PCでの秘密鍵の共有も安全に可能なので使ってみました。 通常であればPC紛失のことなどを考えると共有しないほうが好ましいかと思われますが（自分は普段分けてます）、Kryptoniteの場合はスマートフォン内に秘密鍵が保管されるので、PCごとに使い分けても意味が無いのかなと思っています（使い分けたほうが良い理由があれば教えてください）。 そしてOSSなのが嬉しいです。あとGoで書かれてるので読むと勉強になります。 とりあえず速攻使ってみたという記事なので、技術
Scott Helme Security researcher, entrepreneur and international speaker who specialises in web technologies. More posts by Scott Helme. A little while back I wrote a blog post about how "CSRF is dead". It focused on SameSite cookies, a powerful yet simple feature to protect your website against CSRF attacks. As powerful as it was, and as much as it will kill CSRF, you had to enable it on your site
Last updated on Sept 4, 2019 On August 31st, we became aware of a security incident involving CircleCI and a third-party analytics vendor. An attacker was able to improperly access some user data in our vendor account, including usernames and email addresses associated with GitHub and Bitbucket, along with user IP addresses and user agent strings. The engineering and security teams at CircleCI imm
OWASP Connect始まりました。 久々にブログを投稿しますー。 先日、OWASP Connectという勉強会を開催いたしました。 OWASP Connect in Tokyo - connpass この勉強会はOWASP Projectの活用事例や小ネタなどを共有していこうという目的で開催しています。OWASP ProjectをPRしていこうという有志メンバーにて立ち上げており、私もその一人です。現在の所、三か月に1度くらいの周期で開催できたら良いかなーと考えています。良くQiitaなどでもOWASP Project関連の投稿をされている方などをちらほらお見かけするので、よろしければ次回LTとかいかがでしょうか？使ってみたネタなど大歓迎ですｗ Search result of “owasp” - Qiita そもそもOWASPとは何ぞやという方は上野さんのこちらのスライドをどうぞ。
黒塗りのDNS (萎縮編) ～共用サービスの闇～ Apr 23, 2019 ssmjp E-ONTAP.COM 鈴木常彦 (@tss_ontap) ある日の我が職場 (恥) 私(TEL) 「m.chukyo-u.ac.jp 見てみれ！ 中華料理屋に乗っ取られてるぞ www」 情報システム 「え！...これは...調べます...」 後日 「レンタルサーバ返した後 A レコード削除申請がなかったようです!」 危険な忘れ物 - Floating Domainname 借りたサーバ (IPアドレス) にリソースレコードを向けたまま解約してはいけない Subdomain Takeover Attack 放置された CNAME の先は狙って再登録されうる、、、 old-service.example.jp IN CNAME orphan.cdn.example.com fan.football.son
ItsDangerous¶ Sometimes you want to send some data to untrusted environments, then get it back later. To do this safely, the data must be signed to detect changes. Given a key only you know, you can cryptographically sign your data and hand it over to someone else. When you get the data back you can ensure that nobody tampered with it. The receiver can see the data, but they can not modify it unle
レースコンディションは、ある状態が成立しているという前提でプログラムが処理を行ったところ、実際には他のプロセスやスレッドによって状態が変更されていて、意図した処理が失敗してしまう問題のことである。 ファイルレースコンディションは、プログラムがファイルを取り扱う際に起こるレースコンディションである。Unix系およびGNU/Linux系のプラットフォームで標準的なファイル入出力APIを用いているプログラムで起こり得る。 ファイルのすり替え ファイルレースコンディションの典型的な例として、存在の有無や属性等の状況を確認した上でファイルをオープンするという場面で、確認とオープンの間の僅かな時間に対象がシンボリックリンクにすり替えられるというものがある。別の実体を指すシンボリックリンクに誘導されて想定外のファイルアクセスが起こり、被害が生じる。 これは次のようにして起こる。プログラムのアクセス先をシ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
