Trusted Platform Module （TPM、トラステッド プラットフォーム モジュール） とは、コンピュータのマザーボードに直付けされているセキュリティに関する各種機能を備えた半導体部品で、データの暗号化・復号や鍵ペアの生成、ハッシュ値の計算、デジタル署名の生成・検証などの機能を有する。国際標準規格（ISO/IEC 11889）に則っている[1][2]。主に専用半導体部品として実装されたディスクリートTPMと、CPU内部のセキュリティ領域で実行されるファームウェアTPMがある[3]。 RSA暗号演算やSHA-1ハッシュ演算といった機能を有しており、チップ内で暗号化・復号、デジタル署名の生成・検証、プラットフォームの完全性検証を行うことができる。また、TPMの内部でRSAの鍵ペア（公開鍵と秘密鍵）を生成することができる。 TPMの仕様はTCG (Trusted Computin
Javascript is required. Please enable javascript before you are allowed to see this page.
みなさんはパスワード管理ツールを使っていますか？ 使っている方は、どんなツールでしょうか。 ちなみに僕は1Passwordです。 The Wall Street Journalは、WSJ記者レビューとして「パスワード管理ツール、これがおすすめ」を公開しています。 パスワード管理ツールとは、「パスワードを全て記憶したり、新しい安全なパスワードを生成したりしてくれるサービス」であり、この記事では、「LastPass」「Dashlane」「1Password」「Bitwarden」という各パスワード管理ツールを紹介しつつ、ベストなツールを挙げています。 これからパスワード管理ツールを使いたいと思っている方も、現在すでに使っていて別のものを試してみたいと思っている方も、必見の内容かと思います、 また、パスワードを保護するために知っておくべき4つのシンプルなルールも教えてくれるので、有料記事ですが、
SPA(Single Page Application)の普及が一層進んでおり、従来型のMPAを知らないウェブ開発者も生まれつつあるようです。SPA対応のフレームワークでは基本的な脆弱性については対策機能が用意されていますが、それにも関わらず、脆弱性診断等で基本的な脆弱性が指摘されるケースはむしろ増えつつあります。 本セッションでは、LaravelとReactで開発したアプリケーションをモデルとして、SQLインジェクション、クロスサイトスクリプティング、認可制御不備等の脆弱性の実例を紹介しながら、現実的な対策について紹介します。LaravelやReact以外のフレームワーク利用者にも役立つ説明を心がけます。
MacでOWASP ZAPをインストールして、https（SSL）のサイトを簡易的に脆弱性診断を実施した時のメモ。 ■単語メモ ・OWASP オワスプ -> Open Web Application Security Project ・ZAP ザップ -> The Zed Attack Proxy ■環境 ・MacBook Pro - macOS Sierra ver10.12.6 ・ZAP 2.6.0 ■インストールと起動 １．Macでアクセスしてそのままインストール OWASP Zed Attack Proxy Project ２．起動後にJavaエラーが出てJavaか何かを更新した気がする（だいぶ前にやったので忘れた） ３．改めて起動 ４．タブ「クイックスタート」をクリックし、https付きで診断したいURLを入力 ５．次にBasic認証を突破するためのjsスクリプトを登録する。左上
先日、このようなツイートを書いたところ、かなりの反響がありました。 JavaScript の正規表現の脆弱性の例でいうと、例えば /\s+$/ は脆弱性があると言える console.time(); /\s+$/.test(" ".repeat(65536) + "a"); console.timeEnd(); 結構時間がかかるのがわかる。でも /\s+$/ を見て「これは危険だな」と理解出来る人はそんなにいない。JavaScript に限らないけれど。 — Takuo Kihira (@tkihira) February 17, 2022 これは一般に ReDoS (Regular expression Denial of Service) と呼ばれる脆弱性です。正確に理解するのが難しい脆弱性なので、少し解説してみたいと思います。 結論 長い記事になるので、最初に「とりあえずこれだけ知っ
はじめに こんにちは。事業推進部でOffensive Teamを担当する永井です。 先日のApple発表会では新型のiPhoneやApple Watchなど心躍る製品が色々と発表されましたね。筆者は特に新型iPad miniが心に刺さっています。 さて、今回はApple関連の話として「macOSの暗号化zipファイルはパスワード無しで解凍できる」というネタについて書いていきます。 解凍できる条件 何を言っているんだと思われるかもしれませんが、macOSで作られた暗号化zipファイルは以下の2つの条件を満たす場合にパスワード無しで容易に解凍が可能です。 zipの暗号化方式がzipcryptoである (通常の暗号化zipファイルは基本的にzipcryptoが利用されています) zip内のいずれかのディレクトリの中身が.DS_Storeファイルおよび何らかのファイル1つである このうち1.は基本
こんにちは、IT 基盤部髙橋です。 DeNA が提供するエンタメ系やヘルスケア系のサービスのインフラを見ており、そのグループのマネージャをしています。 先日 AWS Loft Tokyo で DeNA における AWS セキュリティについて発表してきたので、発表では述べられなかった具体的な設定についていくつか記載します。 AWS アカウント管理 AWS アカウント管理を効率的に行うために、スライドの中でいくつかの施策を挙げています。 その中の一部をコマンド例を交えて紹介します。 AWS Organizations を利用したマルチアカウント管理 AWS Organizations の特徴としては以下のようなものが挙げられます。 アカウントの一元管理 OU (Organization Unit) を用いた階層的なグループ化も可能 一括請求 (Consolidated Billing) アカウ
（Eugene Onischenko / Shutterstock.com） こんにちは、中山です（写真は私ではありません）。 以前の 3rd party Cookie いただきます にて Parasite Cookie の場合、クロスドメインでトラッキングできないことが（業者側の）課題です。 しかし Super Cookie と呼ばれる方法ならばクロスドメインでのトラッキングも可能です。 こちらについては別途ご紹介します。 と結びました。 そこで、今回は Super Cookie と呼ばれる技術についてご紹介したいと思います。 例えばこんな Super Cookie Super Cookie とは、各種擬似 Cookie 技術の総称で、Flash の LSO を利用したシンプルな実装から、ブラウザの閲覧履歴（参考 : css history knocker）や Criteo の ITP
Clone via HTTPS Clone with Git or checkout with SVN using the repository’s web address. # 共有メモリの最大サイズ。サーバーの搭載メモリ(1GB)に合わせて変更 kernel.shmmax = 1073741824 # システム全体の共有メモリ・ページの最大数 kernel.shmall = 262144 # システム全体のプロセス数の上限 kernel.threads-max = 1060863 # システム全体のファイルディスクリプタの上限 fs.file-max = 5242880 # RFC1323のTCPウィンドウ スケーリングを有効にする。 # 64K以上のTCP windowを使えるようになる。 # 巨大なファイルを転送する時に問題になった場合は無効にすると解決されることもある。 net.
HTTPガイドHTTP の概要典型的な HTTP セッションHTTP メッセージMIME タイプ（IANA メディア種別）HTTP の圧縮HTTP キャッシュHTTP 認証HTTP Cookie の使用HTTP のリダイレクトHTTP 条件付きリクエストHTTP 範囲リクエストコンテンツネゴシエーションHTTP/1.x のコネクション管理HTTP の進化プロトコルのアップグレードの仕組みプロキシサーバーとトンネリングHTTP クライアントヒントHTTP セキュリティサイトの安全化HTTP ObservatoryPermissions Policy Experimental コンテンツセキュリティポリシー (CSP)オリジン間リソース共有 (CORS)Cross-Origin Resource Policy (CORP)ヘッダーリファレンスHTTP ヘッダーAcceptAccept-CHAc
Cross-Site Tracing(XST)という化石のような攻撃手法があります。「化石」と書いたように、既に現実的な危険性はないのですが、XSTに関連して「TRACEメソッドは危険」というコメントを今でも見ることがあります。 このエントリでは、XSTという攻撃手法について説明し、XSTおよびTRACEメソッドについてどう考えればよいかを紹介します。 TRACEメソッドとは HTTP 1.1(RFC2616)では、8種類のメソッドが定義されています。GET、POST、HEADなどはおなじみのものですが、それ以外にPUT、DELETE、OPTIONS、TRACE、CONNECTの5種があります。 このうち、TRACEメソッドは、HTTPリクエストを「オウム返しに」HTTPレスポンスとして返すもので、以下のようにGET等の代わりにTRACEとしてWebサーバーにリクエストします。 TRACE
CSIRT（シーサート）という言葉を聞く機会が、ここ数年増えたのではないでしょうか？ 本記事ではCSIRTとはいったい何か、セキュリティ事故への対応力をどのように向上させれば良いのか紹介します。 最近では、セキュリティ事故対応のための体制としてCSIRTを設置する企業や組織が徐々に増えています。CSIRTとは「Computer Security Incident Response Team」の略語で、「シーサート」と読みます。単語の並びからも分かる通り、「コンピュータに関するセキュリティ事故の対応チーム」と訳すことができます。 金融業界や大手企業に限らず、今や業界や企業規模を問わずセキュリティ対策が重要視されています。インターネットで大抵のものが購入できる時代であり、裏を返せば犯罪者グループからクレジットカード情報や個人情報を狙われやすい環境にあると言えます。脆弱性対応が不十分なWebサイ
STORES 予約の @sa2dai です。 今年は予約管理サービス「クービック」が、heyにジョインさせてもらうこととなり、サービス名称も「STORES 予約」となったそんな年でした。 今回heyアドベントカレンダー2020に参加させてもらい、13日目として本記事を作成しました。 STORES 予約では、セキュリティ対策の１つとして、WebアプリケーションをL7レベルで守るWAF (Web Application Firewall）を導入しています。 L7アプリケーションファイアウォールとかいうと導入大変そうに思えるんですが、awsを利用している方は案外簡単に導入してみることができるので、そのご紹介をします。 WAFとは 「Web Application Firewall」の略で「ワフ」と呼びます。なんかフワッとした、美味しそうな呼び名ですね。自分はサクフワっとしたやつが好きです。 WA
はじめに STORES でセキュリティエンジニアをしている横山です。 hey アドベントカレンダー 2020 の20日目の記事です。 今回はエンジニア向けに行ったセキュリティ勉強会の一部を紹介したいと思います。 セキュリティグループでは、セキュリティ施策の一部として脆弱性診断をしています。その中で、他チームのエンジニアから、「Webアプリケーション診断ってどうやってやっているの？」といった質問があり、「Webアプリケーション診断の体験会」を12月上旬に開催しました。 勉強会のアジェンダ Webアプリケーション診断って どういうことをやっているの？ どうやって進めるの？ の理解を目的に下記アジェンダで開催しました。 （1）はじめに （2）Webアプリケーション診断の進め方 （3）環境準備 （4）演習1 （5）演習2 （6）演習3（演習2までクリアして時間が余ったかた用） 勉強会の内容 （1）
追記： アクセスされた可能性のある最大件数については、詳細な調査分析により2,101件であったことが判明しております。 詳細は下記をご確認ください。 管理サーバーへのアクセス履歴の調査結果について（2021年5月7日） https://paypay.ne.jp/notice-merchant/20210507/01/ 2020年12月1日に外部からの連絡に基づき、当社管理サーバーにある、加盟店に関する営業情報のアクセス履歴について調査したところ、11月28日にブラジルからのアクセス履歴を1件確認、12月3日までに遮断する措置を実施しました。現時点で、これらの情報が利用された事実はありません。なお、ユーザー情報は別のサーバーで管理しているため、本事象における影響はありません。 ＜アクセスされた可能性のある情報＞ (1)加盟店の店名、住所、連絡先、代表者名、代表者生年月日、契約日、売上振込先、
HOME > SEO > 超最悪な古参の丸パクリコピーサイトproxypy.orgを著作権違反で通報しよう！ | ホームページ制作 【スタジオCASIS】 超最悪な古参の丸パクリコピーサイトproxypy.orgを著作権違反で通報しよう！ | ホームページ制作 【スタジオCASIS】 proxypy.orgは2010年06月02日に取得されているドメインであり、昔からある超最悪なコピーサイトの１つで、著作権違反の丸パクリサイトです。 問題なのはコピーサイトなのにもかかわらず、このサイトを「見たいサイトに直接アクセスせずにコンテンツを見れる便利サイト」だと勘違いしている方がおられ、リンク貼ったり、はてなブックマークに登録したり、勘違いしている方が著作権違反の丸パクリコピーサイトproxypy.orgの価値を高めてしまっている事にあります。 そんな著作権違反のコピーサイトを便利サイトだと勘違い
Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール Announcing the release of the Tsunami security scanning engine to the open source communities to protect their users’ data, and foster collaboration.https://t.co/qrvmilHm1r — Google Open Source (@GoogleOSS) June 18, 2020 Tsunamiは、アプリケーションに対してネットワーク経由で自動的にスキャンを行い、脆弱性を発見してくれるツールです。 Googleは、現在では攻撃者が自動化された攻撃ツールへの投資を続けており、ネット上に公開されたサービスが攻
サイバーセキュリティにおいてLANケーブル(有線LAN)からの侵入について考えたことがあるでしょうか？本稿では、LANケーブルをニッパーで切断してネットワークへ侵入・盗聴した実験結果を紹介します。切断してから何秒で侵入・盗聴できたのでしょうか？ 本記事は、ケーブルを切断してネットワークへ侵入・盗聴されるリスクがある事を知っていただく事を目的としています。 ご自身の環境以外では試さないようお願いします。 なぜLANケーブルからの侵入？ 技術部の安井です。長年制御システムを開発してきた経験から制御システムセキュリティ向上に取り組んでいます。制御システムの業界では、近年外部ネットワークを経由しての侵入や内部に持ち込まれたUSBメモリからの侵入が注目されています。一方で、なぜかネットワークを構成する大きな要素であるLANケーブルや光ケーブルからの侵入への注目度は低いようです。制御システムに関わらず
このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
