[B! セキュリティ][WEB制作] fashiのブックマーク

fashi id:fashi

セキュリティとWEB制作に関するfashiのブックマーク (14)

経済産業省、全ECサイトが義務化対象セキュリティー対策で脆弱性対策と本人認証導入を義務化 | 日本ネット経済新聞｜新聞×ウェブでEC＆流通のデジタル化をリード
2023.01.24 経済産業省、全ECサイトが義務化対象セキュリティー対策で脆弱性対策と本人認証導入を義務化経済産業省は1月20日、ECサイトの脆弱性対策と本人認証の仕組みを導入することを義務化する方針を固めた。2024年3月末までに、全てのECサイトが脆弱性対策と本人認証を導入することを、検討会の報告書案に盛り込んでいる。ECサイトと本人認証の仕組みの導入の義務化は、﹁クレジットカード決済システムのセキュリティ対策強化検討会﹂の第6回会合で提出された報告書案に盛り込まれた。報告書案では、クレジットカード番号の不正利用被害が増え続ける問題を背景に、﹁ECサイトからクレジットカード情報が漏洩することへの対策﹂﹁漏洩したクレジットカード情報が不正に使われることへの対策﹂の2点を盛り込んだ。具体的には、﹁クレジットカード番号等の適切管理義務の水準を引き上げるべく、サイト自体の脆弱性対
fashi 2023/01/25
二段階…認証…？

セキュリティ

キャッシュレス

web制作
リンク
あなたのWebサービスの脆弱性を発見者から教えてもらう方法 - RFC9116が発表されました
先日、RFC9116が発表されました🚀 あなたのWebサービスに潜在する未知の脆弱性を誰かが見つけた時、それをあなたに連絡する方法を提示するsecurity.txtを標準化するものです。この記事では何故これが必要だったのか、そして私たちがこれを実装する方法を簡潔に説明します。なぜこれが必要だったのか https://securitytxt.org/のSummary(概要)にはこのように書かれています。 Webサービスのセキュリティリスクが、リスクの重大性を理解している独立したセキュリティ研究者によって発見された場合、それらを適切に開示するためのチャンネルが不足していることがよくあります。その結果、セキュリティの問題が報告されないままになる可能性があります。 security.txtは、組織がセキュリティ研究者がセキュリティの脆弱性を安全に開示するためのプロセスを定義するのに役立つ標
fashi 2022/05/02
botに収集されてSPAMだらけになるやつ / 貴サイトの脆弱性見つけました知りたければﾋﾞﾄｺｲﾝ振り込めさもなくばｸﾗｯｶｰに漏洩するかもって捏造SPAM絶対来ると思う

セキュリティ

web制作
リンク
見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました
見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りましたSecretlintというAPIトークンなどの機密情報がファイル内に含まれているかをチェックできるツールを書いています。Secretlintはコマンドラインツールとして動くので、主にCIやGitのpre-commit hookを利用して、リポジトリに機密情報が入るのを防止できます。SecretlintでAPIトークンや秘密鍵などのコミットを防止する | Web Scratch 一方で、実際のウェブサービスなどは機密情報がファイルにハードコードされているわけではなく(Secre lint自体がこういうハードコードを防ぐツールです)、環境変数やDatabaseに保存していると思います。このような場合にも、コードのミスなどによって公開するべきではない情報(秘密鍵、APIトークン、Sl
fashi 2021/08/20
セキュリティ

Chrome

web制作
リンク
これからドンドン使われていくSNIについて
SNIとは元々SSL通信は1つのIPアドレスに対して、1つの証明書が前提になっていました。というのもSSLでは暗号化されているため、1つのIPアドレスに対して複数の証明書を持っていた場合、リクエストが来たときにどの証明書を使えばいいか判断できないからです。しかしこれだとどう考えてもつらいことが分かります。昨今の流れとして常時SSL通信が当たり前の世界になりつつあります。すべてのドメインに対して全てのIPアドレスを用意するのは特にIPv4では現実的ではありません。そもそもHTTPではVirtual Hostを使って、1つのIPアドレスで複数のドメインのサイトを扱うことがとても一般的です。そこで有用なのがSNIです。SNIは最初の通信時に今から通信したいサーバーネームをサーバーに平文で渡すことで、通信したいSSL証明書を指定できます。 SNIを使うことでHTTPのVirtual Host
fashi 2017/05/14
ブラウザは問題なくなってきたけどpostfix(メールサーバー)がSNI非対応で困る

web制作

セキュリティ
リンク
Google、2017年1月提供予定の「Chrome 56」で、一部のHTTPサイトに警告を表示へ　
fashi 2016/09/12
Chrome

セキュリティ

web制作
リンク
無料で証明書を発行してHTTPSの導入をサポートする「Let’s Encrypt」がベータ版から正式版に
By Sean MacEntee SSLを用いたHTTP通信の暗号化を誰でも手軽に行えるようにするために立ち上がったのがEFF、Mozilla、Cisco Systems、Akamai Techno logies、IdenTrust、ミシガン大学の研究者などで、これらのメンバーがHTTPS普及のためにスタートした取り組みが「Let's Encrypt」です。これまで手間がかかり金銭的な負担も大きいと言われてきたサーバー証明書の発行を無料で行えるようになるのですが、同取り組みはついにベータ版から正式版にサービスを移行しています。 Leaving Beta, New Sponsors - Let's Encrypt - Free SSL/TLS Certificates https://letsencrypt.org//2016/04/12/leaving-beta-new-sponsors.h
fashi 2016/04/14
無料でSSL証明書発行してくれるサービスかと思ったら別途認証ツールをインストールするのね…これはこれで面倒臭いな

セキュリティ

web制作
リンク
ウェブ開発者・デザイナーに朗報、ついに来週IE8・9・10が公式サポート終了
MicrosoftがブラウザInternet Explorer 8・9・10のサポートを2016年1月12日に打ち切ると発表しました。この日以降はセキュリティアップデートを含めたすべてのアップデートが行われないようになります。 Internet Explorer End of Support https://www.microsoft.com/en-us/WindowsForBusiness/End-of-IE-support Internet Explorer 8, 9 and 10 die on Tuesday http://thenextweb.com/microsoft/2016/01/05/web-developers-rejoice-internet-explorer-8-9-and-10-die-on-tuesday/ Microsoftは2016年1月12日(日本時間の1月
fashi 2016/01/08
セキュリティ懸念の記事が多い中、そっちかｗ

セキュリティ

Web制作

Microsoft
リンク
トレンドマイクロ、電子証明書ビジネスに参入～1社あたり年間定額、発行無制限
fashi 2012/06/20
セキュリティ

web制作
リンク
日本ベリサイン、ベリサインシールを「ノートンセキュアドシール」に変更
fashi 2011/10/09
「ユーザー企業側ではとくに設定などを行う必要はない」って説明用ページは書き替えないといけないじゃないか

セキュリティ

WEB制作
リンク
Engadget | Technology News & Reviews
Parrots in captivity seem to enjoy video-chatting with their friends on Messenger
fashi 2011/01/25
web制作

セキュリティ
リンク
ビットアーツ、Webアプリ脆弱性スキャナ「Whitetip」を無償公開
fashi 2010/10/04
セキュリティ

web制作
リンク
セキュリティ情報 - Yahoo!ケータイの一部端末に「かんたんログイン」なりすましを許す問題
文書番号HASHC2010052401 Yahoo!ケータイの一部端末に﹁かんたんログイン﹂なりすましを許す問題 HASHコンサルティング株式会社公開日:2010年5月24日概要昨年11月24日づけアドバイザリにて、iモードブラウザ2.0のJavaScriptにより、携帯端末に割り当てられたID︵以下、端末固有ID︶を利用した認証機能︵以下、かんたんログイン︶に対する不正アクセスが可能となる場合があることを報告した。その後の調査により、同種の問題がYahoo!ケータイのブラウザ(通信事業者はソフトバンクモバイル)でも発生することを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者およびYahoo!ケータイ利用者には至急の対策を推奨する。背景携帯電話のかんたんログインとは、ケータイブラウザに用意された端末固有IDを利用した簡易的な認証であり、ユーザがIDやパスワード
fashi 2010/05/28
セキュリティ

携帯

web制作
リンク
高木浩光＠自宅の日記 - サイボウズOfficeも匙を投げた「簡単ログイン」
■ サイボウズOfficeも匙を投げた﹁簡単ログイン﹂今年2月20日のこと、サイボウズOfficeに﹁簡単ログイン﹂機能があることに気づいた私は、以下の質問をサイボウズ社に送った。﹁サイボウズ Office 8 ケータイ﹂の﹁簡単ログイン﹂機能についてお尋ねします。﹁携帯端末認証に対応しているので、毎回ログインする手間なく利用できます﹂とのこと。試用版で試したところ、たしかに2度目以降はパスワードが不要のようです。この機能は、いわゆる﹁契約者固有ID﹂を用いて実現しているものと理解していますが、﹁契約者固有ID﹂を用いて端末認証を行う場合、通常は、IPアドレス制限を行って、携帯電話事業者のゲートウェイのIPアドレスからのアクセスしか許さないように実装するものであると考えます。しかしながら、﹁サイボウズ Office 8 ケータイ﹂はそうしたIPアドレス制限を施しておらず、一般のイ
fashi 2010/04/21
携帯用コンテンツを作るときにスマートフォンの扱いをどうするか悩むのだけどやっぱり対象外だな、とお断りメッセージを参考にする

セキュリティ

携帯

web制作
リンク
【】IE使うならVista以降が無難、SSLの暗号強度調査結果から　
fashi 2009/11/27
IEのSSL優先順位

セキュリティ

Microsoft

web制作
リンク
1