[B! Security] radiocatのブックマーク

牧歌的 Cookie の終焉 | blog.jxck.io

Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする一度保存すれば、次から自動で送る

radiocat 2020/02/29

いろいろ感想があるけど一番言いたいのは、いつもありがとうございます。ほんとすみません。ってこと。 ●tech-memo ●cookie ●security

リンク

StrutsのClassLoader脆弱性はSAStrutsに影響しません - ひがやすを技術ブログ

Struts2に見つかった脆弱性と同様の脆弱性がStruts1系にも見つかりました。 Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 HTTP(S)のリクエストでJavaのClassLoaderのメソッドが呼び出せてしまうという脆弱性です。もう少し噛み砕いて言えば、リクエストのパラメータをJavaBeansにセットする時に、リフレクションを使い、パラメータ名にaaa.bbb.cccのようなネストした名前をサポートしているフレームワークは同様の問題が起こる可能性があります。パラメータ名をclass.classLoader.xxxのような感じにして、ClassLoaderのメソッドを呼び出す訳です。このような問題を起こすリフレクションフレームワークで最も有名なのは、Apache Commons BeanUtilsです。リクエストのパラメータ

radiocat 2014/04/25

あの人やあの人が落ち着いて眠ることができる貴重なコメント。

リンク

Security Enhancements in Jelly Bean

Posted by Fred Chung, Android Developer Relations team Android 4.2, Jelly Bean, introduced quite a few new features, and under the covers it also added a number of security enhancements to ensure a more secure environment for users and developers. This post highlights a few of the security enhancements in Android 4.2 that are especially important for developers to be aware of and understand. Regar

radiocat 2013/02/15

リンク

なぜGoogleはJSONの先頭に while(1); をつけるのか - Qiita

Stack Overflowに面白い質問があったので紹介する javascript - Why does Google prepend while(1); to their JSON responses? - Stack Overflow 質問 Googleのサービス内で使われるJSONの先頭に while(1); てついているのは何故？例えばGoogle Calendarではカレンダーを切り替えるときに以下のような内容のデータがサーバから返される。 while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['C

radiocat 2013/02/06

リンク

エンジニアも避けては通れない「安全な利用規約」の作り方

1月18日、﹁エンジニアサポートCROSS 2013﹂が開催された。その中から、NHN Japanのmala氏による﹁体系的に学ぶ安全な利用規約の作り方﹂をレポートする。1月18日、Web技術について横断的に語り合うイベント﹁エンジニアサポートCROSS 2013﹂が開催された。その中からNHN Japanのmala氏による﹁体系的に学ぶ安全な利用規約の作り方﹂をレポートする。 mala氏は、サービスを作る側と使う側の両方の立場から、﹁安全な利用規約の作り方﹂を語った。昨今、アプリケーションの実行環境の多様化や、ビジネスモデルの複雑化、大規模なログデータや個人情報の利活用など、サービス自体の複雑化が原因となった利用規約に関する炎上が多々見受けられる。このような炎上の原因はどこにあるのか。エンジニアとして何ができ、どのような解決策があるのか。 Webに関わるエンジニアが知っておくべき5つの

radiocat 2013/02/06

最近これ系の話題は多いからなぁ。

リンク

JVNTA13-032A: Oracle Java 7 に複数の脆弱性

以下の製品を含む、全ての Java Platform Standard Edition 7 (1.7, 1.7.0) を使用しているウェブブラウザ等のシステム Java Platform Standard Edition 7 (Java SE 7) Update 13 より前のバージョンJava SE Development Kit (JDK 7) Update 13 より前のバージョンJava SE Runtime Environment (JRE 7) Update 13 より前のバージョン Oracle が提供する Java7には、Java のサンドボックスを回避され、任意のコードが実行可能な脆弱性が存在します。なお、本脆弱性を使用した攻撃が観測されています。細工された Java アプレットが埋め込まれたウェブページや、Java Network Launching Proto

radiocat 2013/02/05

またか…やはり根本解決できていなかったのか？

リンク

輝ける高木浩光氏とスーパー武雄市長・樋渡啓祐氏の戦い - やまもといちろうBLOG（ブログ）

武雄市長の樋渡せんせのFACEBOOKが大炎上していたというので見物に逝ったわけですが、FACEBOOKのコメントとしては結構画期的な数の罵倒＆応援コメントが交錯しており、興味深いのです。樋渡啓祐 https://www.facebook.com/keisuke.hiwatashi.9/posts/482159161803955 元はと言えば、樋渡せんせと高木せんせのネットセキュリティを巡る論争からスタートしていたはずが、途中で樋渡せんせが個人の住所録をヤフーブリーフケースで公開してたり、支援者の方々の顔写真を含む個人的な画像群を写真共有サービスでこれまた公開してたり、微笑ましい失敗をしていたことで延焼したあたりがネットユーザーの心を鷲掴みにしたんですよねえ。あらすじを知りたい方は、こちらの戦場跡をご覧いただきたいところですが、関心深めるべきはこの抗争、まだ現在進行形で戦火が広がり続

radiocat 2012/08/31

リンク

最近 Android Market の売上レポートに購入者の個人情報が思いっきり入るようになってしまった件 - むらかみの雑記帳

'13/7/6 追記: Google Play の売上情報に、購入者の個人情報が入らなくなりました注: '12/1/13、Google側が誤りであったことを認めたとのことです。詳細は一番下の追記参照。最近、Android Market の売上レポートに購入者の完全な名前・住所・電話番号・メールアドレスなどが表示されるようになってしまい、少々困っています。 Android Market でのアプリ売上は Google Checkout というサイトで確認できるようになっており、それぞれの売上ごとに詳細なレポートを閲覧できるようになっています。以下はその中の抜粋です︵個人情報は全部塗りつぶしています) 配送先というところに、購入者の完全な住所・名前・携帯電話番号・メールアドレスが入ってしまっています。この配送先は前からレポートには出ていたのですが、以前は情報は部分的なものでした︵住所は番地

radiocat 2012/01/05

タイミング良く10円キャンペーンで大量にばらまいているような気が…

リンク

「Android」を狙う不正プログラムが登場

スマートフォンは、パソコンに匹敵する機能を備え、豊富なアプリケーションを利用できることから、世界中の消費者の注目を集めている。中でもAndroidOS搭載のスマートフォンは、日本でも続々と発売され、市場の盛り上がりが見られる。その一方で、サイバー犯罪者の注目も集まり、攻撃の対象になりつつある。正規アプリになりすましAndroidを狙う不正プログラムトレンドマイクロは、2010年8月上旬、Androidを標的とする初のトロイの木馬型不正プログラム﹁ANDROIDOS_DROIDSMS.A﹂︵※1︶を確認した。この不正プログラムは、"Windows Media Player"のアイコンを利用して、自身を偽装する。ユーザーは、このプログラムが動画再生ソフトと思い、不正であると気付かずにスマートフォンにインストールしてしまう。不正プログラムはインストールの際、ユーザーにデバイス上でのアクセス

radiocat 2011/04/06

アプリ入れる時あまりちゃんと確認してないな…

リンク

はてなブックマーク

タグ

関連タグで絞り込む (15)

Securityに関するradiocatのブックマーク (9)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第3週）

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス