タグ

関連タグで絞り込む (46)

タグの絞り込みを解除

securityに関するreponのブックマーク (50)

  • target="_blank"を使った脆弱性Tabnabbingとその対策


    About rel=noopenerの記事を見て、フィッシング詐欺の手法Tabnabbing(タブナビング)について、 以前にそれっぽい記事読んだけど、すっかり忘れていた。 改めて見直してみて、その内容と対策がまとまっていたのでおさらい。 Tabnabbing(タブナビング)の仕組みTabnabbing の仕組みは以下となる。 まず、新規のタブを開くようなアンカータグ

  • 共通脆弱性識別子CVE概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構


    CVE(Common Vulnerabilities and Exposures) ～一つ一つの脆弱性を識別するための共通の識別子～ >> ENGLISH 共通脆弱性識別子CVE(Common Vulnerabilities and Exposures)(*1)は、個別製品中の脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社(*2)が採番している識別子です。脆弱性検査ツールや脆弱性対策情報提供サービスの多くがCVEを利用しています。 個別製品中の脆弱性に一意の識別番号﹁CVE識別番号(CVE-ID)﹂を付与することにより、組織Aの発行する脆弱性対策情報と、組織Xの発行する脆弱性対策情報とが同じ脆弱性に関する対策情報であることを判断したり、対策情報同士の相互参照や関連付けに利用したりできます。 CVEは、1999年1月20日～22日に、アメリカのパーデュ大学で開催された2n
    共通脆弱性識別子CVE概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

  • Webデベロッパのためのセキュリティ・チェックリスト | POSTD


    安全で堅牢なWebアプリケーションをクラウドで開発するのは 非常に困難 です。それを簡単だと思っているような人は、例えばとんでもない頭脳をお持ちというなら別ですが、遠からず痛い目を見ることになるでしょう。 もし MVP︵Minimal Viable Product‥必要最低限の機能を備えた製品︶ のコンセプトを鵜呑みにして、有益かつ安全な製品を1ヶ月で作成できると考えているようなら、プロトタイプを立ち上げる前に一度考え直した方がいいと思います。以下に挙げたチェックリストをご覧いただければ、セキュリティに関するクリティカルな問題の多くをスキップしていることが分かるはずです。あるいは少なくとも、潜在的なユーザに対しては 誠実 であるように心がけ、製品が完全ではないこと、そしてセキュリティが不十分な製品を提供していることを伝えるようにしてください。 このチェックリストはシンプルなもので、決して完
    Webデベロッパのためのセキュリティ・チェックリスト | POSTD

  • TLS徹底演習

    セキュリティ・キャンプ全国大会2016 集中講義

    TLS徹底演習

  • HTTPS でも Full URL が漏れる？OAuth の code も漏れるんじゃね？？ - OAuth.jp


    なんですかこれは！ New attack bypasses HTTPS protection on Macs, Windows, and Linux DHCP につなぐと PAC ファイルがダウンロードされて HTTPS であろうとアクセス先の Full URL は漏れるですって？ Web Proxy Autodiscovery ですって？ チョットニホンゴデオネガイシマス ってことで、まぁこれが実際どれくらい簡単に実現できる攻撃パターンなのかは他のセキュリティ業界の方々に後で聞くとして、この記事でも触れられてる OpenID Connectとか OAuth2 への影響について、ちょっとまとめておきましょうか。 Authorization Request & Response が漏れる response_mode=form_post なんていうのも一部ありますが、基本 OAuth2 /

  • [PDF] Electronの倒し方

  • 5分でわかるブロックチェーンの基本的な仕組み

    どのようにしてブロックチェーンが不正が難しい取引台帳を実現しているかという仕組みを社内勉強会で説明した資料です。 Read less

    5分でわかるブロックチェーンの基本的な仕組み

  • 今どきのSQLインジェクションの話題総まとめ - PHPカンファレンス2015発表資料

    PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する

    今どきのSQLインジェクションの話題総まとめ - PHPカンファレンス2015発表資料

  • セキュリティホール memo


    Last modified: Fri Jan 26 18:29:18 2024 +0900 (JST) 短縮 URL: http://goo.gl/pwSG　QRコード: http://goo.gl/pwSG.qr Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。 ここに載せる情報については、可能な限り1次情報源へのリンクを作成しておきます。 各自で1次情報源の内容を確認してください。 このページの内容を

  • ブロック暗号 - Wikipedia


    ブロック暗号︵ブロックあんごう、英語: Block cipher︶とは、共通鍵暗号の一種で、固定長のデータ︵ブロックと呼ぶ︶を単位として処理する暗号の総称である。これに対して、ビット単位やバイト単位で処理を行う暗号はストリーム暗号と呼ばれる。 概要[編集] ブロック暗号は、 ビットのブロックと ビットの鍵を入力として、 ビットのブロックを出力する。暗号化 (encryption) と復号 (decryption) の2つのアルゴリズムからなる。任意の鍵 について、復号アルゴリズムは暗号化アルゴリズムの逆関数になっていて、 を満たす︵ は任意のブロック︶ようになっている[1]。暗号化アルゴリズムの入力ブロックおよび復号アルゴリズムの出力ブロックは通信文、暗号化アルゴリズムの出力ブロックおよび復号アルゴリズムの入力ブロックは暗号文という。任意の長さの通信文を扱うために、暗号利用モードが用意され

  • Twofish - Wikipedia


    切詰差分解読法‥251の選択平文を要する[1]。不能差分攻撃‥鍵長256 bitsにおいて、2256 stepsを要して16ラウンド中6ラウンドまで[2]。 Twofish︵トゥーフィッシュ︶とは、ブルース・シュナイアーを中心としたプロジェクトチームによって開発されたブロック暗号の名称。 NIST(アメリカ国立標準技術研究所)が公募・実施したAESセレクションにおけるファイナリストのひとつ。セレクションはベルギーのルーヴァン・カトリック大学研究チームが開発したRijndaelに敗れたが、暗号化・復号の処理速度においてはTwofishの方が優れているとする評もある[3]。 概要[編集] 128、192、256ビットの三種の鍵長を選択可能。ブロック長は128ビット。1993年にブルース・シュナイアーが開発した対称ブロック暗号、Blowfishの発展型と位置づけられている。技術的にはBlowfi
    Twofish - Wikipedia

  • Blowfish - Wikipedia

    Four rounds of Blowfish are susceptible to a second-order differential attack (Rijmen, 1997);[1] for a class of weak keys, 14 rounds of Blowfish can be distinguished from a pseudorandom permutation (Vaudenay, 1996). Blowfish（ブローフィッシュ）は、ブルース・シュナイアーによって開発されたブロック暗号である。 概要[編集] Blowfishは、1993年にブルース・シュナイアーによって開発された対称ブロック暗号である。ブロック長は64ビット、鍵長は32ビットから448ビットまで可変。DESやIDEAよりも高速とされている。特許が取得されていないことから、ライセンスフリーな

    Blowfish - Wikipedia

  • SSL証明書の署名アルゴリズムとは？


    ﹁SHA-1証明書受付終了とSHA-2証明書移行のお知らせ﹂ 署名アルゴリズムSHA-1のSSLサーバ証明書の受付を2015年12月下旬に終了する。 2016年12月31日までにSHA-2証明書へ移行せよ。 2017年1月1日以降、WindowsはSHA-1証明書のSSL通信を拒否する。 SSL証明書の発行会社から上のようなお知らせが来たが、署名アルゴリズムってなんだっけ？ということでまとめてみた。 SSLサーバ証明書発行の流れ サーバで秘密鍵とCSR(公開鍵とサーバの所有者情報を含む)を作成する。 (2014年現在ではRSA2048bitの鍵を使用するのが一般的) CAはCSRからハッシュ関数を用いてメッセージダイジェストを生成する。 (2014年9月現在ではハッシュ関数はSHA-1が一般的) メッセージダイジェストをCA秘密鍵を用いて暗号化して、CA署名を生成する。 (この暗号化方式は
    SSL証明書の署名アルゴリズムとは？

  • SSL入門

    2005/10/02更新 高木浩光＠自宅の日記を拝見するにつけ、PKI としての SSL が 中途半端な理解により台無しにされている場面が多いように思えます。そこで（セキュリティの専門家ではないものの）私が理解している範囲で自分なりに入門解説を書いてみました。 ちなみに、SSL v3 に少しの改良を加えたものが TLS v1.0 ですが、技術的な細かい点を気にしない 場合は、SSLと総称されています。 ここでも、そんな細かいことは気にしていないので SSL と総称しています。 SSLしくみ解説 まず、SSLを理解するために必要な用語を解説し、次に SSLが PKI としてどのような構成要素で安全な通信路を形成しているか解説します。 暗号化と復号化 コンピューターで暗号化というと、暗号化する前のデータ （以下、「平文（ひらぶん）」と呼びます）と鍵となるデータ（以下「鍵」と呼びます） を使って

  • 暗号と署名の話 - 186 @ hatenablog

    某身分の義務であるアウトリーチ活動の一環として, 教科書的RSA暗号/署名と教科書的ElGamal暗号/署名を比べてみます. 以下の図をご参照ください. 追記: 絵だけみてもわからないので, 書き直し. RSA暗号は知っているが, ElGamal暗号やElGamal署名については良く知らないという人向けです. 承前 高木浩光＠自宅の日記 - 公開鍵暗号方式の誤り解説の氾濫をそろそろどげんかせんとで問題になっている点は以下です. 最もひどく蔓延っていてしばらく消えそうにない間違い解説の典型例は次だ。 「公開鍵で暗号化したものを秘密鍵で復号するのと同様に、秘密鍵で暗号化したものを公開鍵で復号できるようになっている。」 事例1: 日本ベリサイン株式会社による公開鍵暗号方式の解説 (略:186) 「公開鍵暗号方式による署名は、メッセージダイジェストを秘密鍵で暗号化することで実現する。」 事例2:

    暗号と署名の話 - 186 @ hatenablog

  • 公開鍵暗号について理解が足りていなかったのでメモ - かせいさんとこ

    これは何? github にコミットする時とか、heroku にデプロイする時とか、 認証に公開鍵使うけど、いまいちちゃんと理解していないのでまとめた 目次 暗号化の方法 共通鍵暗号 公開鍵暗号 HTTPS TLS/SSL 公開鍵証明書 SSH 公開鍵認証 具体的な手順 暗号化の方法 共通鍵暗号 送信者と受信者が共通の秘密鍵を持って、暗号化と複合を行う たとえばこんな感じ 平文 : 1234 秘密鍵 : 5678 暗号化 : 1234 x 5678 暗号文 : 7006652 復号化 : 7006652 / 5678 送信者側は、平文を、秘密鍵で暗号化して、暗号文を受信者に送る 受信者は、暗号文を、秘密鍵で復号化して、平文を得る 共通鍵暗号の弱点 最初に鍵を受信者に渡す必要があるが、その時に盗聴されるリスクがある 渡す時暗号化すれば良いけど、その暗号化の鍵を... となる 多人数で秘密の通

    公開鍵暗号について理解が足りていなかったのでメモ - かせいさんとこ

  • イケメンとラブレターで学ぶSSLの仕組み - give IT a try


    はじめに みなさんはSSL(Secure Socket Layer)が何だか、きちんと説明できますか？ ﹁フォームが暗号化されて送られるやつでしょ？﹂ ﹁ブラウザのURL欄とかに鍵マークが付いてたら安心なんだよねー﹂ ・・・いや、そういうレベルじゃなくて、もうちょっと裏側の仕組みまで説明できますか？ まあ単純にWeb利用者としてなら、それぐらいの理解でも構わないかもしれませんが、開発者やサーバーの管理者としては落第点ですよね〜！wwって、すいません、僕がこのあいだまで落第点でした・・・ m(_ _)m 実際、裏側の仕組みが分かってないとSSL関連の申請やサーバーの設定をするときに﹁CSR？中間証明書？秘密鍵？？※◎△$%！！？？﹂になってしまいます。 なので、技術者であれば今自分が何をやっているのか把握できるように、SSLの仕組みをきちんと理解しておくことが必要です。 というわけで、今回
    イケメンとラブレターで学ぶSSLの仕組み - give IT a try

  • 改めて知ろう、SSLサーバー証明書とは？ | さくらのナレッジ


    こんにちは、サイバートラストの坂本です。このたび、さくらのナレッジの筆者陣に加わることになりました。どうぞよろしくお願いします。 SSL サーバー証明書が注目をあびた 2014 年 今年ほど、SSLサーバー証明書に関するニュースを頻繁に目にした年はなかったのではないでしょうか。 最近の話題であれば、Chrome による、SHA-1 アルゴリズムを用いた SSL サーバー証明書の制限。また、SSL に関する脆弱性ということでは、全国紙やテレビのニュースでも取り上げられた﹁ Heartbleed ﹂や、他にも POODLE が深刻度の高いものでした︵いきなり脱線しますが、私は﹁SSL サーバー証明書﹂でなく、﹁TLS サーバー証明書﹂といつから呼ぼうか迷っています︶。 さらに、Chrome といえば、Google は SSL サーバー証明書が使用された Web サイトを SEO の評価として優
    改めて知ろう、SSLサーバー証明書とは？ | さくらのナレッジ

  • IBM Developer

    IBM Developer is your one-stop location for getting hands-on training and learning in-demand skills on relevant technologies such as generative AI, data science, AI, and open source.

    IBM Developer

  • SSLストア1,050円でRapidSSLをnginxに簡単導入！　

    「SSLストア」、たった1,050円でSSLが買えちゃいます。SSL証明書をnginxに導入するときに、ほんのちょっとだけはまってしまったので、忘備録メモです。

    SSLストア1,050円でRapidSSLをnginxに簡単導入！　
  • 1 2 3 次のページ

お知らせ

もっと読む

公式Twitter

  • @HatenaBookmark

    リリース、障害情報などのサービスのお知らせ

  • @hatebu

    最新の人気エントリーの配信

はてなブックマーク

公式Twitter

はてなのサービス

  • App Storeからダウンロード
  • Google Playで手に入れよう
Copyright © 2005-2024 Hatena. All Rights Reserved.