[B! security] taka-ohのブックマーク

DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog

Gmailが﹁メール送信者のガイドライン﹂を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。なりすましメールとみなされないようにするために、メール送信者には、﹁メール送信ドメイン認証﹂への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来

taka-oh 2024/01/23

リンク

年末だし腰を据えてパスキーに取り組んでみる – 道具眼日誌：古田-私的記録

昨年から今年、各OS︵macOS/iOS/Windows/Android︶や各種Webサービスが対応を進めて来た新しいパスワードレス認証規格のPasskeys︵以下パスキー︶というものがあります。何かサービスにログインする時、パスワードや二段階認証を不要にする仕組みです。代わりにセキュリティデバイスや1Passwordのような認証アプリを使います。ここでいうセキュリティデバイスはWindows Hello対応の指紋認証、顔認証だったりTouchID/FaceIDに対応したiPhoneだったりします。PCでログインしようとする際、BluetoothやQRコード経由でiPhone上で顔認証をする、みたいな手順になるようです。手元にiPhoneが必要という意味では、Google/Microsoft Authenticatorなどを使ったワンタイムパスコード認証とかわりないですが、数字を入力したり

taka-oh 2023/12/23

リンク

中小企業の情報セキュリティ対策ガイドライン | 情報セキュリティ | IPA 独立行政法人情報処理推進機構

IPA︵独立行政法人情報処理推進機構︶は、中小企業の情報セキュリティ対策に関する検討を行い、より具体的な対策を示す﹁中小企業の情報セキュリティ対策ガイドライン﹂を公開しました。概要﹁中小企業の情報セキュリティ対策ガイドライン﹂︵以下﹁本ガイドライン﹂︶は、情報セキュリティ対策に取り組む際の、(1)経営者が認識し実施すべき指針、︵2︶社内において対策を実践する際の手順や手法をまとめたものです。経営者編と実践編から構成されており、個人事業主、小規模事業者を含む中小企業︵以下﹁中小企業等﹂︶の利用を想定しています。第3.1版は第3版︵2019年3月︶を公表して以降、新型コロナウイルス感染防止策によるテレワークの普及や、DX 推進の両輪としての情報セキュリティ対策といった社会動向の変化などを踏まえ、具体的な対応策を盛り込むための改訂を行いました。例えば実践編において、テレワークを安全に実施す

taka-oh 2023/04/26

リンク

VPSを使って「マインクラフト」などの自宅ゲームサーバーを安全に公開する方法【イニシャルB】

taka-oh 2023/04/10

リンク

StackOverflowからのコピペをやめろ。今すぐにだ。 - Qiita

Original article:https://dev.to/dotnetsafer/rip-copy-and-paste-from-stackoverflow-trojan-source-solution-4p8f その昔コピペできない文章というものがありました。実際は単にフォントを変えているだけというものですが、人間の目に見える文字と実際の文字が異なることを利用した攻撃の一種と見ることもできます。さて、最近になって似たような攻撃に関する論文が公開されました。人間には見えない文字を織り交ぜることによって、一見問題ないコードが実は脆弱になってしまうというものです。ただ論文は堅苦しいうえに長くて読むのがつらいので、具体的に何がどうなのかよくわかりません。平易に解説している記事があったので紹介してみます。以下はDotnetsafer( Twitter / GitHub / Web

taka-oh 2021/12/29

リンク

クラウド全面移行目前、DeNAが324のセキュリティ監査項目を8割減できた理由

クラウド移行で明らかになった既存のセキュリティ監査の限界モバイルゲームからEコマース、スポーツ、ヘルスケアまで多角的に事業を展開するディー・エヌ・エー︵以下、DeNA︶。その同社が2018年度から3カ年計画で取り組むのが、オンプレミス環境で運用する社内外サービスのパブリッククラウド全面移行だ。3年目となる2020年現在、約60の部門がクラウドを活用。Amazon Web Services︵AWS︶で250アカウント以上、Google Cloud Platform︵GCP︶で600プロジェクト以上が稼働しており、今も毎月10個のペースでアカウントやプロジェクトは増えているという。だが、移行が加速する中で、同社セキュリティ部はある重大な問題に直面した。それは、既存のセキュリティ監査方法が新しい環境にマッチしていないという課題だ。﹁ITmedia Security Week 2020冬﹂の講

taka-oh 2021/02/14

リンク

脆弱性対処に向けた製品開発者向けガイド | 情報セキュリティ | IPA 独立行政法人情報処理推進機構

ガイドの内容目的サイバー攻撃の脅威は高まる一方、製品の脆弱性を網羅的に対処するのは困難です。製品開発者の脆弱性対処状況は一般消費者からの製品評価向上、製品選定の優位性（顧客獲得及び売上等）になりづらい、という課題があるため、結果的に脆弱性対処が進まないという状況となっています。このような状況を受け、以下3点を目的に、脆弱性対処に向けた製品開発者向けのガイドを公開しました。製品開発者がセキュリティ対策として実施すべき項目を把握できる実施する対処を徐々にレベルアップできる一般消費者に自組織の取組み状況をアピールするため、すべきことを把握できるガイドの特徴国内外の主要なガイド等から抽出した標準的に実施が求められる対処集チェックリストで自組織の脆弱性対処の状況が把握可能レベル分けした対処方法により、自組織の状況に応じた対処から実施可能一般消費者にアピールするため、対処の実施状

taka-oh 2020/09/17

リンク

Am I Unique ?

Javascript is disabled on your browser! Some of features may not work properly. Your Data, Your Control: Join Our Experiment to Audit Server-Side Fingerprinting Be one of the people who participated in our research ! We're investigating the power of Meta (ex. Facebook) and Google advertising tools. Help us hold these companies accountable and shape the future of advertising! Learn how identifiable

taka-oh 2020/01/27

自分のブラウザ属性(いわゆるフィンガープリント)をチェック。どういう属性で特定できるのかが見れておもしろい

リンク

HashDoS脆弱性との戦い！ Rubyコミッター・卜部昌平が明かすプログラム堅牢化のノウハウ - エンジニアHub｜若手Webエンジニアのキャリアを考える！

HashDoS脆弱性との戦い！ Rubyコミッター・卜部昌平が明かすプログラム堅牢化のノウハウ過去、HashDosの影響を受けたRuby。言語開発者はいかにしてこうした問題に対応してきたのでしょうか。コミッターである卜部氏の貴重な記録を公開します。 2011年の末頃、HashDoSという脆弱性が公表され、Rubyもこの影響を受けた。本稿の筆者である卜部昌平︵うらべ・しょうへい／@shyouhei／以下、卜部︶は、報告当初からRuby側のチームメンバーとしてプログラム本体の修正を担当した。以下はその記録である。言語開発者たちが普段どのようなことを考え、どういった技術を用いて開発やバグフィックスを行っているのか。その概要を知ってもらえれば幸いだ。オブジェクト指向スクリプト言語 Ruby HashDoSの概要なぜ約6年後の今、修正内容を公開するに至ったか？前史‥すでに内包されていたリスク

taka-oh 2018/01/16

リンク

モバイルWi-Fiルーターがマルウェアの感染経路になっていた！　日本を狙った「XXMM」亜種の特徴的な感染経路　活動が続く「The Bald Knight Rises」の洗練された攻撃手法、カスペルスキーが解説

taka-oh 2017/12/31

security

リンク

GitHub - shieldfy/API-Security-Checklist: Checklist of the most important security countermeasures when designing, testing, and releasing your API

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

taka-oh 2017/07/10

リンク

Insecam - World biggest online cameras directory

Welcome to Insecam project. The world biggest directory of online surveillance security cameras. Select a country to watch live street, traffic, parking, office, road, beach, earth online webcams. Now you can search live web cams around the world. You can find here Axis, Panasonic, Linksys, Sony, TPLink, Foscam and a lot of other network video cams available online without a password. Mozilla Fire

taka-oh 2016/12/29

security

リンク

「Mirai」ソースコード徹底解剖－その仕組みと対策を探る

Miraiボットネットとは Miraiは、2016年9月13日夜、米国のセキュリティジャーナリストBrian Krebs氏のWebサイト﹁Krebs on Security﹂に対して行われた大規模なDDoS攻撃に使用されたとして話題になったボットネットです︵関連記事︶。Miraiは主にWebカメラやルーター、デジタルビデオレコーダーなどのIoTデバイスを踏み台としてDDoS攻撃を仕掛けます。参考‥セキュリティ用語事典‥DDoS攻撃攻撃を受けた後に投稿されたKrebs氏のブログ記事によれば、同サイトを保護していたAkamaiが、ピーク時にはそれまでに経験した最大規模の攻撃の2倍近いトラフィックを観測したそうです。また、2016年10月21日にTwitterやNetflixなどが利用するDNSサービスへ行われたDDoS攻撃でも、Miraiボットネットが利用されていたのではないかと推定され

taka-oh 2016/12/07

リンク

GoogleのようでGoogleではない謎のサイト「ɢoogle.com」が出現

Google Analyticsはスパマーのターゲットとなっていて、ユーザーがどこからやってきたのかチェックしている人をアクセス元であるかのように見せかけてスパムサイトへ誘導するという手口が存在します。そのアクセス元が「ɢoogle.com」となっていると「googleで何かの検索フレーズが引っかかったのだろうか」などと思ってしまいそうですが、この「ɢoogle.com」は「Google.com」ではないスパムサイトなので絶対にアクセスしないようにしてください。「G」が違います。 Here’s a secret: ɢoogle.com is not google.com – Analytics Edge http://www.analyticsedge.com/2016/11/heres-a-secret-%C9%A2oogle-com-is-not-google-com/ 「ɢoogle

taka-oh 2016/11/23

security

リンク

HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog

疑惑どころか 99.99% くらい黒な話。︵後記‥セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい︶追記‥続報11月3日今回指摘した HTTP Headers 以外にも、﹁Tab Manager﹂﹁Give Me CRX﹂﹁Live HTTP Headers﹂等で同様︵？︶の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様︵？︶。皆さま情報ありがとうございます。11月4日Zaifについては、﹁不正な Chrome 拡張﹂と﹁スクリプトから保護されていなかったクッキー﹂のコンボによりセッションが盗まれていた可能性あり。Zaifのセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog

taka-oh 2016/11/04

security

リンク

JSSEC、セキュアなAndroidアプリを開発するガイド文書の改訂版を公開

日本スマートフォンセキュリティ協会︵JSSEC︶の技術部会の一つであるセキュアコーディンググループは2016年9月12日、セキュリティを考慮してAndroidアプリを開発するノウハウを集めたガイド文書﹃Androidアプリのセキュア設計・セキュアコーディングガイド﹄の改訂版に当たる2016年9月1日版を公開した。ダウンロードして閲覧できる。今回の改定では、HTTPS通信を実装する際の注意点や、暗号技術の脆弱性対策に有効と考えられる内容を追加した。改訂版は、全465ページで構成する。

taka-oh 2016/09/24

リンク

まさにプロの犯行!?　Twitterの鍵アカを自在に開けさせる達人女子にその手口を聞いてきた

背景に合わせてこんばんは、ひにしです。本日は、とある達人との待ち合わせで渋谷に来ています。ところで、この﹁トゥギャッチ﹂はTwitterの旬な話題をお届けしているメディアなわけで、その読者であるみなさんなら、1度はあるのではないでしょうか？﹁この鍵アカを覗き見してええええ！﹂と思ったことが…！ちなみに、鍵アカとは非公開Twitterアカウントのこと。フォロワーしかツイートを閲覧できないアカウントをこう呼びます。今日は、合コンなどで知り合った男のTwitterアカウントの特定や、鍵アカを約8割の確率で開けさせてきた﹁鍵アカ解除の達人女子﹂がどんなテクニックを使っているのかを惜しみなく披露してくれるとのことなので、パリピの巣窟・渋谷までのこのこやってきたというわけです。鍵アカ解除の達人はこんな女子！こじあけさん︵24歳︶都内在住の会社員。合コンなどで知り合った男性に“興味ありま

taka-oh 2016/08/29

security

リンク

あなたの情報をブラウザがどれぐらい収集できてしまうのかを見せてくれる「webkay」

インターネットに接続する時にアンチウィルス系のソフトで安全策を講じている人も多いはずですが、何気なく使っているブラウザで一定の情報が取得されることがあることも認識して置いたほうが良さそうです。起業家でJavaScriptのファンでもあるRobin Linusが開発したツール「webkay」では、普段使っているブラウザからアクセスするだけでどのような情報を取得することが可能なのかを確認することができます。 What every Browser knows about you http://webkay.robinlinus.com/ ページを開くと、「これは、あなたが使っているブラウザがあなたについて知っているデータの全てを示すデモンストレーションです。ここにある全てのデータは、あなたに許可を求めることなく取得できるものばかりです。これらの大部分は根拠のある推測であり、正しいものと考えられま

taka-oh 2016/04/06

リンク

設計や仕様にも危険が潜む脆弱性の本質を理解しよう

Webサイトの﹁脆弱性﹂を狙ったサイバー攻撃が後を絶たない。Webサイトを運営する企業にとって、脆弱性を解消することは、必ず実施すべきセキュリティ対策の一つである。このことは、マネジャー層も当然認識しているだろう。だが、脆弱性という言葉は、きちんと定義されずに使われることが多いので、何となく分かった気になっている人は少なくないと感じている。一口に脆弱性といっても、その原因は様々。Webアプリケーションなどの実装の不備だけが原因ではない。設計や仕様の不備が原因の場合もある。深刻度も様々だ。どのようなWebサイトであっても対応が急務なものから、“グレーな脆弱性”まで存在する。適切な対策を採るには、脆弱性に対する正しい理解が不可欠だ。そこで今回は、﹁脆弱性とは何か﹂について、具体例を挙げながら詳細に解説する。脆弱性は﹁悪用できるバグ﹂脆弱性の定義としては、﹁悪用可能なバグ︵欠陥︶﹂だと考

taka-oh 2015/11/08

security

リンク

進化する手口、変わらぬ本質、Web侵入事件の歴史に学ぶ

Webサイトへの不正アクセスが相次いでいる。企業としては対策が急務だが、攻撃者の手口は“進化”を続けている。被害に遭わないためには、最新の手口や対策に関する情報を常時チェックして備える必要がある。そこで本特集では、企業のセキュリティ担当者はもちろん、一般の従業員や経営陣なども知っておくべき、﹁Webセキュリティの新常識﹂について解説する。始まりは﹁省庁サイトへの改ざん﹂攻撃の手口は変わり続けているが、その“本質”は十数年前から変わっていない。Webサイトへの侵入経路は、﹁脆弱性の悪用﹂か﹁認証の突破﹂しかないのだ。そこで第1回となる今回は、Webサイトへの不正アクセス事件の歴史を振り返り、攻撃の手口の変遷とその本質を確認しよう。 Webサイトへの侵入が国内で大々的に取り上げられた最初の事例は、﹁省庁不正アクセス事件﹂だろう。これは、2000年1月14日に科学技術庁︵当時︶のWebページ

taka-oh 2015/11/04

security

リンク

はてなブックマーク

タグ

関連タグで絞り込む (26)

securityに関するtaka-ohのブックマーク (86)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第1週）

月間はてなブックマーク数ランキング（2024年6月）

今週のはてなブックマーク数ランキング（2024年6月第5週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス