[B! security] wata88のブックマーク

S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog

はじめにセキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。本ブログは、2024 年3月30日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。また、ブログ資料化にあたり、Content-Type の動作や仕様にフォーカスした形で再編を行い、登壇時に口頭で補足した内容の追記、必要に応じた補足を行なっています。また、本ブログで解説をする BSides Tokyoでの発表のもう一つの題である、オブジェクトストレージについては、以下のブログから確認をすることが可能ですので、ご覧ください。 blog.flatt.tech なぜ今、この問題を取り上げるのか？従来のファイルアップロードにおいて、Content-Type の値を任意の値に設定すること

wata88 2024/05/31

xss
security

リンク

Examining the Deception infrastructure in place behind code.microsoft.com

The domain name code.microsoft.com has an interesting story behind it. Today it’s not linked to anything but that wasn’t always true. This is the story of one of my most successful honeypot instances and how it enabled Microsoft to collect varied threat intelligence against a broad range of actor groups targeting Microsoft. I’m writing this now as we’ve decided to retire this capability. In the pa

wata88 2024/04/29

リンク

SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝

SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。この論文では、上記のような SPF の脆弱な展開に対する攻撃手法を BreakSPF と呼び、関連するプロトコルや基盤の実装に対する分析と共に、その内容が体系的にまとめられています。本記事では、その論文を参照しながら、簡単に概要をまとめておきます。補足事項 (2024/3/5) 本記事につきまして、(当サイトとしては) 多くのアクセスいただいているようで (ちょっとビビってま) す。まことに大変ありがたいことに色々とシェアいただいたりしたようです。そこで、記事の

wata88 2024/03/05

だからDKIMがあるみたいな部分はある

security

リンク

医療機関向けセキュリティベンダCOO「事業拡大」のため病院をサイバー攻撃した罪を認める | ScanNetSecurity

アトランタを拠点とするハイテク企業の元最高執行責任者（COO）が、2018 年に 2 つの病院に意図的にオンライン攻撃を仕掛け、後にその事件を引き合いに出して売り込みを行った事件の裁判で、有罪を認めた。

wata88 2023/11/30

security

リンク

オンライン投票は現時点でも予見可能な未来でも「実現不可能」である | p2ptk[.]org

先日投開票が行われた総選挙でデジタル権に関連した各党の公約をまとめていて、いわゆる「インターネット投票」や「オンライン投票」の実現を掲げる党が少なくないことに驚いた。私自身その実現を望んでいるが、これまでオンライン投票の実現を阻んできた種々の問題が解決したとは寡聞にして知らない。 2013年の公職選挙法改正で「ネット選挙」が解禁され、ネット上での選挙運動こそできるようにはなったが、候補者・政党への投票は現在も紙ベースで行われている。確かに投票が自分のスマートフォンやパソコンからできればラクでいいし、遠隔地にいるだとか投票所まで行く負担が大きいという人にとっては非常にありがたいのもわかる。投票率の向上が見込めるので、有権者の声がより反映されることにもなるだろう。だがメリットが大きい一方で、リスクはさらに大きい。一番に思いつくところでは、投票の秘密が守られないこと（その結果として生じる投票

wata88 2021/11/20

とりあえずマークシートにするとか、集計の効率化のほうに力入れたほうがマシ

リンク

Spectre の脅威とウェブサイトが設定すべきヘッダーについて

長い記事なので先に結論を書きます。 Spectre の登場で、ウェブサイトに必要とされるセキュリティ要件は増えました。具体的に必要な対策は下記の通りです。すべてのリソースはCross-Origin-Resource-Policy ヘッダーを使ってcross-origin なドキュメントへの読み込みを制御する。 HTML ドキュメントには X-Frame-Options ヘッダーもしくは Content-Security-Policy (CSP) ヘッダーの frame-ancestors ディレクティブを追加して、cross-origin なページへの iframe による埋め込みを制御する。 HTML ドキュメントにはCross-Origin-Opener-Policy ヘッダーを追加して popup ウィンドウとして開かれた場合のcross-origin なページとのコミュニ

wata88 2021/11/02

リンク

ユーザーアカウント、認証、パスワード管理に関する 13 のベストプラクティス2021 年版 | Google Cloud 公式ブログ

※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベストプラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベストプラクティスが含まれています。アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータセキュリティやユーザーエクスペリエンスを提供できていないケースがよくあります。幸い、Google Cloud には、ユーザーアカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、

wata88 2021/06/14

仕様上は大文字小文字区別されるが大半のメールサーバが区別せず運用されている。同じRFC5321でも区別するのは推奨しないとしている。デフォルトが確か、sendmailは区別しない、postfixは区別する、とか設定次第なんで、、

security

リンク

【緊急】複数の日本企業さん、Trelloを公開設定のまま利用してしまい就活生の個人情報がダダ漏れ状態に : IT速報

site:trello.com 採用○○で検索するととんでもないなこんなおっ広げで人の情報管理してるんか？ヤバすぎやろ

wata88 2021/04/06

リンク

twitterアカウント@yanmaが乗っ取られた - yanma

字下げ.iconTwitterで拡散され始めているため、誤解のないように補足しておきます。私のアカウントが乗っ取られたことは事実ですが、私はTwitterのセキュリティ設定のうち、﹁2要素認証﹂と﹁追加のパスワード保護﹂をいずれもデフォルト設定のままOFFにしていました。これらのいずれか一つでもONになっていた場合、今回の手口は使えない可能性があります(Twitterのセキュリティ周りの仕様が不明なため推定)。字下げ.iconしかし、﹁2要素認証﹂はともかくとして、﹁追加のパスワード保護﹂がデフォルトでOFFになっているのはWebサービスのセキュリティ上正しい設計なのかどうかかなり疑問です。私はこの設定の存在を知らず、パスワードのリセット要求がされると少なくとも一回はログインアラートが来て阻止するチャンスがあると考えていました。

wata88 2021/04/04

リンク

ブロックチェーンサービスのセキュリティを考える

参考URL 2P 丸の内で働くブロックチェーンエンジニアのブログ http://www.blockchainengineer.tokyo/ 3P catabira https://catabira.co/ 5P 金融庁「仮想通貨交換業者等の検査・モニタリング　中間とりまとめ」　主なポイント https://www.fsa.go.jp/news/30/virtual_currency/20180810-1.pdf 16,17P ビットコインにおけるトランザクション、その展性と影響（斉藤賢爾,2014） http://member.wide.ad.jp/tr/wide-tr-ideon-bitcoin-transaction2014-00.pdf 18P BIP141 https://github.com/bitcoin/bips/blob/master/bip-0141.mediawiki

wata88 2021/03/02

security

リンク

GitHub Actionsを使ったDDoSに巻き込まれた - 私が歌川です

事例集です。きのう、GitHubの通知を見たら、個人のリポジトリに My First PR というタイトルのPRが来ているのに気づいた。PR出すところを間違えたのかな、と思って見てみたがどうも様子がおかしい。 prog という名前のバイナリファイルを置いている .github/workflows/ci.yml*1の中身をガッと書き換えている on: [pull_request] でworkflowを起動している 20並列でjobが走るようにmatrixを設定している fail-fast: false なので、どれか1つのmatrixが失敗しても他のジョブは続行される base64 encodeした文字列をdecodeしてevalしているドメインの名前解決を行ったあと ./prog を実行するコマンドにdecodeされた PRをめちゃくちゃな回数closeしてreopenしている PRを

wata88 2021/02/05

リンク

Salesforceの設定不備に起因した外部からのアクセス事案についてまとめてみた - piyolog

2020年12月25日、セールスフォースドットコムは一部製品、または機能を利用するユーザーにおいて、Salesforce上の組織の一部情報が第三者より閲覧できる事象が発生していると案内を掲載しました。また、12月に入り外部への情報流出の可能性を発表した楽天、PayPayがこの影響を受けたユーザーに含まれていたことが報じられています。ここでは関連する情報をまとめます。設定不備で第三者からの情報閲覧事象が発生 www.salesforce.com セールスフォースドットコムが公開したリリースをまとめると以下の通り。影響を受ける対象機能、製品はExperience Cloud︵旧 Community Cloud︶、Salesforceサイト、Site.com。既に当該機能、製品利用組織において第三者による閲覧行為が発生している。脆弱性起因の問題で生じた事象ではなく、ゲストユーザーに対する

wata88 2020/12/28

security

リンク

OAuth2の次に来ると言われる認可プロトコルGNAPとはなにか | メルカリエンジニアリング

Merpay Advant Calendar 2020、23日目の記事は、趣味で認証認可をやっている @nerocrux が送りいたします。最近 GNAP という認可プロトコルのワーキンググループドラフトが出ていて頑張って細かく読みましたので、︵次回はいい加減に仕事でやってることについてお話しますが︶今回はその GNAP について紹介させてください。 GNAP とはなにか？ GNAP は Grant Negotiation and Authorization Protocol の略で、認可のプロトコルです。Justin Richerさんという方を中心に策定しています。作者によると、GNAP の発音はげなっぷになります。認可︵Authorization︶プロトコルと言えば、OAuth 2.0 (RFC6749) が広く知られ、運用されています。GNAP は OAuth 2 の後継とし

wata88 2020/12/23

security

リンク

[2020年版]AWSセキュリティのための10のことが発表されました # reinvent | DevelopersIO

こんにちは、臼田です。みなさん、AWS セキュリティやってますか？(挨拶今回は開催中のre:Invent 2020にて発表された﹁AWS セキュリティのための10のこと﹂最新版について紹介します。前置き﹁AWS セキュリティのための10のこと﹂は実は昨年行われたre:Invent 2019にてAWSのCISOであるスティーブ・シュミット氏が発表していました。その時の内容は以下AWSブログでも紹介されています。 AWS アカウントのセキュリティを改善するための10個の項目 | Amazon Web Services ブログ上記では﹁AWSアカウントのセキュリティを改善するための10個の項目﹂というタイトルですが、長いので私は﹁AWS セキュリティのための10のこと﹂と勝手に表現しました。決して公式の表現ではないのでご容赦を。で、上記は以下の10項目になっています。アカウント情報を

wata88 2020/12/21

aws
security

リンク

About · Container Security Book

Container Security Book ⚠️この文書は製作中のものです About これから Linux コンテナのセキュリティを学びたい人のための文書です。普段からコンテナを扱っているが、コンテナの基礎技術やセキュリティについては分からないという人が、それらを理解できる足がかりになるように書かれています。誤字脱字や間違いなどあれば https://github.com/mrtc0/container-security-book に Issue もしくは Pull Request を立ててください。ご意見、ご感想等は Twitter ハッシュタグ #container_security でツイートをお願いします。 License この書籍に記述されているすべてのソースコードはMIT ライセンスとします。また、文章は Creative Commons Attribution

wata88 2020/11/16

security

リンク

BYOD端末と撤去控えたサーバーが狙われたNTTコミュニケーションズへの2つの不正アクセスをまとめてみた - piyolog

2020年5月28日、NTTコミュニケーションズは社内ネットワークや一部サービスが不正アクセスを受け情報流出の可能性があると発表しました。また、同年7月2日には発表済み事案の影響顧客に追加があったこと、そしてBYOD端末を経由した別事案を把握し、これも情報流出の可能性があると発表しました。ここでは関連する情報をまとめます。 NTTコミュニケーションズで起きた2つの事案 2つの事案概要を図に整理すると次の通り。両事案とも情報流出が発生した可能性がある。 2つの事案の概要図事案① 複数の海外拠点を経由しNTTコミュニケーションズの一部サービスに侵入した事案。さらにそのサービスで運用されるサーバーを踏み台に、社内ネットワークへ侵入し、ADサーバーやファイルサーバーの操作を行った。サービス上で保管された工事情報等やファイルサーバー上の情報が流出した可能性がある。事案② BYODとして使用してい

wata88 2020/07/04

security

リンク

求む！TLS1.3の再接続を完全に理解した方(Challenge CVE-2020-13777) - ぼちぼち日記

1. GnuTLSの深刻な脆弱性(CVE-2020-13777) 先日、GnuTLSで深刻な脆弱性が見つかりました。 GNUTLS-SA-2020-06-03: CVE-2020-13777 It was found that GnuTLS 3.6.4 introduced a regression in the TLS protocol implementation. This caused the TLS server to not securely construct a session ticket encryption key considering the application supplied secret, allowing a MitM attacker to bypass authentication in TLS 1.3 and recover previous c

wata88 2020/06/13

面白そう

TLS
security

リンク

2020.06.03【お知らせ】お名前.com Naviで発生した事象につきまして｜お知らせ｜ドメイン取るならお名前.com

ドメインのご利用ならこちらがおトクです（ドメイン永久無料！さらにサーバー初期費用無料＆月額最大2ヶ月無料！）

wata88 2020/06/04

個人情報が抜かれるとかそういうもんだいじゃない

security

リンク

Download affected certificate serials for 2020.02.29 CAA Rechecking Incident - Let's Encrypt

Download affected certificate serials for 2020.02.29 CAA Rechecking Incident Last updated: Mar 3, 2020 This page hosts the list of affected serial numbers and a hostname checking utility for the incident reported at https://community.letsencrypt.org/t/2020-02-29-caa-rechecking-bug/114591. We have sent notification em ails to affected subscribers who have registered an em ail address. If you need to

wata88 2020/03/04

security

リンク

弘前市が職員関与と判断したほぼ全ての職員情報流出についてまとめてみた - piyolog

2020年1月8日、弘前市は市職員の個人情報が流出事案を受け、職員関与と判断するも関係者を特定に至らなかったことから刑事告発したことを発表しました。ここでは関連する情報をまとめます。情報提供の匿名メールは誰から事案概要図発端は2019年11月18日以降、断続的に合計5回にわたり弘前市へ内部情報流出を示唆するメールが届いていた。メールには「職員の個人情報が記載されたリストが流出しているがいいのか」「職員からの流出だ」「公表せず隠すのか」「報道機関へ発表して説明を求める」といった内容が記述されていた。その後、実際に一部職員の個人情報が記載されたメールがさらに送られてきたためこれを受け市が調査を開始した。情報提供のメールは弘前市人事課宛に4回、秘書課宛に1回。東奥日報に1回。弘前市あてに届いた5通は「匿名」「市民」の名前で届いたもの。但し電話番号、メールアドレスは毎回異なっていた。

wata88 2020/01/10

NASに直接アクセスしなくてもクラウドストレージ経由とか誰かの脆弱なマシンとか別経由で流出してる可能性が拭えないが、どうなんだろ

security

リンク

はてなブックマーク

タグ

関連タグで絞り込む (102)

securityに関するwata88のブックマーク (144)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

今週のはてなブックマーク数ランキング（2024年7月第1週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス