2021.02.16 「私はロボットではありません」はワンクリックでなぜ人間を判別できる？ 仕組みとその限界を聞いてきた WebサイトにIDとパスワードを入力するとき、ときどき「私はロボットではありません」にチェックを求められることがあります。 僕はロボットではないので、当然チェックを入れて認証を進めるわけですが……。でもちょっと待ってください。なぜクリックひとつで、人間かロボットかを判断できるんでしょう。 これはきっと、人間ではないなんらかの不正アクセスを防ぐ仕組みのはず。でもチェックを入れるくらい、プログラムを作ってなんやかんやすれば、シュッとできるのでは？ 「私はロボットではありません」は、どんな仕組みで人間とロボットを判別しているのか。もっといい方法はないのか。これまでの歴史的経緯も含め、情報セキュリティ大学院大学の大久保隆夫教授に聞きました。 気づかないうちに「人間かロボットか」

はじめに JavaScriptは、最新のWebブラウザで最も普及した技術の1つになっています。AngularJS、ReactJS、Vue.jsなどのクライアントサイドJavaScriptフレームワークを使用して構築されたアプリケーションは、多くの機能とロジックをフロントエンドに提供します。そしてロジック、機能の増加によってクライアントサイドのAttack Safaceも増加します。これらのAttack Safaceを理解し、脆弱性を発見する方法を身に着けることが必要です。 このブログ記事では、効率よくWebアプリケーションの脆弱性を発見するために、クライアントサイドJavaScriptの静的解析に注目して説明します。 今回は脆弱性を探す対象はOWASP Juice Shopです。Juice ShopはJavaScript製の意図的に脆弱に作られたアプリケーションです。 何を探すか? セキュ

※本記事内容には『名探偵コナン ゼロの執行人』の若干のネタバレを含みます。 ※物語の核心を突くようなものではないですが、まだご覧になっていない方はお気をつけください。 前回のブログでは「キャンプをする女子高生」になりたがっていましたが、 この数ヶ月で「安室の女」になってきました。 オタクはすぐコンテンツに影響されてしまうので、 1,2ヶ月後には趣味の筋トレが高じて、「地上最強の男」を目指しているかもしれません。 男と生まれたからには、誰でも一生の内一度は夢見る地上最強の男ｯｯ どうも、死ぬほどアニメの技術監修がやりたいセキュ松です。 さて、安室さんのドラテクがめちゃくちゃ格好良く、 「え......？彼女は日本に住んでる人たち皆ってこと......？じゃあ俺も彼女じゃん......」 と思わず 迷推理してしまうようなシーンがあった話題の映画ですが、 Norと呼ばれる通信を隠す仕組みによる不

2018 年 7 月 12 日に、ESLint 開発チームが管理する npm パッケージに悪意あるコードが挿入されるセキュリティ インシデントがありました。 ESLint からのアナウンス: https://eslint.org/blog/2018/07/postmortem-for-malicious-package-publishes npm からのアナウンス: https://status.npmjs.org/incidents/dn7c1fgrr7ng 以下の場合に npm install を実行したユーザーの npm アカウントへのログイン情報 (アクセストークン) が盗まれた恐れがあります (盗まれたアクセストークンはすでに無効化されています)。 日本時間の 18:49 から 19:25 の約 1 時間のあいだに npm install を実行し、eslint-config-e

フリマアプリ「メルカリ」の安全性向上のために、セキュリティチームはプロダクト開発における技術的サポートだけでなく、社内メンバーのトレーニングや業務支援などを日々行っています。 そこで今回のメルカンは、2018年1月～3月期のAll for One賞を受賞した、同チームの八木橋優さん（@yagihashoo）にインタビュー。透明性の高い環境にいるからこそ直面する、セキュリティエンジニア特有の悩みとは…？ 八木橋優（Yu Yagihashi） 大学卒業後、大手セキュリティベンダーに入社。セキュリティコンサルタントとして主に金融業界の技術的課題解決に携わる。2018年1月にメルカリへジョインし、メルカリ／メルペイ／ソウゾウの多岐にわたるセキュリティエンジニアリングに従事。 オープンすぎるメルカリにカルチャーショック ーまずはAll for One賞、おめでとうございます！　八木橋さんがメルカリへ

Japan Security Analyst Conference 2018 は終了いたしました。 ご参加いただきまして、誠にありがとうございました。 日々発生するサイバー攻撃は、刻々と変化しており、そのようなインシデントの分析・対応を行う技術者もそれに応じてスキルアップが求められています。一方で、このような技術や知見は国内において共有される場が多くない現状において、日本国内のセキュリティアナリストの底上げ行うためには、国内のセキュリティアナリスト同士が共有し、日本全体でサイバー攻撃に対抗する必要があると考えます。 JPCERT/CCでは、セキュリティインシデントを日々対応する現場のセキュリティアナリストが集い高度化するサイバー攻撃に対抗するための情報を共有することを目的にセキュリティインシデント分析・対応のための技術情報共有カンファレンス「Japan Security Analyst C

米国立標準技術研究所（NIST）で「パスワードには英大文字・小文字・数字・記号を使う」「定期的にパスワードを変更する」といったパスワード設定規則を作成したビル・バー氏が、このルールはほとんど間違っていたとして後悔しているという（ウォール・ストリート・ジャーナル）。 定期的にパスワードを変更することが無意味なことは昨今では頻繁に説明されており、セキュリティについて学んでいる人であれば意味が無く利用者に不便を強いるだけのルールであることはもはや常識だろう。 また、現代ではパスワードクラック技術が向上しており、そのため「英大文字・小文字・数字・記号を使った短いパスワード」よりも、「複数の英単語を単純に並べた文字数の多いパスワード」のほうが安全度が高いという。

セキュリティ・キャンプ全国大会2017の講義資料です（Masato Kinugawaさんとの共同制作です）。

iOS8のメールアプリで二段階認証したGoogleアカウントを利用する方法 iPhoneやiPadに搭載されているiOS8のメールアプリはGoogleの二段階認証プロセスを正式に対応していません。なので、メールアプリでGoogleアカウントのパスワードを入力すると弾かれてしまいます。 エラーメッセージも二段階認証が有効になっていることを教えてくれないのでしばらくなぜ弾かれているのか分からなくなってしまいますが、そんな時はGoogleアカウントの二段階認証が有効になっていることを思い出して下さい。 二段階認証を有効になっているGoogleアカウントを利用するときにiOS8のメールアプリを利用するときは通常のGoogleアカウントのパスワードではなく二段階認証用の個別のアプリパスワードをGoogleアカウント側で設定をする必要があります。 Googleアカウント側でのアプリパスワードを生成しi

エグゼクティブサマリ GoDaddy社の発行するドメイン認証SSL証明書に認証不備の脆弱性があり、予防的な処置として8850件の発行済証明書が失効された。これは同期間に発行された証明書の2%未満である。現在は脆弱性は解消されている。 概要 GoDaddy社は米国のホスティング（レンタルサーバー）やレジストラの大手で、認証局（CA）の事業も手がけています。 GoDaddyが発行するドメイン認証証明書の認証手続きに不備があったとして報告されています。 In a typical process, when a certificate authority, like GoDaddy, validates a domain name for an SSL certificate, they provide a random code to the customer and ask them to p

7月のCodeZine Academyは「セキュア開発Boot Camp」だ。セキュア開発とは、要件定義、設計、コーディングの段階で、脆弱性を作り込まないようにする考え方。このセミナーでは、26日と27日の2日間、基礎編・適用編と分けて、じっくりセキュア設計、セキュアコーディングの考え方と実装スキルを習得する。セミナー実施に先立って、講師を務める岡田良太郎氏（株式会社アスタリスク・リサーチ エグゼクティブ・ディレクタ / OWASP Japan Chapter Leader）に、どんな内容なのか、どんな意味があるのか、話を聞いた。 OWASP Japan Chapter Leader 岡田良太郎氏 セキュリティ人材よりも不足している セキュアコーディングが行える人材 一般にセキュリティ対策といえば、ファイアウォールやウイルス対策といった入口対策、監視・監査・多重認証といった出口対策、あるい

はじめに みなさんこんにちは、セキュアスカイ・テクノロジーのはせがわようすけと申します。 周知のとおり、ここ数年のブラウザの機能強化は目覚ましいものがあり、CSS3やSVGを含むHTML5ブーム以降のブラウザ内での表現力の向上や、JavaScriptエンジンの最適化による実行速度の向上は、数年前では考えられないような目を見張るものがあります。また、HTML5の仕様策定後の現在でも、WHATWGやW3Cではさまざまな議論が継続的に行われており、これまでブラウザ上に存在しなかったような多様なAPIの仕様が生み出され、各ブラウザに日々実装されています。 利用者視点だけでなく、以下のような開発者視点での需要に応えるフロントエンド開発環境の改善も、ここ数年でかつてないほど大きく進んでいます。 CoffeeScriptやTypeScriptに代表されるaltJSと呼ばれる言語処理系の登場 ES2015

Intro 本サイトにて HTTP Strict Transport Security (HSTS) を有効化した。 includeSubdomains を用いた *.jxck.io 全体への適用および、ブラウザへの Preload 登録も検討したが、本サイトの特性上それは見送った。 導入に必要な設定や、注意点についてまとめる。 HSTS 本サイト (blog.jxck.io) では、フル HTTPS 化が完了しており、HTTP へのリクエストは全て HTTPS へリダイレクトしている。 特に本サイトのタイトル自体が blog.jxck.io であり、ドメイン名と同じになっているため、これが Twitter などで http://blog.jxck.io へのリンクと解釈される場合が多く、そこからの HTTP アクセスも少なくはない。 しかし、MITM の脅威への対策が可能な HTTPS

1. はじめに 先日、某セキュリティ系の勉強会で「AIにWebアプリケーション診断をさせてみる」と題し、Webアプリケーション診断（以下、Webアプリ診断）を行う人工知能（以下、診断AI）のデモを行ったところ、意外にも好評でしたので、本Blogで少し深堀したいと思います。 なお、本Blogでは機械学習アルゴリズムにも触れますが、これらの詳細な解説は行っておりません。機械学習アルゴリズムの詳細については、「6.参考文献」に示した書籍やWebサイトで解説されておりますので、そちらでご確認いただければ幸いです。 それでは、診断AIの概要について解説を始めます。 2. 最終目標 以下の動作を実現できる「診断AI」を目指して開発を進めています。 「人間の診断員と同じように、診断対象のWebアプリをクローリングしながら診断を行い、発見した脆弱性を開発者、または、サイトオーナに報告することができる。」

OWASP Top 10 はじめに OWASPでは、開発者に向けたセキュリティ対策のためのドキュメントやチートシートを多数用意しており、XSSへの対策としても「XSS (Cross Site Scripting) Prevention Cheat Sheet」というドキュメントが用意されています。 ただし、このXSS Prevention Cheat Sheetはシンプルなルールを定めたチートシートであるとうたいつつも、開発者が直面するあらゆる場面で包括的に適用できる抜けのないものを目指しているために、多岐にわたる条件のもとでの詳細なルールが定められており、残念ながら決して誰しもが簡単にすぐ適用できるものではないというのが現状です。 そこで、本稿では、より一般的で頻繁に遭遇する共通的な状況下に限定することで、XSSへの対策方法を簡潔に説明したいと思います。 本稿では物足りない方、本稿だけで