HTTPS（えいち・てぃー・てぃー・ぴー・えす）、SSL（えす・えす・える）、TLS（てぃー・える・えす）という言葉を耳にしたことはありませんか？ どれも「インターネットで情報を安全にやりとりするための仕組み」のことなのですが、なぜこのようにいろいろな呼び方があるのでしょうか、あまり聞きなれない言葉のうえに違う表現をされると困ってしまいますね。そこで今回は、HTTPS と SSL と TLS その違いをできるだけわかりやすく解説いたします。 HTTPS と SSL と TLS 広い意味では同じでOK 冒頭にも書きましたが、広い意味では HTTPS と SSL と TLS はどれも同じものだと思っていただいてまったく問題ありません。たとえば次の言葉の意味はどれも同じです。 『こんど立ち上げるウェブサイトは「HTTPS」を使おう』 『こんど立ち上げるウェブサイトは「SSL」を使おう』 『こんど

あなたは、毎日何気なく送っているメールが、確認漏れによって大きなミスに繋がってしまう事を想像したことはありますか？誤送信してしまったメールに顧客の情報が入っていたら取り返しのつかないことになってしまうかもしれません。 今回は、よくあるメールの失敗からメールの誤送信を減らす対策法をご紹介します。 成功のカギは、商談前にあり！ 商談を成功させる、事前準備の進め方 save_alt資料を無料でダウンロードするplay_arrow メールの誤送信が及ぼす影響とは まず初めに、メールで誤送信してしまった場合にどのようなことが起こりうるのか考えてみましょう。 情報漏洩をしてしまう 一度ネット上に出てしまった情報をなかったことにするのは、とても困難です。また、情報漏洩によるプライバシーの被害も起きてしまいます。2014年には、世界的に有名な金融グループで、外部企業がシステム・アップグレードを行った際に、

はじめに 自分が使っているAWS環境のセキュリティに問題がないかと心配になることはないでしょうか？私はよくあります。そこでCIS Amazon Web Service Foundations Benchmark というAWSのセキュリティのガイドラインに沿って使っているAWSアカウントのセキュリティの状況をチェックしてみました。チェック項目は全部で52あります。内容を一通り確認したところ知らなかったAWSのセキュリティの機能やノウハウを知ることができ、見ただけでもとても勉強になりました。簡単にチェックする方法も併せて紹介しますのでぜひ使っているAWS環境でチェックしてみてください。 1 IAM 1.1 rootアカウントを利用しない rootアカウントは強力な権限を持つため、rootアカウントを利用せずIAMユーザーを利用してください。通常運用でrootアカウントが利用されていないか確認し

はじめに Webサーバをセキュアに保つ為、個人的に行っている設定をざっくりまとめてみました。 設定内容はApache 2.4での運用を想定していますので、他のHTTPdをお使いの方は適宜読み替えてください。 各設定項目は以下のオンラインテストサイトでA+相当を取ることを目指しています。 設定ファイル生成 Mozilla SSL Configuration Generator オンラインテスト Mozilla Observatory Qualys SSL Server Test 前提条件 以下で設定する項目は特にHTTPS接続や攻撃防止に関するものになります。 HTTPdそのものに関する基本設定については別記事をご参照ください。 SSLProtocol 危殆化した古いプロトコルを有効にしている場合、古いプロトコルを標的としたダウングレード攻撃等を受ける可能性がある為、新しいプロトコルのみを有

All slide content and descriptions are owned by their creators.

ここではLaBoon!!の全てのドライブレコーダー記事の入り口として、ドライブレコーダーの選び方、メーカー別、目的別のおすすめドライブレコーダーについての記事一覧を表示しています。 特定のモデルに関する情報は、以下検索バーに型番を入力してサイト内検索が可能です。 ドライブレコーダー全記事の執筆者は、ドライブレコーダーの企画やデバッグ、雑誌などでドライブレコーダー関連のコメントもさせて頂いている、LaBoon!!管理人＆編集長のOmiです。 バイヤーや小売店舗の経験もあるOmiが、過去に200台以上のドライブレコーダーレビューを行い、ユーザー目線でそれぞれの目的に合わせたおすすめのドライブレコーダーをご紹介しています。 初めてドライブレコーダーを購入される方はまずはこちらの記事に目を通しておくことをおすすめします。 ドライブレコーダーを選ぶ上で押さえておきたい７つのポイント メーカー別のドラ

はじめに APIの勉強のために、Web API: The Good Partsを読みました。平易な日本語で書いてあるので、読みやすかったです。 とはいえ、何度も本を読み返すのは大変なので、自分用まとめも兼ねて書こうと思った次第です。 1個1個まとめていくと結構な量があるので今回は「レスポンスデータの設計」についてまとめました。 本でいうと3章に書いてあります。 この記事も参考に Web API: The Good Partsの他のまとめ記事もここに載せておきます。 2.2: Web API: The Good Partsを読んだので「良いURI」についてまとめた 2.6: Web API: The Good Partsを読んだので「OAuthの仕組み」についてまとめた 4章: Web API: The Good Partsを読んだので「HTTPの仕様」についてまとめた 5章: Web AP

In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A

先日開催されたAWS Summit Tokyo 2017、わたしもいくつかセッションを聴講してきたのですが、「DevSecOps on AWS - Policy in Code」というセッション1にてgit-secretsというツールが紹介されていました。 awslabs/git-secrets: Prevents you from committing secrets and credentials into git repositories これ以外にも、いくつかのセッションで言及されていたと思います。 git-secretsのことは以前から聞いてはいたのですが、自分自身があまりコードを書く環境にいなかったので、良くないとは思いつつも今まであまり気にしていませんでした。 ただ、AWSアクセスキーの漏洩が原因と思われる話を聞く機会はなかなか減りませんし、考えてみれば自分でも、AWSクレデ

SELinuxとは SELinuxはセキュリティ管理をしてくれるとても大事なモジュールですが、慣れていないとSELinuxによる強力なアクセス制限によってインストール作業や運用業務でつまづくことがあります。 本来であればSELinuxをマスターすることが必要ですが、緊急時にはSELinuxの機能を停止する方法が手っ取り早い解決策となります。今回はその停止方法のご紹介です。 SELinux入門 日本SELinuxユーザ会 http://www.selinux.gr.jp/ SELinux動作状態の確認 SELinuxの動作状況は getenforce コマンドを調べられます。 getenforceコマンドを実行すると、現在のSELinuxの動作状況が以下のように表示されます。 enforcing SELinux機能、アクセス制御が有効 permissive SElinuxは警告を出力するが、

【問題】 anicatch.netというドメインで動いているウェブアプリでHTML+JavaScriptを生成してブラウザに返す。帰って来たJavaScriptの中において、XMLHttpRequestを用い、別ドメイン（今回は api.anicatch.netというドメイン）上で動いているAPIサーバのapiを叩きたい。 で、Access-Control-Allow-Originで許されてないよっ！的なブラウザのエラーを喰らいつづける。 JavaScript文書からapi.anicatch.netを叩いていいのはanicatch.netで生成されたものだけに制限したい。 【調査1】 Ajaxのクロスドメイン問題について HTTP access control (CORS) Access-Control-Allow-Origin試してみた。 jquery - Cross-Domain AJ

障害が起きたWebサービスは個人で運営しているサービスです。 2016年2月、障害から20日後にサービス再開しましたがアクティブユーザは以前の18%です。未だ回復の目処は立っていません。冗長化していないサーバがウイルス感染し、その後の対応も後手後手に回ってしまいました。 2016年1月末に起こるべくして起こった障害について記事にしてみました。ご迷惑をお掛けしてしまい本当に申し訳ありません。 ■ ユーザは、もう戻ってこない どんなウイルスに感染したのか SYNフラッド攻撃（SYN Flood Attack）を他のWebサイトに行うウイルスに感染して、確認していませんが他のサービスをSYNフラッド攻撃していたと思います。またウイルス感染時にサーバのsshdを書き換えられsshで接続できなくなりました。感染後にコンソールログインして書き換えられた醜い authorized_keys を見た時ゾッ

どうもーブルームプロモーションの高橋です。 以前の記事　「httpとは、WEBページを呼び出す呪文です。」では、「httpは異世界とやりとりするための呪文」であるとファンタジックにお伝えしました。（下記の画像からリンクします。未読の方はまずこちらから！） 今回は、httpに似ているhttpsについてお伝えします。 httpsは、httpにセキュリティ機能を追加したもので、Webページとの通信を暗号化したものです。 大手企業の個人情報漏洩に関するニュースも記憶に新しいですが、Webページでは特に「フォームなどで入力してもらった個人情報を不正アクセスから守ること」が重要です。 httpsは、大事な個人情報を渡すユーザーとしても、個人情報を受け取るサイト運営者としても、理解するべき大切な仕組みです。 WEB入門編ですが、おさえておきましょう。 ※Googleからのhttps系情報で知っておくべき

Red Hatは、同社製品群のDockerコンテナ対応強化策の1つとして、コンテナに対する脆弱性のスキャンを可能にする機能を提供すると発表しました。 スキャンはホストOSとなるAtomic Host上で実行。デフォルトでは、既知の脆弱性をチェックできるOpenSCAPが指定されています。パートナー製品からのスキャンも可能。 同社はこれによりコンテナにおいてもエンタープライズに対応したセキュリティ機能を提供できるようになったとしています。 コンテナに対して脆弱性をチェックするためのスキャン機能は、Dockerも「Docker Security Scanning」として5月に発表したばかりです。今後のサーバアプリケーションでは、コンテナごと脆弱性をチェックするのが一般的な方法になるのでしょうか。

http://secnight.connpass.com/event/30672/ http://togetter.com/li/974201 シャノン技術ブログ http://shanon-tech.blogspot.jp/

PHP 8.1系のバージョンアップ、およびPHP8.2系、PHP8.3系未搭載プランへの新規追加について

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 海外の xkcd というサイトにこんな4コマ漫画が掲載されています。 英語ですが、じっくり読んでみてください。 きっと「あー、なるほど（苦笑）」と思うはずです。 えっ、わからない？？ じゃあ、日本語訳を載せましょう。 もしもし、小学校の者ですが。今ちょっとコンピュータのトラブルが起きてまして。 あら大変、うちの息子が何か壊しましたか？ / まあ、そんな感じですが・・・。 お母さん、あなたは本当に息子さんに "Robert'); DROP TABLE Students; --" という名前を付けたんですか？ / ええ、そうですよ。みんな「