こちらは改訂前の旧版のページです。改題第2版の商品ページをご覧ください Webセキュリティ解説の決定版 "Bulletproof SSL and TLS" の全訳（原書2017年版へのアップグレード済み） Ivan Ristić 著、齋藤孝道 監訳 520ページ B5判 ISBN：978-4-908686-00-9 電子書籍の形式：PDF 2020年7月4日 第1版第5刷 発行（原書2017年版アップグレード対応済み） 本サイトにてユーザ登録のうえ購入いただくと、原著改訂第2版に収録されるTLS 1.3の解説章を付録として含んだ特別版PDFがお読みいただけます 現代生活を支えるネットワークにとって、通信の暗号化は不可欠の機能です。しかし、実際のインターネットで暗号化通信を利用できるようにするには、暗号化アルゴリズムの知識だけでなく、セキュリティプロトコルとその実装技術、さらに、基盤となる信

http://blog.monoweb.info/article/2012031523.html しばらく前に↑のblogで記事になった、Content Security Policy(以下CSP)についてのメモ。 ちなみにCSP自体の仕様については、 W3Cのdraft (https://dvcs.w3.org/hg/content-security-policy/raw-file/tip/csp-specification.dev.html) MDNのIntroduction（https://developer.mozilla.org/ja/Introducing_Content_Security_Policy) などを参照。下のは仕様というよりmozillaにおける実装かな。 CSPでできること ざっくりとだけCSPで可能なことを示すと デフォルト機能 href="javascrip

2017年1月1日に読売新聞はガス大手の大陽日酸へ不正アクセスが行われたと報じました*1。ここでは報道情報を中心に関連情報をまとめます。 公式発表 2017年1月5日 [PDF] 弊社へのサイバー攻撃に関するお知らせ インシデントタイムライン 日時 アクター 出来事 2015年10月下旬〜11月上旬 大陽日酸 機器のメンテナンスを実施。 メンテナンス期間中 不明 大陽日酸が外部から不正アクセスを受け侵入されたとみられる 遅くとも2015年11月上旬以降 不明 不正アクセスとみられる不審な挙動が発生 2016年3月頃 不明 大陽日酸のサーバーの1つで外部へ不正な通信が発生 2016年3月11日 大陽日酸 内部情報を格納したサーバーへ不審な接続があることを確認 2016年3月11日〜4月28日 大陽日酸 初期対応、及び被害状況の調査を実施 2016年4月15日 不明 大陽日酸への不正アクセスが

let’s encrypt で複数ホスト名対応な証明書を作る タイトル通りですが、割と簡単に複数のホスト名に対応した証明書が取得できるので、やってみました。 今回は ansible playbook のおまけ付きです。 let’s encrypt の困った問題 let’s encrypt ではワイルドカード証明書が無いので、複数のホスト名を1台のサーバでホスティングできないため、ちょっと困っていました。 ググって調べてみたら、let’s encrypt は SAN 対応の証明書だったら発行できる、と言うことだったので実際にやってみました。 その前に、SAN って何よ？ ワイルドカード証明書だと良く聞くと思うのですが、 SAN って何よ？と思う人も多いと思います。 SAN とは Subject Alternative Name の略称で、サブジェクトの別名です。 ん？サブジェクトってなに？　

概要 社内プロキシに様々なサイトへのアクセスをブロックされたり、社外サーバにsshできなかったりする人向けに社外プロキシを立ててあらゆるサイトにアクセスする方法のまとめです。(後述しますが半分くらいネタポストです。) 他にも以下のような効果がありますので、プロキシフリーな会社にお勤めもし良かったら参考にして頂ければと思います。 なぜか2015年になっても存在するカフェとかホテルとかでの保護されていなかったりする無線wifiを使っても盗聴されない。 日本からアクセスできないサイトにアクセスできる。(海外のデータセンタ上のVMを使った場合) なお、非認証プロキシを例にしてます。認証プロキシでもあまり変わらないとは思いますが、環境が無いため未確認です。また、プロキシの挙動や設定方法はプロキシサーバの種類や設定によって多岐に渡るため、全てのプロキシで同じ方法が使えるとは限らないとは思います。 最後

2. ⾃自⼰己紹介 Shun  Suzaki(洲崎  俊) ユーザ企業のセキュリティチームに所属する セキュリティエンジニア Twitter: とある診断員@tigerszk •  ISOG-‐‑‒J  WG1 •  Burp  Suite  Japan  User  Group •  OWASP  JAPAN  Promotion  Team •  IT勉強会「#ssmjp」運営メンバー I‘M A CERTAIN PENTESTER! 公開スライドなど http://www.slideshare.net/zaki4649/ 3. 脆弱性診断とは ＦＷ サーバ機器 診断環境 診断対象環境 Ｗｅｂアプリ NW機器 l  システムやアプリケーションの脆弱性を 洗い出し、安全性について調査するサービス scanning! × 脆弱性診断⼠士 × Internet ※図は疑似攻撃試⾏行行するブ

@ITセキュリティセミナーでの発表資料です。動画等の一部スライドを除いています。このため発表時よりモンスト成分薄めです。ご了承ください。講演時の様子は以下です。 http://xflag.com/blog/sp_cheat.htmlRead less

はじめに 注意事項 この記事は何らかの理由でSELinuxを利用しなければならない時に発生する、意図せずプログラムが動かなくなる問題を解決するための手段を書いたものである。 作業対象のOSは作業中いつでも停止可能であるものとする。SELinuxの設定作業中に停止不可能とか無茶なので。 また、すべての操作はrootユーザで行っている。SELinuxは「管理者による強制的なアクセス制御」なのでrootユーザが操作しなければならない。 内容は主にCentOS 7で確認し、CentOS 6やFedora 22も一部確認に使用している。 SELinuxの管理で使用する各種のコマンドは初期からインストールされているものは少なく、またコマンド名がそれを含むrpmパッケージ名と一致しないものが多い。 このような場合はyum install *bin/<コマンド名>でインストールすることができる。Fedor

経緯と概要 当社が運営する緊急対応サービス「サイバー119」は、昨年の後半より複数の大手企業様より遠隔操作ウイルスに関連する対応要請を受け、調査を行ってまいりました。 これらの事案で発見された遠隔操作ウイルスを調査したところ、攻撃者がインターネット側から企業内ネットワークで動作する遠隔操作ウイルスを操る際に、DNSプロトコルを使用するDNSトンネリングとも言われる手口を利用していることが確認されました。 これまでの代表的な遠隔操作ウイルスにおいては、Web閲覧で用いられるHTTP（S）プロトコルを使用し、Webサーバを模した指令サーバを使用しています。しかしながら今回はDNSサーバを模した指令サーバを構築していることが確認されました。 図1：Web閲覧におけるDNSの動き DNSプロトコルはインターネットにおいて、ドメイン名（FQDN）からIPアドレスなどの情報を得るためにDNSサーバとの

はじめに AWSチームのすずきです。 無料で使えるSSL証明書発行サービスとしてリリースされたAWSのACM、 テスト環境での動作や、公式ページのドキュメント、FAQなどの確認を通じて確認できた仕様などについて、 紹介させて頂きます。 ACMで出来ること SSL証明書の発行 証明書の仕様 鍵の暗号化方式はRSA、鍵長2048ビット、SHA-256 証明書の認証局（CA）はAmazonになります ルート証明はStarfield Services（Go Daddy系列、業界シェア上位）です。 料金 証明書の発行費用は無料です。 証明書を利用するELB、CloudFrontの実費のみで利用です。 対応環境 99％のOS、ブラウザに対応するとされています。 Windows XP SP3、Java 6 以降の対応 OSベンダのサポート対象となる現行OS、ブラウザ環境であればまず問題なく利用出来る事が

Spring BootによるAPIバックエンド構築実践ガイド 第2版 何千人もの開発者が、InfoQのミニブック「Practical Guide to Building an API Back End with Spring Boot」から、Spring Bootを使ったREST API構築の基礎を学んだ。この本では、出版時に新しくリリースされたバージョンである Spring Boot 2 を使用している。しかし、Spring Boot3が最近リリースされ、重要な変...

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

AWSで優れた設計をしているか？の質問と回答（セキュリティ編）「AWS Well-Architected Framework」 「AWS Well-Architected Framework」 先日、AWSより「AWS Well-Architected Framework」というドキュメントが公開されました。この文書は、みなさんがより良いクラウドベース設計を評価改善し、設計によるビジネスへの影響についてより良い理解をするためのものです。AWSで良い設計をしているかを定義する柱として、4つの分野におけるベストプラクティスとガイドを定義し、一般的な設計指針について取り組みます。 4つの柱 「AWS Well-Architected Framework」で示されている4つの柱は以下のとおりです。 セキュリティ（Security） リスクアセスメントとマイグレーション戦略を通じたビジネス価値の提供

既に、本社の Active Directory チームにより以下の投稿がBLOGに掲載されていますのでご存知の方も多いかと思います。 Microsoft Passport and Azure AD: Eliminating passwords one device at a time! https://blogs.technet.com/b/ad/archive/2015/07/21/microsoft-passport-and-azure-ad-eliminating-passwords-one-device-at-a-time.aspx Windows 10 には Microsoft Passport という機能が実装されました。この機能により、サーバーに保存されたパスワードを使わずに、ローカルコンピューターに保存された（ローカルでしか使えない）「PIN」を使用して認証することができる

LINEにて、「line://msg/text/」で始まるURLが拡散されています。このURLは、「指定された文章を送信するためのURL」で、「LINEで送る」ボタンの中身として利用されているURLなのですが、このURLから送信に至るまでの画面遷移で、送信内容の確認画面が無い仕様のため、自分が何を送信するのかを確認できないまま送信してしまい、意図と反した投稿を行ってしまう危険性があります。 何を送信するのかが表示されないまま先に進む画面の途中で止める判断ができれば問題にはならないのですが、LINEのユーザー層と、実際送信してしまった人が多数見つかること、そして、「次こそ送信内容の確認画面が出るだろう」と考えて先に進む人（←以前の仕様では表示された）、などなどを考慮すると、今後悪用された場合に大きな危険を招きそうな仕様であると感じました。 今回ユーザーが意図せず送信してしまうのは「ずっと前か

1. SSL/TLSの基礎と最新動向 セキュリティキャンプ 2015 2015年8月12日 IIJ 大津 繁樹 更新版資料の置場 http://goo.gl/cX1M17 Github Repo: https://goo.gl/vRLzrj 2. 自己紹介 • 大津 繁樹 • 株式会社 インターネットイニシアティブ • プロダクト本部 アプリケーション開発部サービス開発2課 • NodeJS Technical Committee メンバー • (主にTLS/CRYPTO/OpenSSLバインディングを担当） • IETF httpbis WG で HTTP/2相互接続試験等仕様策定に参画。 • ブログ： http://d.hatena.ne.jp/jovi0608/ 3. はじめに • TLS(Transport Layer Security)の仕組みについて学んでいただき ます。 •