タイトルが長い。 fork されたリポジトリからの pull request を受け取ったとき、GitHub Actions が fork 元のリポジトリの secrets にアクセスするためには例えば pull_request_target という trigger を使うやり方がある。pull_request_target という trigger は便利なんだけど、これを無配慮に使うとセキュリティ的に危ういということが GitHub のドキュメントにはつらつら書かれており、まあつまりどういうことなんや、どう使えばええということなんや、ということで色々調べたのでメモしておく。 まず先に pull_request という triggergithub actions の trigger にはいろいろなものを設定できるが、基本的には pull_request という trigger を使えば p

本書ではGitHub Organizationをセキュアに運用する方法について解説します。 GitHubは大変便利なサービスで、個人利用のみならず組織で活用されるケースも多いです。しかしGitHubの初期設定は利便性重視であり、セキュリティ対策は利用者による明示的な設定が必要です。 本書では意外と日本語でまとまった情報がない、Organizationレベルのベストプラクティスを体系化しています。GitHub Organization管理者はもちろんのこと、ソフトウェア開発者にも有益な情報を提供します。

2020年11月16日 大阪市中央区内平野町三丁目1番3号 株式会社カプコン 代表取締役社長 辻本 春弘 (コード番号：9697 東証第1部) 株式会社カプコンは、第三者からのオーダーメイド型ランサムウェアによる不正アクセス攻撃を受け、当社グループが保有する個人情報流出の発生を確認いたしました。 また、この攻撃により、当社が保有している個人情報・企業情報が流出した可能性があることを確認しましたので、「2．流出の可能性がある情報」にて併せてお知らせいたします。 なお、現時点ではコンテンツ開発や事業遂行において支障はございません。 お客様はじめ多くのご関係先にご迷惑とご心配をおかけしておりますことを、深くお詫び申しあげます。 現在も調査を続けており、今後新たな情報が判明する可能性がございますが、現時点で概ね確認できた事実関係（2020年11月16日現在判明分）の概要は次の通りです。 1. 流出

もうご存知だと思いますが、とうとうapache2.2系がEOL（End Of Life）を迎え、2017年12月が最後のセキュリティアップデートとなります。 [ANNOUNCE] Apache HTTP Server 2.4.25 Released 世の中のオンプレ案件や個人サイトではapache2.2を使っているケースが多いと思うので、2.4との違いやアップグレード時のエラー対応について、少しだけ手順をまとめてみようと思います。 概要 2.2から2.4へ 2.4をインストール ディレクトリ構成等の違い 2.4のデフォルトServer MPMについて 2.2のServer MPMの変更方法 2.4のServer MPMの変更方法 エラー集 Ignoring deprecated use of DefaultType Either all Options must start with +

2. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてWebアプリケーションセキュリティ事業を立ち上げ • 現在 – HASHコンサルティング株式会社 代表 http://www.hash-c.co.jp/ – 独立行政法人情報処理推進機構 非常勤研究員 http://www.

みなさんは何のためにプログラミングをしていますか？ 仕事のため、何かをつくるため。 それも良いけれど、「強くなる」ためにプログラミングしてみませんか。 様々なジャンルのプログラミングコンテストとまだ見ぬライバルたちがあなたを待っています。 今回はアルゴリズム/AI/機械学習/セキュリティ等の様々なジャンルのコンテストとその始め方について紹介したいと思います。 ※これはPyConJPでの発表を文字におこしたものです。が、Pythonの話は殆どないです。 プログラミングコンテストとは？ すべてのコンテストに共通する、「コンテストに参加する利点」 1. 自分と同じ問題を解いた、他の人の解法を知ることができる 2. 同じコンテストに出ていた、たくさんのライバルと知り合える アルゴリズムのコンテスト 問題1 問題2 TopCoder Single Round Match CodeForces AtC

by Peter Dahlgren ユーザーのネットワークに侵入したマルウェアは、侵入した後にさらなる攻撃を仕掛けるためにユーザーのルーターを利用することが多々あります。しかし、Symantecが発見したLinux.Wifatchというマルウェアは、Linuxを搭載する1万台ものルーターに感染しておきながら、悪用ではなくむしろ「デバイスのセキュリティを高める動き」をしていたことがわかりました。 Is there an Internet-of-Things vigilante out there? | Communauté Symantec Connect http://www.symantec.com/connect/blogs/there-internet-things-vigilante-out-there Someone Has Hacked 10,000 Home Routers

www.morihi-soc.netさんの「ハニーポット観察記」を見ていたら、EPGrecへのアクセスの話が出てきていた(http://www.morihi-soc.net/?p=66)。 [14/Oct/2013:00:48:49 +0900] "GET /epgrec/LICENSE.txt HTTP/1.1" 200 7637 "-" [14/Oct/2013:00:48:57 +0900] "GET /epgrec/LICENSE.txt HTTP/1.1" 200 7637 "-"ちょうどうちのハニーポットもどきApacheにもこの/egprec/アクセスが来ていたので、せっかくだからこのアクセスをしている人たちは何をしようとしているのか、観察記をまとめてみる。 EPGrecとは何か EPGrecの公式サイトは http://www.mda.or.jp/epgrec/ で、これは

発信元の特定を難しくする特殊なソフトを使って、東京の出版社のサーバーに不正にアクセスしたなどとして、川崎市の１７歳の少年が警視庁に逮捕されました。 少年は、企業などにサイバー攻撃を繰り返し、その状況をネット上に書き込んでアピールするハッカーを名乗っていて、警視庁は、ほかにもサイバー攻撃を繰り返していたとみて調べています。 警視庁によりますと、少年はサーバー会社を装って出版社の社員にメールを送りつけて偽のページに誘導し、盗み取った社員のＩＤなどを使って出版社のサーバーに侵入したということです。 調べに対し、少年は容疑を認めているということです。 警視庁などによりますと、少年はネット上で「０ｃｈｉａｋｉ」と名乗り、企業などにサイバー攻撃を繰り返し、その状況をツイッターなどでアピールするハッカーとして知られています。 出版社の事件でもツイッターに「ターゲットは決まった」とか「ハードディスクを使え

独立行政法人・情報処理推進機構（IPA）は、情報セキュリティ強化をPRするため、恋愛漫画風のポスター「パスワード―もっと強くキミを守りたい―」を4月3日から9日までJR原宿駅（東京）に掲示する。 Webサービスやアプリのログインパスワードに対する意識が低い若年層に向けた取り組み。「原宿ファッションジョイボード文化展」の一環として、JR原宿駅の線路沿い大型看板を使い、恋愛漫画風のポスターシリーズを展開する。 漫画は1コマ完結の全15面でそれぞれにイラストとメッセージが。「お前にそんな単純なパスワードは似合わないよ」「パスワードのことちゃんと見直すね」など高校生の男女による“胸キュン”シーンが描かれている。 3日から特設サイトにも全ポスターを掲載する。10日以降は掲示場所を同駅の外側に移し、10月まで引き続き展開を続ける。 関連記事 「レイバン激安」Twitter乗っ取りでスパム送信、勢い衰え

不特定のユーザーが入力したMarkdownをブラウザ上でJavaScriptを使ってHTMLに変換するという場面においては、JavaScriptで変換してHTMLを生成するという処理の都合上どうしてもDOM-based XSSの発生を考えないわけにはいかない。かといって、MarkdownをパースしHTMLを生成するという処理すべてをXSSが存在しないように注意しながら自分で書くのも大変だし、markedやmarkdown-jsなどの既存の変換用のJSを持ってきてもそれらがXSSしないかを確認するのは結構大変だったりする。 そういった場合には、Markdownから生成されたHTMLをRickDOMを通すことで、万が一HTML内にJavaScriptが含まれていたとしてもそれらを除外し、許可された要素、許可された属性だけで構築された安全なHTMLに再構築することができる。さらに、そうやって生成

よんてんごP @yontengoP 基本的にオッサンは 個人情報を集めれば即座に自宅に総務省が押し掛けてくると思ってるし 外をパトカーが通れば俺を逮捕しに来たのだと思うし 夜中に自転車に乗ってれば職質されて持ってる1200錠の薬をネタに留置所送りにされるもんだと思って生活しているから… シベリアか何かかここは 2014-12-30 02:06:36 よんてんごP @yontengoP 何だろねえ… いざフォロワーさんの住所と名前を教えてもらう、ってなると 変なドキドキ感があるねえ何だろうねえコレはねえ… まるで昭和の学生のようなねえ 文通のやりとりを始めるときのような、そんな高揚感があるなあ 2014-12-30 02:17:04

脆弱性を見つけてセキュリティ対策に貢献しているのが、「バグハンター」と呼ばれる存在だ。Googleなどベンダーの報奨金で生計を立てているという「キヌガワ マサト」さんが、プロのバグハンターとしての“愉しみ”を紹介してくれた。 ソフトウェアのバグや脆弱性は、軽微な不具合からセキュリティ上の深刻な問題を引き起こすものまで、様々なものがある。開発者が幾ら注意しても脆弱性をなくすことは非常に難しいが、外部の立場から脆弱性を見つけてセキュリティ対策に貢献する「バグハンター」という存在をご存じだろうか。 GoogleやMicrosoft、サイボウズなど一部のベンダーは、脆弱性を報告したバグハンターに報奨金などを支払う制度を運営。その報奨金で生計を立てるプロの一人が「キヌガワ マサト」さんだ。12月18、19日に行われたセキュリティカンファレンス「CODE BLUE」では、キヌガワさんがプロのバグハンタ

2014年11月19日、20都道府県警の合同捜査本部が国内で違法にプロキシサーバーを運営する全国８業者へ一斉捜索をかけました。ここではその関連情報をまとめます。 タイムライン 大光・SUNテクノ関連 日時 出来事 2013年4月〜8月 AmebaへSUNテクノのサーバーから不正ログインが行われた可能性。 2014年1月 愛知県警が偽サイトのIPアドレスからSUNテクノを割り出し。*1 2014年2月頃 SUNテクノのサーバーに大手銀行(MUFJ?)のフィッシングサイトが開設。*2 2014年3月頃 SUNテクノのサーバーに大手銀行(MUFJ?)のフィッシングサイトが設置され当月だけで約1万3千件のアクセス。*3 2014年8月 大光とSUNテクノが捜索を受ける。 その後 大光と他1社がISPから不正行為に関わったとして契約を解除。 その後 大光、SUNテクノが他人のIDを使ってインターネッ

おはようございます、せーのです。 先日のイベントでは久しぶりに新たなガジェット「Apple Watch」が発表され、最近では近々新型のiPadが出るとか、攻めの姿勢で突っ走るAppleですが人生山あり谷あり、いいことばかりではありません。 先日よりmacが対象となっている新しいマルウェア、その名も「iWorm」が猛威を振るっております。 私の部屋もmacだらけですのできちんとチェックすると共に、エンジニアとしてそもそもiWormって何なのよ、というところを押さえておきたいと思います。 経緯 最初にこのマルウェアを発見したのはロシアのセキュリティ企業Dr. Webでした。Dr. Webはサイトにて声明を発表しましたがこの時点で既に17,000台ものmacが感染された後でした。マルウェアの正式名称は「Mac.BackDoor.iWorm」、C++とLUAを使って書かれており、感染源は不明（後述

図中の*1は、JPCERT/CCが公開されている検証コードを用いて脆弱性への影響を確認したことを、*2は発見者がパッチ適用により影響を軽減できると報告していることを示している JPCERTコーディネーションセンター（JPCERT/CC）は2014年9月30日、LinuxなどUNIXベースのOSで広く使われているシェル「GNU Bash」で2014年9月24日に見つかった非常に危険な脆弱性、いわゆる「ShellShock」に関して、現在公式に提供されているパッチでは防ぎ切れない攻撃があるとし、追加の注意喚起を行った。 ShellShock関連の脆弱性は9月30日現在、大きく5種類報告されている。これらの脆弱性に対して、GNUプロジェクトが配布しているGNU bash 4.3のソースファイルにパッチを累積的に適用し、コンパイルして検証したところ（OSはCentOS 6.4）、最新バージョンであ

環境変数に仕込まれたコードを実行してしまうBASHの脆弱性が CGIスクリプトに影響を与えるか試してみたら結果は悲惨な感じに Tweet 2014年9月25日 嶋田大貴 この記事は2014年のものです 朝から Bash specially-crafted environment variables code injection attack なるもので騒ぎになっていたので、さっそく手元の Apacheで試してみました。 /hoge.cgiというURIで実行されるように、一行のメッセージを出力するだけの CGIスクリプトを設置します。いっけん、なんの入力もクライアント側から受け付けていないため危険のありようもなく見えます。 #!/bin/sh echo "Content-type: text/plain" echo echo "Hi! I'm an ordinary CGI script w

巷では海外セレブのヌード画像が再び流出している件が話題となっていますが、情報漏洩しているのは何もセレブだけとは限りません。 あるサイトに、銀行口座のログイン情報や各種個人情報を含む、大量のテキストデータがさらされています。 このサイトは主にプログラミングコードを公開して共有する目的で利用される「pastie」。 漏洩している情報の中には以下のように日本のオンラインバンクのログイン情報など機密情報が見つかりました。 他にも、ソーシャルネットワークのIDやパスワード、オークションのやりとり、メールのコピー（下書き？）なども見つかりました。 これらはほんの一例です。他にも大量の個人情報も漏洩しておりサイトを見ればみるほど空恐ろしくなります。 なぜこのようなことになっているのか？ 原因は、iPhoneの脱獄アプリ「action menu」にあると見られています。「action menu」はテキスト