「SAVACAN」担当のMKです。 今回の記事では、NginxでDoS攻撃対策をする設定方法と動作確認結果を紹介します。 NginxのWEBサーバーとしての基本的な設定方法を理解している方向けの記事となっております。 初めにDoS攻撃とNginxの特徴について簡単に解説します。どうぞ。 DoS攻撃とは DoS攻撃（Denial of Service Attack）は日本語で「ドス攻撃」といいます。 攻撃対象となるWEBサーバーへ大量のデータを送ったり、アクセスを集中させることで過剰な負荷をかけ、処理遅延やサービスダウンを発生させる不正アクセス攻撃のひとつです。 データベースを利用しているシステムへDoS攻撃を行う事で、WEBサーバーだけでなくバックエンドのデータベースサーバーをダウンさせる場合もあります。 （犯罪です） 似たような攻撃にDDoS攻撃（Distributed Denial o

ご覧いただきありがとうございます。 涼しくなってきましたが、皆様いかがお過ごしでしょうか？ 広告が関係ないシステムはサードパーティクッキーへの影響はないと思っていたので寝耳に水だったのですが、 社内システムにて、サードパーティクッキー規制影響するケースが判明しました。 システムへの影響が大きいことが分かったので、現象および影響についてまとめます。 みなさまの対応状況や誤った記述の指摘など、コメントやSNSコメントなどで教えていただけますと大変参考になります。 サードパーティークッキー概説や規制の経緯はインターネット上に詳しく書かれたものがあるのでそちらを参照してください。 本格化するサードパーティ・クッキー規制 Firefoxではサードパーティクッキー規制がデフォルトでロールアウトされています。 Safariは以前よりサードパーティクッキーを規制していました。Chrome, Edgeでも規

法人向けのネットワークサービス「NURO Biz」などを手掛けるソニービズネットワークスは1月17日、AWSの導入・運用支援サービス「マネージドクラウド with AWS」に、生成AIを活用した新しいオプションを追加したと発表した。脅威検出サービスのアラートを、AWSの生成AIサービス「Amazon Bedrock」を使って文章に。メッセージの可読性を高め、セキュリティ管理者が対応しやすくするという。 マネージドクラウド with AWSには、AWSのセキュリティサービス「Amazon GuardDuty」などによる脅威検出の結果を伝えるメニューも存在する。ただし、これまでのアラートは発生日時や対象を伝えるのみで、具体的に何が起こっているか理解するにはJSONファイルを読む必要があった。 そこでAmazon Bedrockを活用。JSONの内容を基に、アラートの内容を日本語の文章で書き起こ

# どういう書籍か コンテナの要素技術である Linux Namespaces などの Linux の機能について体験し、それらが機能していないコンテナではどういった脅威が生じ、どのような攻撃手法があるのかについて紹介した本です。 副題は「Dockerを通して理解するコンテナの攻撃例と対策」ですが、演習題材として Docker を使うという意味であり、Kubernetes などの環境では通用しないという意味ではありません。本書を通して得た知識は、Docker だけでなく、Kubernetes や Nomad などのコンテナ環境のセキュリティに適用できるように書いています。 # 他の書籍との違い コンテナとそのセキュリティに関する書籍はいくつかあります。有名どころだと次のようなものがあり、これらの中でセキュアなコンテナ運用について書かれています。 Docker/Kubernetes開発・運用

現行の一部のパスワードマネジャーは、パスワードフィールドしか暗号化していないものが多いが、Proton Passはユーザー名やWebアドレスなどを含むすべてのフィールドでE2EE化している。 また、複数端末間で同期でき、データの自動バックアップ機能があるため、たとえすべての端末を紛失してもパスワードを失うことはない。 PCのデスクトップでWebブラウザの機能拡張版を使うと、Proton Passがそれまで使っていたパスワードマネジャー（Googleの「パスワードマネージャー」など）のデータを引き継ぐ。何らかのサービスで新たなアカウントを作成すると、Proton Passが独自パスワードを生成する。 Proton Passは無料だが、ログインを整理するための追加のボールト、無制限の電子メールエイリアス（無料版は10件）、無制限の2FAログインなどの追加機能を利用できる有料サブスクリプション版

TL;DR IPアドレス直打ち(e.g. https://192.168.1.1/ ) でアクセスするための証明書を作るときには、 下記にIPアドレスを設定しよう。 CN (Common Name) SAN (Subject Alternative Name) DNS SAN IP はじめに IPアドレス直打ちでアクセスする、クローズドなウェブシステム構築時、 証明書検証エラーが発生しないサーバ証明書の作り方に四苦八苦したので、メモ。 (みんなこんなの常識なのかな・・・) Internet Explorer のIPアドレスアクセス時の証明書検証手続き SAN が設定されていない場合 CN がIPアドレスと一致しているかを検証、不一致ならエラー SAN が設定されている場合 SAN DNS がIPアドレスと一致しているかを検証、不一致ならエラー IPではない！！ Google Chrome

ELB や CloudFront を挟んだら ngx_http_realip_module / mod_remoteip も忘れずに設定する 先日、キャッシュしない CloudFront とそのメリット・デメリットについて書きましたが、ELB や CloudFront を挟んだら nginx や Apache のクライアント IP に関する設定も忘れずにやっておいた方がいいです。 ELB や CloudFront に限らずですが、プロキシやロードバランサを挟むと Web サーバのログにはそれらの IP アドレスが記録されます。正確にはネットワーク上の直前の IP アドレスがクライアント IP として送られてきます。 Client 124.xx.xx.xx | CloudFront 54.xx.xx.xx (Client IP = 124.xx.xx.xx) | ELB 172.xx.xx.

まとめ X-Forwarded-For ヘッダの右から 2 つ目が接続元 IP アドレスです。 ただし X-Forwarded-For の不正な書き換えを防止するため、 CloudFront=>ELB=>EC2 それぞれの通信を保護する必要があります。 CloudFront => ELB を保護する CloudFrontのELBオリジンへ直接アクセスする通信を制限する方法 ｜ Developers.IO に詳しいです。 要約すると、 CloudFront のカスタムヘッダに秘密の文字列を設定し、 ELB や EC2 側でそれを検証する ELB のセキュリティグループで、 CloudFront の IP アドレスだけを許可するよう設定する (要定期更新) の 2 種類になります。 ELB => EC2(nginx) を保護する EC2 のセキュリティグループで、 ELB (もしくは ELB

背景 ECSでNginxのコンテナをプロキシとして立てたところ、APIサーバのアクセスログのクライアントIPがNginxのコンテナIPになっていたのでその修正をしたのがきっかけです。 環境 Nginx 1.10.2 Docker1.12.1 構成 Client -> ELB -> Nginx -> API という構成とします。 ネットでよく見る情報 set_real_ip_from 172.31.0.0/16; real_ip_header X-Forwarded-For; を追加する、とか proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; を追加する、とかどれがどれだか分かりにくいので１つ１つ説明していきます。 用語説明 remote_

はじめに 前提条件 KMS クロスアカウント復号の仕組み 検証の構成 セットアップ ①KMS key 作成 ② 適当な文字列の暗号化 ③(オプション)CloudShell 用 IAM ユーザ作成 動作確認 付録 KMS Key 用 Cfn テンプレート はじめに 最近、巷でマルチアカウント構成が流行ってるということで、マルチアカウント環境を前提とした KMS のクロスアカウントアクセスによる復号を試します。 前提条件 マルチアカウント環境を前提とします。本記事では便宜上、各アカウントを以下呼称とします。 MasterAccount MemberAccount KMS クロスアカウント復号の仕組み KMS に対する操作権限は以下 2 つのポリシーで制御します。 IAM ポリシー KMS key ポリシー 両方でアクセス許可されている時に、KMS のクロスアカウントアクセスが可能となります。

Let's Encrypt、便利ですよね。無料でvalidな証明書が手に入るという事がこんなに便利だとは。 で、せっかく無料で発行できるんだから外部からのアクセスを遮断しているイントラなサーバーもこれを使いたい。という訳でイントラサイトでLet's Encryptの証明書を発行する方法を考えてみた。 Let's Encryptをイントラで Let's Encryptは入力したドメインに対してHTTPで特定のファイル(.well-known/)にアクセスする事で所有権の確認を行っています。 すなわち、イントラサイトなどの外部からのHTTPアクセスを遮断しているサーバでは証明書を取得する事が出来ません。 それとは別にDNS認証というものがありますが、これはこれで証明書発行時に提示されるトークンをDNSに登録する必要があり、Route53のような自動でレコードの更新が出来るDNSサーバーを利用し

久しぶりのブログですが、GWが明けたばかりの昨日、 「ウケトル」という荷物追跡アプリが話題になっていた ので思うところを書きました。 中身はタイトルの通りなのですが、なぜこんなことを書くかというと、Twitterを見てるとこのような意見が散見されるからです。 「ウケトル」が話題のようだけど、みんなMoneyForwardはどう考えているのかな。後者はECサイトどころか、銀行や証券会社のパスワードを業者のサーバに保管しているんだけど。— yasu (HIRATA Yasuyuki)@アスカネット (@hirayasu) May 7, 2019 今回のヤマトみたいな感じで、銀行等がユーザーに対してMoneyForwardを使う危険性の注意喚起してる例あるのかな— なくうかん (@nacookan) May 7, 2019 ウケトルが話題になってるけど、これって家計簿アプリ全般にも言えるよね。

株式会社クリアコード > ククログ > Webアプリや拡張機能（アドオン）で、Web Crypto APIを使ってローカルに保存されるデータを暗号化する ※注記：本文末尾の「公開鍵暗号ではなく共通鍵暗号を使う理由」の説明について、2019年1月30日午前0時から21時までの間の初出時に内容の誤りがありました。また、2019年1月30日午前0時から2月5日20時頃までの間において、本文中での AES-CTR による暗号化処理が、 nonce を適切に指定していないために脆弱な状態となっていました。お詫びして訂正致します。初出時の内容のみをご覧になっていた方は、お手数ですが訂正後の説明を改めてご参照下さい。 クリアコードで主にMozilla製品のサポート業務に従事している、結城です。 FirefoxやThunderbirdがSSL/TLSで通信する際は、通信内容は自動的に暗号化されます。その一

PHPでDNSリバインディング攻撃への対策を行う場合のチェック式はこれで問題ないでしょうか? お世話になります。 以前の質問の回答の1つに、DNSリバインディング攻撃への対策を行う必要があるというものがありました。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q12126860057 PHPでの実装としては、Hostヘッダのチェックを行えば良いという解釈に基づき、 次のようなコードを考えました。 if(!isset($_SERVER['HTTP_HOST']) || $_SERVER['HTTP_HOST']===$_SERVER['SERVER_NAME']) Hostヘッダがある場合、$_SERVER['SERVER_NAME']と一致するかチェックしているコードです。 しかし、私の環境ではDNSリバインディング攻撃を

Red Red Hat Enterprise Linuxの修正出荷に関連するポリシーや関連用語を紹介します

FirefoxやGoogle ChromeなどのWebブラウザは、既にTLS 1.3のドラフト版に対応しており、Mozillaは10月にリリースされる「Firefox 63」で、今回公開された正式版に対応予定。 米Mozilla Foundationは8月13日、インターネット通信暗号化規格の最新バージョンとなる「TLS 1.3」が正式リリースされたことを受け、Webブラウザ「Firefox」での対応状況を説明した。 TLS（Transport Layer Security）は、インターネットを介したクライアントとサーバ間の通信の傍受や改ざんを防ぐためのHTTPS接続に使われているプロトコルで、標準化団体のIETF（Internet Engineering Task Force）が8月10日、バージョン1.3の正式版リリースを発表していた。 Mozillaによると、TLS 1.3では1.2

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 概要 ところでこのツイートを見てほしい。このソースコードをどう思う？ 世界最悪のログイン処理コード。 実際のサービスで可動していたものだとか……https://t.co/C2bG93ZCkj pic.twitter.com/EfVNAEslrn — はっしー@海外プログラマ🇳🇿元社畜 (@hassy_nz) 2018年8月10日 すごく……セキュリティーホールです…… 一応は動いていますが、あまりに問題がありすぎるため、Twitterでも話題になっていました。 問題点は片手に入り切らないぐらいある気がしますが、一つづつ解説していきま

(Last Updated On: 2018年8月18日)今すぐできる、Webサイトへの2要素認証導入では簡単に2要素認証が導入できること、2要素認証には 時間ベースのOTP（TOTP：Time-based One Time Password RFC 6238) カウンターベースのOTP（HOTP：HMAC-based One-Time Password RFC 4226） があることを紹介しました。Google認証は両方をサポートしています。※ ※ 今すぐできる、Webサイトへの2要素認証導入で紹介したライブラリはTOTPのみサポートしています。 TOTP、HOTPのどちらを導入してもユーザー名とパスワードのみによる認証に比べ、より高いアカウント（認証）の安全性を維持することができます。しかし、TOTPはHOTPに比べ以下の理由で脆弱です。 TOTPは特定の時間内なら何度でも利用できる（

会社でGH:EやSlackの二要素認証(2FA)有効化をしたら、 どういう仕組みで認証しているのか気になったので調べて作ってみた。 というのは建前で、GW前にこんなことをつぶやいたらhsbtさんに ふぁぼられてしまったのでやらざるを得ない状態になったのであった。 ふぁぼられドリブン開発 GWに暇があったら2FAのワンタイムパスワードを発行する方を実装したい— ぶてい (@buty4649) 2015, 4月 27 Google Authenticator 何はともあれ、手探りでしらべるのはさすがに骨が折れる…。 しかし、幸いなことにGoogle　Authenticatorはギッハブにコードが上がっているのでこれを参考にした。 github.com このREADMEに書いてある通り RFC4226 と RFC6238 がキモみたいだ RFC4226 RFC6238 最近はRubyとかLLを主