Apple devices are known for their high levels of security. If you’re worried about tracking, hacking, or malware, buying an Apple product is supposed to keep you safe from these threats. But what is it that makes Apple products different? Are they actually better designed? Or is just a side effect of better marketing? Here are five things about Apple devices that make them more secure. 1. A Closed

概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す

昨今のセキュリティにおけるホットワードといえば、やはり「ゼロトラスト」だろう。ITmedia Security Week 2021春の「ゼロトラストセキュリティ」ゾーンでは、キーワードであるゼロトラストを複数の視点から見つめ直すセッションを配信した。 今回はセキュリティの識者によるゼロトラストの勘所、そして事例を含めた実践例が紹介された。セミナーレポートを通じ、組織が新たな仕組みを取り入れるために、最初の一歩をどう踏み込むべきか、参考にしてほしい。 システムの主導権を取り戻し、「心配すべき脅威」に柔軟性を持って対処せよ！ そもそも、ゼロトラストという言葉に踊らされてしまってはいないだろうか――自分の立ち位置を再認識すべく行われた基調講演は、ゼロトラストがそもそもアリなのかナシなのかというテーマで行われた。＠ITでも連載を手掛けていた川口設計の川口洋氏は、実践的な堅牢化技術を8時間の競技とい

春になると変質者や不審者が増えるというが、それはネット界でも同様らしい。こういうのも、先日いつものようにメールボックスをチェックしていたら天下のGoogle先生から「重大なセキュリティ通知」という見るからにヤバそうなメールが届いていたのだ。 恐る恐る中身を確認してみると、「誰かがGoogle以外のアプリからあなたのアカウントにログインしようとした」とサラリと書いてある。幸い、Google先生がそのログインをブロックしてくれたらしいが…… ・パスワード流出 よく読んでみると「あなたのパスワードを使って」とあり、どうやら私のパスワードは筒抜けになっているとのことだからさぁ大変。あまりの怖さに軽くパニくるも、ここで大事なのは冷静に対応すること。1つ1つ復旧していくことにした。 まずは何がどうヤバいことになっているのかを調査。Googleのサポートによれば、どうやらGoogleアカウントの管理画面

すべてのChromeユーザーは、ブラウザの最新版（PCはバージョン86.0.4240.183、Androidはバージョン86.0.4240.185）をなるべく早くインストールしたほうがいいでしょう。 このパッチが排除するいくつかのセキュリティ上のバグには、ハッカーが積極的に悪用しているゼロデイ脆弱性が2つ含まれています。 ゼロデイ脆弱性とは？ゼロデイ脆弱性とは、ソフトウエアやコンピューターシステム上の脆弱性で、修正パッチが配布されるなどの対応策が取られていないもののことです。 ゼロデイ脅威とは、正式版がリリースされる前のソフトウェアに見つかったセキュリティ上のバグで、正式リリース前にハッカーが既に悪用しているもののことです。 最初のゼロデイバグは、Chromeの最新のセキュリティパッチノートにCVE-2020-16009として記録されています。 この脆弱性は、デスクトップ上のChromeの

NTTドコモが提供する電子決済サービス「ドコモ口座」を利用して、銀行から不正に現金を引き出す被害が相次いでいる。七十七銀行（宮城県仙台市）は9月7日、同行の顧客に被害があったとしてドコモ口座への新規登録を当面停止すると発表。中国銀行（岡山県岡山市）、大垣共立銀行（岐阜県大垣市）、東邦銀行（福島県福島市）も8日、同様の理由で新規登録の停止を発表した。 地銀ばかりで被害　なぜ？ 今回被害が発生しているのはいずれも地方銀行。NTTドコモはITmedia NEWSの取材に対し「被害のあった銀行はいずれも『Web口振受付サービス』を使ってドコモ口座と連携していた」と話す。 Web口振受付サービスは、地銀ネットワークサービス（東京都中央区）が提供する、収納企業（決済サービス提供社）と地方銀行の連携サービス。ユーザーは収納企業のWebサイトを通じて預金口座振替の新規登録などの手続きを行える。 ユーザーが

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 中国政府は、国内の通信を検閲するシステムである「グレートファイアウォール」（GFW）をアップデートし、通信のインターセプト（傍受、妨害）を防止する最新のセキュリティプロトコルを使ったHTTPS接続をブロックし始めた。

ESETは7月20日(米国時間)、運営するセキュリティ情報のポータルサイト「WeLiveSecurity」「7 VPN services leaked data of over 20 million users, says report｜WeLiveSecurity」において、7つのVPNサービスから合計1.2TBのユーザーデータが漏洩しているという研究機関による調査結果を伝えた。これらのデータには、潜在的に2000万人以上の個人識別情報が含まれているという。 7 VPN services leaked data of over 20 million users, says report ｜ WeLiveSecurity このレポートはvpnMentorの研究チームによる調査結果をまとめたもので、もとになった調査結果の全文は以下のWebページで読むことができる。 Report: No-Lo

背景 Vue.js + Firebase だけWebサービス作れるやーん！っていう言説が非常に多い気がする昨今（私も同意です） ちょっと前までは、「APIキーはサーバサイドにおいておくのがセキュリティの鉄則！」だった気がします。 で、Vue.js + Firebaseでサーバレスでアプリをつくるとなると、APIキーはクライアントに置かれることになります。 そこらへんって本当に大丈夫なの、って疑問に思ってたので調べてみました。 結論 結論から先に述べると、「問題なし」 Realtime Databaseとかの権限設定が適切に設定されている前提ならば 特に問題ない 調べたもの やはりあるよねStackOverFlow stackoverflow.com 内容 質問（意訳） Firebaseのキーって見てる人全員にさらされちゃってるけど、それでいいんかい？ このキーの目的ってなんなんだよ？公開さ

はじめにこんにちはかみむらです。この記事はNuxt.js + microCMSで採用ページを作成するチュートリアルです。 microCMSの最大の特徴は、APIを部分的に扱えることです。なので、さまざまなユースケースが考えられます。例えば、企業のWEBサイトを作成すると仮定してください。CMSで管理する機能は、お知らせやブログが挙げられます。しかし、運用していくと採用情報やヘルプページなど、CMSで管理したい項目が増える可能性があります。 そこで、ヘッドレスCMSを使えば、フロントエンドとAPIを分離して部分的にCMS化することができます。なので、設計を一から見直すことなく、部分的な変更が可能になります。無理な工数を割くことなく、拡張性の高いWEBサイトを構築することができます。 今回は上記で上げた例の一つ、採用ページをNuxt.js + microCMSを使って実装していきます。 最終的

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 普段はWeb系の会社でアプリケーションの開発をしている @oliver_diary です。 2020年度も始まり、新卒研修が各場所で行われていると思います。 私の所属する会社では、リモート上での研修が始まり、初めての環境で慣れないながらも、みんなで知恵を絞って協力しています。 私は、2020年4月から情報処理安全確保支援士になったこともあり、今回社内のセキュリティ新卒研修を担当しました。 そこで、今回使用した研修内容が参考になればと思い、実際に使用した自作のCTFみたいなアプリケーションを公開しようと思います。 自作アプリケーションにつ

渡邉 雅之弁護士 弁護士法人三宅法律事務所 越田 晃基弁護士 弁護士法人三宅法律事務所 岩田 憲二郎弁護士 弁護士法人三宅法律事務所 出沼 成真弁護士 弁護士法人三宅法律事務所 「要配慮個人情報」とは、不当な差別や偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいいます。具体的には、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等が該当します。 要配慮個人情報は、原則として、あらかじめ本人の同意を得ないで取得することが禁止されます。また、オプトアウトによる第三者提供は認められていません。さらに、要配慮個人情報が含まれる個人データの漏えい、滅失もしくは毀損が発生し、または発生したおそれがある事態が生じた場合には、個人情報保護委員会への報告および本人への通知等を行う必要があります。

TikTok、Hotels.comなどの人気iOSアプリが、ユーザーに断りなくペーストボードの情報を読み取っていることが判明しました。 重要な個人情報である場合も iOSデベロッパーのタラル・ハジ・バクリ氏とトミー・ミスク氏が、多くのiOSアプリが、アプリを開くたびに、ペーストボード（クリップボード）にあるテキストを勝手に読み込んでいることを発見しました。 両氏は「ペーストボードに残されたテキストは単なる買い物リストかも知れないが、パスワード、口座番号といった、重要な個人情報である場合もある」と指摘しています。 人気アプリの行動を観察 iOS/iPadOSアプリは、システム全体で使用されるペーストボードに制限なくアクセスすることができます。バクリ氏とミスク氏は以前から、アプリにペーストボードへのアクセスを許可することは、セキュリティ面で問題があると指摘してきました。 両氏は今回、App S

AWSを愛する皆さま、こんにちは。コンサルティング部の西野（@xiyegen）です。 CloudGoatを使用するためにはTerraformやAWS CLIの実行環境が必要なので、 「AWSセキュリティに今すぐ入門したい！」 とお考えの皆さまは環境構築を手間に感じるかもしれません。 そんな皆さまの願望を満たすよくばりセットDockerイメージが公式から提供されています。 こちらを使用し、秒速でCloudGoat環境を構築しましょう。 目次 おさらい CloudGoatとは https://github.com/RhinoSecurityLabs/cloudgoat CloudGoatはRhino Security Labs社によって開発されたAWSセキュリティ学習環境構築ツールです。 概要を下記のブログで紹介しておりますのでこちらもご参照ください。 ゆるふわIAM userのadmin権限

Webブラウザは、画像やビデオ、オーディオなどのメディアファイルをレンダリングする処理を進めるために、ライブラリを使用する。だが、こうしたライブラリには、未報告の脆弱（ぜいじゃく）性がある場合が少なくない。これがサイバー攻撃のきっかけになる。 テキサス大学オースティン校のコンピュータサイエンス教授を務めるホバブ・シャカム氏は次のように指摘する。 「モダンなWebブラウザには、非常に危険な側面がある。豊富な機能を提供するが、機能が多いほど、脆弱性も多くなる。脆弱性が多いほど、攻撃者がユーザーのデバイスを侵害する可能性も大きくなる」 ハッカーによる脆弱性の悪用を防ぐため、研究チームはWebAssemblyを採用した。WebAssemblyは、元々、Webブラウザ上で動作するWebアプリケーションのパフォーマンスを高めるために開発された。同時にセキュリティを高めるための仕組みも取り入れている。W

Windows 10では、サインインの認証方法として、パスワード入力の代わりに「Windows Hello顔認証」「Windows Hello指紋認証」「Windows Hello暗証番号（PIN）」「セキュリティキー」「ピクチャパスワード」を使うことができる。ただ、「Windows Hello顔認証」は顔認証対応カメラに、「Windows Hello指紋認証」は指紋認証デバイスにそれぞれPCが対応している必要がある。また、「セキュリティキー」を使う場合は、Windows HelloかFIDO2に準拠したUSBキーやNFCキーなどのセキュリティキーを用意する必要がある。 一方、「Windows Hello暗証番号（PIN）」と「ピクチャパスワード」は、特別なデバイスが不要で、Windows 10の設定変更のみで、パスワードの代わりにできる。本Tech TIPSでは「Windows Hell

「Chromeウェブストア」から拡張機能をインストールすると、ブラウジングを快適にしてくれる機能を簡単にChromeに導入可能ですが、中には便利なツールを装って不正な動作をする拡張機能も存在しており、過去には200個もの拡張機能が一斉に削除されたこともあります。今回新たに、合計500個以上のChrome拡張機能が不正に個人情報を入手していたことが、セキュリティ研究者らの調べにより発覚しました。 Security researchers partner with Chrome to take down browser extension fraud network affecting millions of users. | Duo Security https://duo.com/labs/research/crxcavator-malvertising-2020 500 Chrome E