The Invisible Things Lab's blog: Trusting Hardware 少々古いが、面白かったので紹介する。 なるほど、君はパラノイアにとりつかれているんだね。自分のマシンでは、LinuxとかGNUとかのオープンソースなソフトウェアしか走らせたくないってわけね。やろうと思えば、全ソースコードを自分の目で検証可能だって安心してるわけか（実際やらないんだろうけどさ）。パラノイア病がもっと進行してきて、オープンソースなBIOSとかにまで手を出し始めちゃった。バカな奴らがWindowsみたいなクローズドソースのシステム使ってるなんて訳がわからないよ。とまあ、こう満足してるわけだよね。 でーも、所詮そこまでなんだよね、君は。だってまだハードウェアを信用しなきゃならないでしょ。ハードウェアベンダーが、ネットワークカードのマイクロコントローラーにバックドアを仕込んでないこと

えらべる自由な au が今日 3 月 1 日から "au スマートパス" というサービスを開始しています。 auスマートパス サービスの内容は、月額390円のサブスクリプションでAndroidアプリケーションの利用や写真クラウドの保存ができるサービスなんですが、その中に「スタンプカード」なるサービスがあります。 対象のアプリなどを使い回ることで au のポイントと引き替えられるみたいなサービスですが、その規約をみて仰天しました。 大切なことなので二度いいます 1．取得する情報 スタンプカードのご利用にあたっては、以下の情報をお客様からご提供頂きます。なお、当社は、通話内容・通信内容を取得することはありません。 （1）Web利用履歴（IS-NET等接続先） ご利用のau端末から行ったデータ通信（Webブラウザ、アプリケーションからの通信など、auスマートパス以外の通信も含むIS-NET、au

Googleに存在したメールアドレスを窃取できた問題について書きます。これは2011年1月30日に報告し、報告後数日以内に修正された問題です。 こんなページがありました。 http://example.google.com/redirect?continue=http://example.google.com/xyz <meta http-equiv="refresh" content="0;url=&#39;http://example.google.com/xyz&#39;"> <script> location.replace("http://example.google.com/xyz") </script> continueというパラメータに指定されたURLをmetaタグとlocation.replace()にそれぞれ入れて、JavaScriptの有効/無効の設定に関わらずリダイ

Gumroad 回りが面白くなってます。足りない機能を補う Gumroad Search が出てきたり、リンクを隠す GumSafe が出てきたり、さらに GumSafe がコンテンツ URL を自分の方に抱えることで事実上 Gumroad の決済機能だけを利用できるようにしたり↓、面白くてたまりません。 gumsafe 開発ブログ：gumroadの決済URLが割れてもコンテンツURLの隠匿性を維持できる機能を追加しました というわけで関連する情報を目にすれば興味を持って読んでるうちに、 はっきり言ってこんなサービス、やろうと思えばどこの会社もすぐできたはずなんです（実際そのように言っていた方も見かけました）。それをなぜやらなかったか？（物語を語ろう。物語を創ろう。｜Gumroad の問題点についてもう少し掘り下げてみました。） という疑問を見かけました。 実は私も類似のサービスを数年前に

SElinux無効化設定 CentOSでSELinuxを無効化します。 # vi /etc/sysconfig/selinux # cat /etc/sysconfig/selinux # This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=enforcing # SELINUXTYPE= can take

こんにちはこんにちは！！ 昨日、こんな記事を見かけたよ。 » コドモのソーシャルネットワーク事情〜親ならこれだけはやっておけ なるほど、いいこと書いてあるし、わかりやすい。 そんなわけでぼくも、 「ネットを利用するときに気をつけたいこと」について、自分なりに思うことを書いてみるよ。 情報は紐付く ちょっとした情報を元に、 ネットAとネットBが紐付くのはもちろんだし、 リアルの情報まで紐付くこともよくあること。 ひとつひとつは大したことない情報でも、 情報が紐付くと、さらに色々なことが芋づる式に誰かにわかるよ。 過去と現在が紐付く 今は、君のことを気にかけているのは まわりの友達だけかもしれない。 けれど情報は残る。 将来、5年後、10年後…、 君がうっかり書いた言葉が、たまたま炎上した時、 犯罪者のようなレッテルとともに、過去の全てと、紐付いたリアルの情報を、大勢の人に晒されることになる。

Flash, HTML5スマートフォンの普及が進む中、iPhone には Flash が搭載されず、Android 版 Flash は開発停止になるなど、遅かれ早かれ Web 上から Flash が消えていき、リッチな表現は HTML5 に置き換わっていくことは確実となりました。「これからは HTML5 だ」という印象を世間に強く与えたのが、2009 年の Google I/O でした。Google I/O 2009 レポート グーグルが賭けるHTML 5の未来 − ＠ITGoogle はそれ以降、多くのサービスに HTML5 を取り入れてきました。しかし、いまだに Flash を利用しているサービスがいくつかあります。この記事では HTML5 化していない、または、できていない 5 つの Google のサービスを通してどのこで Flash が使われているのかなぜ Flash が使われて

先日、Mac に感染する Flashback.G というトロイの木馬型ウイルスが発見されました。こういったウイルスは「Mac はウイルスに感染しない」という噂があったにも関わらず、年々増え続けています。 気になることに iPhone にも「ウイルスには無縁・感染しない」という、Mac と同様の噂があるようです。しかし、実際には iPhone もウイルスとは無縁ではありません。 どんな電子機器にもウイルスが感染する恐れは常に存在します。iPhone の場合、その可能性がゼロなのではなく、現在はきわめてその可能性が少ないだけなのです。 いわゆる「安全な環境」を手に入れるためには、メーカーによる頻繁なアップデートの公開といった対応も必要ですが、最終的には利用者自身が注意するしかありません。 そこで今回は iPhone をウイルスから守るために心掛けたいことをご紹介します。 はじめに iPhone

2012/02/15、 JVN から JVN#35256978: cforms II におけるクロスサイトスクリプティングの脆弱性 が公開されました。これはクレジットされているとおり、海老原と、同僚の渡辺優也君が勤務中に発見した脆弱性です。 脆弱性自体はどこにでもあるような普通の XSS ですが、実はこの脆弱性、 2010 年 10 月に exploit コードが公開され、それから 1 年 4 ヶ月後の 2012 年 2 月まで修正版が提供されていなかったものです。 このような危険な状態が長期間続いていたのには、様々な理由があります。ここでは、その説明と、どうすれば事態が防げたかということについて検討したいと思います。 脆弱性の概要 本題に入る前に、主に cforms II のユーザ向けに脆弱性自体の概要についてざっくり説明します。前述のとおり、未修正の状態で exploit コードが公開

■ ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか SuicaやEdyの登場によって、カードに記載の番号が新たな問題をもたらすであろうことは、8年前に関心を持ち、何度か書いた。 Edyナンバーは易々と他人に知らせてよい番号なのか, 2004年2月29日の日記 Edyナンバーはどのように使われるものか, 2004年7月11日の日記 許諾なしに公表されるEdyナンバーとSuica番号, 2004年7月11日の日記 その後、EdyナンバーやSuicaのIDiは無闇に掲示されることはなくなり、問題は起きなかった。コンビニのam/pmがEdyを用いて独自に展開していた「club ap」でも、利用者登録にはam/pm店舗のレジで印刷してもらう「仮パスワード」を必要とするようになっており、まあ一応ちゃんと設計されていた。*1 ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。