西村/learningBOX/競プロｱｶ @ynishi2015 技術スタックが古いとかどうでもいいけど、サポート切れてるバージョンを一般公開向けのサービスに使ってるのは良くない。そして、バージョン情報を公表してるのも良くない。サポート切れてる切れてないにかかわらずPHPのバージョンとかを外に見せちゃだめ。（たぶんヘッダーに出てるんだろう。 x.com/igz0/status/18… 2024-08-13 09:30:02 JJ @0xjj_official まぁこれ別に要件に対して悪い選択肢ではないと思うんだけど、自分はコンポーネントを作るのも、サーバーサイドも慣れたTypeScriptで書きたいと言う気持ちからRemixで全部書き切っちゃうか、Vite + Reactのフロントエンドと、Hono on Cloudflare Workersとかにするだろうな。 x.com/igz0/st

私はプロではないのでわからないので、間違っているのは当たり前だと思って読んでください。 個々人のエンジニアの能力がとかクレジットカードがとかは基本関係ないという話です。 （関係なくてもパスワードを使い回している場合は、同じパスワードを使っているサービスのパスワードはすぐ変えるの推奨） 三行VPN→プライベートクラウドの管理システムとオンプレ認証→各システムと言う流れで侵入されていると思われるオンプレのディレクトリサービスとクラウドのidMが接続され、オンプレの認証資格でSaaSは一部やられた可能性がある現在クラウドにリフトアップ中で、新システムはモダンな対策された方法で保護されており無事だった。が、それ故にオンプレへの対策が後手だったのでは会社のシステムはどうなってるか私は長年社内システムの奴隷をやって参りました。現在のクラウドになる前のサーバも触って参りましたので、その辺りからお話しをさ

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照くださ

パブリック・プライベートを問わず、AWSのストレージサービスであるS3のバケット名からアカウントIDを突き止める方法をセキュリティ企業「Tracebit」のCTOであるサム・コックス氏が公開しました。 How to find the AWS Account ID of any S3 Bucket https://tracebit.com/blog/2024/02/finding-aws-account-id-of-any-s3-bucket/ コックス氏の方法はS3のVPCエンドポイントを使用することでVPCエンドポイントポリシーを適用するのがポイントとのこと。ポリシーで「アカウントIDが1で始める場合のみ許可」などアカウントIDに基づいて許可を行う事で、ポリシーレベルでの拒否が発生するかどうかをチェックします。 具体的な方法は下記の通り。 まず最初にターゲットとなるバケットのリージョンを

サイバー攻撃への対処能力を強化するため、「通信の秘密の保護」を規定する電気通信事業法など複数の法改正を政府が検討していることが分かった。来年の通常国会にも関連法改正案の提出をめざす。政府は今夏以降に有識者会議を立ち上げ、年内をめどに能力強化をめぐる課題を集中的に議論する方針だ。 【写真】「日本は個人情報集めやすい」と指摘する弁護士 複数の政府関係者が明らかにした。法改正は「通信の秘密」を保障する憲法21条との兼ね合いなど課題が多い。海外での攻撃的なサイバー活動の是非のほか、国内では政府による市民の監視にもつながりかねないなど、議論を呼びそうだ。 現在、海外からのサイバー攻撃には、防御や事後の対処といった受動的な対応にとどまっている。政府は、中国やロシア、北朝鮮などを念頭に、昨年12月に改定した国家安全保障戦略で「サイバー安全保障分野での対応能力を欧米主要国と同等以上に向上させる」「能動的サ

ファイルアップロード時にサーバー側のファイル名をつける際に、ファイル名重複のチェックにTOCTOU競合の脆弱性を含んでいる解説記事をよく見かけます。リクエストが同時に発生する場合に、ファイル名チェックをTOCTOU競合によりすりぬけて、ファイル名の重複が発生するメカニズムをサンプルソースコードとデモで示します。 スクリプトはこちら https://github.com/ockeghem/web-sec-study/tree/master/file-name-collision ------------ ■EG セキュアソリューションズ株式会社 　https://www.eg-secure.co.jp/ ■お仕事の依頼はこちらから 　https://www.eg-secure.co.jp/contact/ ------------

米Appleは4月7日（現地時間）、iOS、iPadOS、MacOS、Safariの更新配信を開始した。本稿ではiPhoneの「iOS 16.4.1」のバグ修正とセキュリティ修正について紹介する。 バグ修正は以下の2点。数日前に「天気」アプリの不具合が話題になったが、それについての修正はない。おそらくサーバ側の修正で解決したものとみられる。 押している手の絵文字でスキントーンの選択肢が表示されない問題 Siriが応答しないことがある問題

Appleが現地時間の2022年8月17日、2件の「攻撃者によって悪用された可能性があるゼロデイ脆弱性」を修正するセキュリティアップデートを、macOS・iOS・iPadOSでリリースしました。 Apple security updates - Apple Support https://support.apple.com/en-us/HT201222 Apple security updates fix 2 zero-days used to hack iPhones, Macs https://www.bleepingcomputer.com/news/security/apple-security-updates-fix-2-zero-days-used-to-hack-iphones-macs/ New macOS 12.5.1 and iOS 15.6.1 updates pat

Appleが開発するmacOSに用意されている複数のセキュリティレイヤーを突破し、Macに存在するすべてのファイルを読み取ったりウェブカメラを制御したりできる脆弱性を、オランダに拠点を置くサイバーセキュリティ企業・Computestの研究部門であるSector 7の研究者が発見しました。 Process injection: breaking all macOS security layers with a single vulnerability · Sector 7 https://sector7.computest.nl/post/2022-08-process-injection-breaking-all-macos-security-layers-with-a-single-vulnerability/ A Single Flaw Broke Every Layer of Sec

【VTuberの皆様へ注意喚起】 Amazonの公開欲しいものリストを元に、電話番号を取得できる手法が存在します。 セキュリティ資格保持者として、手法が自アカで再現することを確認しましたので、対策がなされるまで、欲しいものリストを非公開にすることをオススメします。

※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。 通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。 ほぼすべてのオンラ

以下のツイートを読んで気持ちが昂ったので。 みんな、もうSNSでいがみ合うのはやめよう。 平和に好きなJWTの話でもしようよ。 JWTの格納場所はlocalStorageとCookieのどっちが好き？— 徳丸 浩 (@ockeghem) 2022年2月11日 というのも、JWTをセッションに使うときに保存先含めて一時期悩んでいたので、その時の自分の解。 ただ、考えるたびに変化しているので、変わるのかもしれない。 要約 タイトル。 あとは優秀な方々が既に色々考えておられるのでそちらを読むとよいでしょう。 SPAセキュリティ入門～PHP Conference Japan 2021 JWT カテゴリーの記事一覧 - r-weblife どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org JWT形式を採用したChatWorkのアクセストークンについて -

DISCLAIMER: Fingerprint does not use this vulnerability in our products and does not provide cross-site tracking services. We focus on stopping fraud and support modern privacy trends for removing cross-site tracking entirely. We believe that vulnerabilities like this one should be discussed in the open to help browsers fix them as quickly as possible. To help fix it, we have submitted a bug repor

xID（クロスアイディ）は、マイナンバーカード・デジタルIDを活用した自治体や企業の課題解決・新規事業創出を総合的に支援するGovtechスタートアップです。

昨日、上野宣（@sen_u）さんがパスワードの総当りに要する時間の表をツイートされ、話題になっています。 総当たり攻撃時のパスワード最大解読時間の表を日本語化した。https://t.co/cVSNUZkAKv pic.twitter.com/rtS8ixwOqi — Sen UENO (@sen_u) August 17, 2021 1万件を超えるリツイートがありますね。大変よく読まれているようです。しかし、この表は何を計測したものでしょうか。上野さんにうかがってもわからないようでした。 何ですかね？パスワード空間が大きくなると解読に時間が掛かるということくらいがわかりますかね。 — Sen UENO (@sen_u) August 17, 2021 一般に、パスワードの総当たり攻撃（ブルートフォースアタック）というと、以下の二通りが考えられます。 ウェブサイト等でパスワードを順番に試す

chmod -R 777 /usr を実行したCentOS7で、一般ユーザがroot権限を得られることを確認するLinuxSecurityrootpermission Teratailで、suコマンドでrootログインできないという質問があり、てっきり/etc/pam.d/suまわりの設定かと思いきや、そうではなく、自己解決で説明された原因に一同驚愕ということがありました。 /usr/share/nginx/html に権限を追加したくて、横着して chmod 777 -R /usr とコマンド実行した記憶があります。 CentOS7、suコマンドでrootにログインできない、パスワードは絶対あっているのになぜ？ /usr 以下のパーミッションをすべて777に設定したら、逆に動くべきものが動かなくなる例なのですが、これをやるとセキュリティ上問題であることは言うまでもありません。究極的には、

CodeZine編集部では、現場で活躍するデベロッパーをスターにするためのカンファレンス「Developers Summit」や、エンジニアの生きざまをブーストするためのイベント「Developers Boost」など、さまざまなカンファレンスを企画・運営しています。

カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert