「Webアプリにおける11の脆弱性の常識と対策」という記事を久しぶりに読みました。出た当事も思いましたが、基本的な誤りが多く、読者が誤解しそうです。このため、編集部から頼まれたわけではありませんが、「勝手に査読」してみようと思います。 細かい点に突っ込んでいくとキリがないので、大きな問題のみ指摘したいと思います。 ※2013年2月25日追記 このエントリに対して、編集部が元記事を修正くださいました。徳丸も修正に協力いたしましたが、十分正確な内容ではないことをお含みおきください。 ※追記終わり 同記事の想定読者は誰か査読にあたり、この記事の想定読者を明確にしておいた方がよいですね。記事の冒頭には、連載の説明があります。 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用する

10/1から施行される著作権法改正については本ブログでも書いてきました。繰り返しになる部分もありますが、施行直前ということでもう一度まとめておこうと思います。 まずは、ネット上でよくみられる誤解についてまとめておきます。 誤解1：今回の改正によりDVDのリップ行為に刑事罰が課されるようになった。 今回の改正で今まで合法だったDVDのリップ行為（CSSを解除してのコピー）が違法になりましたが、刑事罰はありません。（ブログ等で「手持ちDVDを全部iPadにリップして便利便利」なんて書くといろいろ言われるかもしれませんが）。なお、改正前に既にリップしていたファイルに対して遡って責任を追及されることはありません。 また、DVDリッピング・ソフトの販売やネット上での提供は著作権法ではなく不正競争防止法により前から刑事罰の対象になっています（既に逮捕者も出ています）。 誤解2: 今回の改正によりYou

こんにちは！ 「フォームを勝手にサブミットしてしまう」 その認識でだいたいあってます！たぶん！ そのmixiの例だと、 入力画面 → (送信1) → 確認画面 → (送信2) → 完了 ってなるわけですが、 いくら確認画面が間にあったところで、 (送信2)の部分を「勝手にサブミット」しちゃえばいいわけです。 ※ただし今のmixiや、ちゃんとしたwebサービスは送信時にトークンをつけるとかCSRF対策してるのでできません 実際の攻撃の例としては、mixiやtwitterなどの多くの人が繋がっている投稿型サイトで、 「こんにちはこんにちは！！ このリンク先すごいよ！ http://～」 のような書き込みをしておき、 そのリンク先でformやJavaScript等で「自動的に勝手にサブミット」してしまいます。 画面には何も表示されなくてもかまいません。 そしてさらに勝手に書き込む内容を 「こんに

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28

先日、 ボストンにて行われたUsenix Symposium on Networked Systems Design and Implementationというイベントで、位置情報の特定手法に関した恐ろしい研究結果が発表されました。発表者は中国成都にある電子科学技術大学の科学者であるYong Wangさんと、アメリカイリノイ州にあるNorthwestern Universityの研究員達です。 日本でも某企業が提供するようなデータベース形式の位置特定サービスは別として、通常IPアドレスベースの特定法では位置情報の精度は35キロメートル内です。 しかし、なんとこの手法を用いると、あなたの位置情報が、あなたが使用している利用端末から690メートル以内の精度で特定できてしまうというのです。しかも、特別な装置や、GPS位置情報も一切必要なく、現在普通にインターネットを飛び交う公開情報だけから位置を

（ネットセキュリティサービスプロバイダ｢CyberDefender｣研究員が語るネットの危険な行動パターン10と、どうしてもあきらめ切れない場合の留意点です） 1. 公用PCで｢次回から自動的にサインインする｣をチェックする他人にログイン情報筒抜けだよ！ [自衛策] 自分のラップトップや自宅のデスクトップ以外の場所でPC使ってるときは｢次回から自動的にサイインする｣というボックスは絶対チェックしないこと。 職場のPCは要注意。社用PCは、自分用みたいな気になっちゃうけど、デスクから離れると他人が簡単に覗き見できますよ？ 自分のメッセージを全部、彼らの個人用アドレスに転送する...なんてこともできちゃいますからね！ 学校・図書館などの公用PCからGoogle、eBay、Amazonなんかのサイトにサインインした人は、終了後サインオフを絶対忘れず行います。 プライバシー保護のため、ブラウザ使用

「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月

WiresharkはUNIX/LinuxやMac OS X、Windowsで動作するネットワークプロトコルアナライザです。コンピュータがネットワークを介して通信するパケットを収集し、その内容や送信先などを解析することができます。このプロジェクトでは、Wiresharkの日本語情報を提供しています。 プロジェクトの詳細については、Wikiページをご覧ください。 Wiresharkのサポート掲示板はフォーラムにあります（ヘルプ掲示板、公開討議掲示板）。 インストール 1. ダウンロードページから自分の環境に合ったインストーラをダウンロードします。Windows版は「Win32」もしくは「Win64」以下、Mac OS X版は「osx」からダウンロードできます。 2. ダウンロードしたインストーラ... インストール方法を見る 使い方 1. Wiresharkを起動します。 2. Interfa

Join us 4-8 November in Vienna for SharkFest'24 EUROPE, the official Wireshark Developer and User Conference The world's most popular network protocol analyzerGet started with Wireshark today and see why it is the standard across many commercial and non-profit enterprises. *{padding:0;margin:0;overflow:hidden}html,body{height:100%}img,span{position:absolute;width:100%;top:0;bottom:0;margin:auto;he

ドットインストール代表のライフハックブログ