In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A

XDR、Agentic SIEM、Agentic SOARで収集した情報から攻撃の端緒を可視化、防止。攻撃者に隠れる余地を与えません。 詳しくはこちら

情報処理推進機構セキュリティセンター（IPA/ISEC）は7月22日、第2四半期（4〜6月）のソフトウェア等の脆弱性関連情報に関する届出状況を発表した。 第2四半期のIPAへの脆弱性関連情報の届出件数は、ソフトウェア製品に関するもの34件、ウェブアプリケーション（ウェブサイト）に関するもの120件で、合計154件となっている。届出受付開始（2004年7月8日）からの累計は、ソフトウェア製品に関するもの1084件、ウェブサイトに関するもの5218件の合計6302件となっている。 ソフトウェア製品の脆弱性の処理状況では、JPCERTコーディネーションセンター（JPCERT/CC）が調整し、製品開発者が脆弱性の修正を完了し、JVNで対策情報を公表したものが20件（累計426件）、製品開発者が個別対応したものはゼロ件（同17件）、製品開発者が脆弱性ではないと判断したものは1件（同39件）、告示で定

以下は、WEBプログラマー用のWEB脆弱性の基礎知識の一覧です。 WEBプログラマーの人はこれを読めばWEB脆弱性の基礎をマスターしてWEBプログラムを書くことができるようになっているかもです。 また、WEB脆弱性の簡易リファレンスとしても少し利用できるかもしれません。 WEBアプリケーションを開発するには、開発要件書やプログラム仕様書通りに開発すれば良いというわけにはいきません。 そう、WEB脆弱性を狙う悪意のユーザにも対処しないといけないのです。 今回、WEBアプリケーションを開発にあたってのWEB脆弱性を、以下の一覧にまとめてみました。 このまとめがWEBアプリケーション開発の参考になれば幸いです。 インジェクション クロスサイト・スクリプティング セッション・ハイジャック アクセス制御や認可制御の欠落 ディレクトリ・トラバーサル(Directory Traversal) CSRF（

あなたもなれる 【セキュリティエンジニア】 EC-Council 情報セキュリティエンジニア育成トレーニングコース「 "セキュリティエンジニア" に! お...

CAPTCHAとは、スパムコメントなどを防止するための認証画像のことである。 それにしても、はてなのCAPTCHAはひどい。無いよりマシという考え方もあるのでそれについてはあまり議論する気は無いのだが、それにしてもこれを破るプログラムは30分あれば十分書ける。 具体的には、はてなのCAPTCHAには8つの好ましくない特徴と、2つの脆弱性がある。 ■　8つの好ましくない特徴 ・画像自体のサイズが小さすぎる。→　こんなに小さいと探索量(計算量)が小さくて済む。 ・フォントにゆがみがない　→　フォントはある程度変形させたほうが良い。変形させてあるとテンプレートマッチングがしにくくなる。 ・フォントが固定。→　フォントは毎回変えたほうが良い。 ・フォントを回転させていない　→　フォントは文字ごとにある程度ランダムに回転させた方が良い。 ・フォントサイズが一定　→　フォントサイズは文字ごとにある程度

文字コードに関する問題は大別すると文字集合の問題と文字エンコーディングの問題に分類できる。前回は文字集合の取り扱いに起因するぜい弱性について説明したので、今回は文字エンコーディングに起因するぜい弱性について説明しよう。 文字エンコーディングに依存する問題をさらに分類すると2種類ある。（1）文字エンコーディングとして不正なデータを用いると攻撃が成立してしまう点と，（2）文字エンコーディングの処理が不十分なためにぜい弱性が生じることがある点だ。 不正な文字エンコーディング（1）――冗長なUTF-8符号化問題 まず，（1）の不正な文字エンコーディングの代表として，冗長なUTF-8符号化問題から説明しよう。前々回に解説したUTF-8のビット・パターン（表1に再掲）を見ると，コード・ポイントの範囲ごとにビット・パターンが割り当てられているが，ビット・パターン上は，より多くのバイト数を使っても同じコー

無線LANで使われている暗号方式・WEPを「一瞬で解読する」という方法を考案・実証したと神戸大学と広島大学の研究者グループが発表した。 これまでにもWEPを1分足らずで破る方法が報告されているが、新手法は一般的な環境で簡単に解読することが可能といい、解読プログラムは比較的性能の低いPCでも実行できるという。グループの森井昌克神戸大学教授「WEPはまったく暗号化方式としては意味をなさない」として、早期にWPA/WPA2に移行するよう呼び掛けている。 このほど開かれた「コンピュータセキュリティシンポジウム 2008（CSS 2008）で発表した。 WEPを解読する手法としては、ダルムシュタット工科大学のグループが昨年4月、1分足らずで解読する方法を公表。ただ、この手法ではARP（Address Resolution Protocol）パケットを4万パケット以上集める必要があるが、現実的には難し

セキュリティソリューション分野でのリーディングカンパニー、株式会社ラック（本社：東京都港区、代表取締役社長:齋藤理、以下ラック）は、自社の研究機関であるサイバーリスク総合研究所のコンピュータセキュリティ研究所から緊急注意喚起レポートを公開しました。 本レポートによると、IDS/IPS、WAF などの防御システムをすり抜け、Webサイトの管理者が気づきにくい手法で攻撃する新手のSQLインジェクション攻撃を行使するボットを確認したと報告されています。また、この新手のSQLインジェクション攻撃はラックのセキュリティオペレーションセンターJSOC（ジェイソック）でも9月30日早朝から検知されており、また、実際の被害に遭ったWebサイトも確認されたため、広く注意喚起する目的で本レポートを公開しました。 本レポートでは、攻撃の特徴、攻撃による影響、対策方法についてそれぞれを詳細に解説しています。一般利

【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対

NRIセキュアテクノロジーズが2005年度に診断した167サイトのうち約5割に、情報漏洩などにつながる「致命的な欠陥」が存在した。 NRIセキュアテクノロジーズによると、同社が2005年度に実施した診断サービスの結果、約5割のWebサイトに情報漏洩などにつながる「致命的な欠陥」が存在したという。 NRIセキュアでは、顧客システムやWebサイトの安全性を診断するセキュリティアセスメントサービスを提供している。2005年度には企業／官公庁のWebサイト、計167サイトを対象に診断サービスを実施。この結果、危険度の高い問題が発見されなかったのはわずか21％だった。 残る79％には何らかの問題が発見された。うち50％では、他のユーザーの個人情報をはじめとする重要情報に不正にアクセスできることが確認されたという。しかもこの数字は、2004年度（それぞれ76％、43％）に比べるとわずかながら増加してお

ティーディー・セキュリテは英国のセキュリティ企業、NGSSoftwareと業務提携を結び、同社のデータベース脆弱性検査ソフト「NGS Squirrel」シリーズの販売を開始する。 ティーディー・セキュリティ（TDセキュリティ）は6月15日、英国のセキュリティ企業、Next Generation Security Software（NGSSoftware）と業務提携を結び、同社のデータベース脆弱性検査ソフト「NGS Squirrel」シリーズの販売を開始することを発表した。 NGSSoftwareは、脆弱性の調査やコンサルティングなどを手がけるセキュリティ企業だ。特に、Oracle DatabaseやMicrosoft SQL Serverといったデータベース製品に存在する脆弱性の発見で名を知られており、これまでもたびたびベンダーに指摘を行ってきた（関連記事）。 TDセキュリティは今回の提携

MicrosoftとMozillaが、両社のウェブブラウザに存在するセキュリティホールが侵入者によって悪用され、ファイルを盗まれるおそれがあることを認めた。だが、こうした悪用は条件的に難しく、リスクはそれほど大きくないとも話している。 セキュリティ専門家は今週に入って、「Internet Explorer（IE）」および「Firefox」、そしてMozillaのその他のブラウザでJavaScriptを処理する方法に脆弱性があると警告していた。攻撃者がこうした問題を悪用して、ファイルを不正にアップロードする可能性があり、マシンユーザーの個人情報が危険にさらされるというのである。 しかし、ユーザー側が多くの操作を行わなければ同脆弱性の悪用は難しいことから、MicrosoftおよびMozillaは差し迫った危険はなく、修正パッチをすぐにリリースする必要もないと考えている。関係者によれば、両社はブ