「未対策なら1分でできる」　スマホアプリの改ざんを防ぐには？：「不正ユーザーの95％が利用する手法」を解説（1/2 ページ） スマートフォン向けアプリケーションを開発する際にもセキュリティ対策は欠かせない。DeNAの舟久保氏は内製ツールと自作アプリを利用して模擬的に改ざん行為を行い、アプリ開発時にどういった対策が有効になるかを解説した。 スマートフォン向けアプリケーション（以下、スマホアプリ）を開発する場合にも、セキュリティ対策を考える必要があるのは、もはや開発者の義務といっていいだろう。どんなアプリであっても、ユーザーが意図的に情報を改ざんできない仕組みを導入したり、個人情報が漏えいしないような対策を採ったりする必要がある。 2019年2月6日にディー・エヌ・エー（以下、DeNA）が開催した「DeNA TechCon 2019」で、DeNAの舟久保貴彦氏はゲームアプリの不正（チート行為、

WordPressは、最も高い人気を誇るサイト作成ツールの1つ。その人気ゆえに、WordPressサイトは悪意あるユーザーの標的になりがちというマイナスな側面も。WordPressがサイバー攻撃に対処できるほど安全なのかどうか、疑問を抱いている方は少なくないはずです。 残念ながら、毎年何十万ものWordPressサイトやECサイトがハッキングされています（ECサイトを保護する方法はこちら）。 「年に何百万」と聞くと不安になりますが、実はハッカーの侵入経路は、最新のWordPressコアの脆弱性ではありません。その多くは、更新を怠っていたり、安全でないパスワードを使っていたりなどの理由から、ハッキングされています。 したがって、「WordPressは安全か」という問いには、単に「YES/NO」で答えることはできません。そこで今回は、以下のような角度からWordPressの安全性について掘り下

クリックジャッキングは、Webサイトの脆弱性を悪用してユーザーを欺き、意図しないクリックやタップを誘導する悪質な攻撃手法です。 透明な罠ページを正規ページ上に重ねて、ユーザーの操作を奪取する手口が用いられ、個人情報の不正取得や不正送金などの被害につながる可能性があります。 本記事では、クリックジャッキングの仕組みや特徴、具体的な攻撃手法、それによる被害事例について詳しく解説します。 さらに、サイト運営者が取るべき対策や、ユーザーができる予防法についてもご紹介。クリックジャッキングの脅威から身を守るために必要な知識を身につけましょう。 クリックジャッキング（Clickjacking）は、Webサイトの脆弱性を突いて、ユーザーを騙して意図しないクリックやタップをさせる攻撃手法です。攻撃者は、透明な罠のページを正規のページの上に重ねて配置し、ユーザーのクリックを誘導します。 ユーザーは見えている

以前、CSRFについてのエントリを書きました。 CSRFについて - おもしろWEBサービス開発日記 上記エントリではCSRFの概念について書きましたが、もう少しつっこんで調べる必要が出てきました。調べたことを書いてゆきます。 基礎 application.rb(ないし適当なController)にprotect_from_forgeryメソッドを定義すれば、railsが自動的にCSRF対策をしてくれます。というか、デフォルトでapplication.rbに下記のように書いてあるので、特に何もせずともCSRF対策はバッチリなのです。 protect_from_forgery # :secret => '8ff3ed33f86a431662d8dfe255acdb4a' railsは、get以外の動詞のリンクに、authenticity_tokenというパラメータを自動的に付け加えます。ge

F5のサイト サポート ポータル F5製品およびサービスに関するセルフサービス ヘルプの記事 DevCentral 弊社主催のコミュニティでつながり、学ぶ My F5 サブスクリプションおよび登録キーの管理 Partner Central F5パートナーのためのリソースおよびサポート ポータル LearnF5 Learn to use F5 products F5へのお問い合わせ F5販売担当部へのお問い合わせ 詳しくは、F5の営業担当社にお問い合わせください F5サポートへのお問い合わせ お近くのサポート担当者にお問い合わせください プロフェッショナルサービスへのお問い合わせ F5ソリューションを最適化するためのサポートを受ける 無料トライアル 複数の環境にわたりアプリケーションの安全性、速度、信頼性を確保するこれらの製品を、無料でお試しください。 F5 Distributed Clou

2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...

item.seminar_end_date__val_1) && (item.seminar_end_date__val_1 != ''))">開催終了

By Bill Smith 中国政府や大企業による産業スパイは、アメリカでのトウモロコシ泥棒につながるほどにさまざまな分野で行われているようですが、そんな中国とアメリカの間で2015年9月25日に歴史的なサイバー協定が結ばれました。これは、「両国家が競合企業などの持つ企業秘密などの知的財産をインターネット経由で盗み出すようなサイバー犯罪を行わない、また、故意にそういった行いをサポートしないことに合意する」という内容のものだったのですが、協定が結ばれてから3週間以上が経過した現在も中国からの攻撃が多数検知されていることが明らかになっています。 The Latest on Chinese-affiliated Intrusions into Commercial Companies » Adversary Manifesto http://blog.crowdstrike.com/the-la

「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す

こんにちは。坂本です。 今回は脆弱性診断ツールができるBurp Suiteというツールを紹介します。 このセキュリティ界隈では知らない人はいない有名なツールです。 Burp Suiteは脆弱性診断に必要な機能を揃えています。 ・Webサイトへリクエストする情報を改ざんして脆弱性がないか確認する機能 ・WebサイトをクローリングしてURLのリストを取得する機能 ・取得したURLに対して脆弱性がないか診断をする機能 などなど この機能を実現するためBurp Suiteはプロキシサーバとなります。 プロキシとなったBurp SuiteはWebサイトとブラウザの間に入りリクエストを傍受し脆弱性診断を行うことができます。 Burp Suiteの購入から起動 Burp Suiteで脆弱性診断をするにはライセンスを購入する必要があります。 まずは公式サイトでBurp Suiteのダウンロードを行います。

※SSLで暗号化してもCookieで「secure 属性」を指定しないと、 盗聴される可能性がある また、php.iniや.htaccessで一括設定した場合、 「HTTP」「HTTPS」で挙動が違うので要注意です。 ※php.iniで設定 session.cookie_secure = 1※.htaccessで設定 php_flag session.cookie_secure On※PHPで部分的に設定 ini_set('session.cookie_secure', 1); session_start(); ※参考サイト： ・HTTP環境とHTTPS環境での、session.cookie_secureの挙動の違い ・SSL で暗号化しても Cookie で secure 属性を指定しないと盗聴される可能性があるかもしれない ・クッキーのSecure属性不備

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

Googleのセキュリティチームは米国時間10月14日、Secure Sockets Layer（SSL） 3.0に深刻なセキュリティ脆弱性があることを明らかにした。SSL 3.0はかなり前に導入された暗号化プロトコルでありながら、依然として多く使用されている。 同チームのBodo Möller氏によると、「この脆弱性により、セキュアな接続のプレーンテキストがネットワーク攻撃者によって割り出される恐れがある」という。 SSL 3.0はTLS 1.0、TLS 1.1、TLS 1.2に引き継がれてきたが、TLS実装の多くがレガシーシステムに対応し、ユーザーエクスペリエンスを円滑化するために、SSL 3.0との下位互換性を維持している。 通常、このセキュリティプロトコルのハンドシェークは、認証されたバージョンのネゴシエーションを行う。このようにして、クライアントとサーバの両方に共通する最新のプロ

Help us understand the problem. What is going on with this article?

bashにコードインジェクションの脆弱性「Shellshock」、管理者に大きなショック：影響範囲はどこまで？ UNIX系OSのシェル「bash」に極めて深刻な脆弱（ぜいじゃく）性が発見された。すでにこの脆弱性をスキャンする通信を観測したという報告もあり、修正パッチの適用や継続的な情報収集が望まれる。 米国時間の2014年9月24日、LinuxやMac OS XなどのUNIX系OSで使われているシェル「bash（Bourne Again Shell）」に、極めて深刻な脆弱性（CVE-2014-6271）が発見された。シェルの環境変数として外部入力を受け入れる設定となっている環境では、最悪の場合、リモートから任意のコマンドを実行される恐れがある。bashの配布元であるGNU Projectやパッケージ配布を行っている各Linuxディストリビューションがパッチを公開済みで、速やかに適用するよう

条件1. /bin/shの実体がbashのディストリビューション RHEL CentOS Scientific Linux Fedora Amazon Linux openSUSE Arch Linux (自ら設定した場合: Debian, Ubuntu) 条件2. 動作環境 CGI (レンタルサーバでありがちなCGIモードのPHP等も含む) Passenger(Ruby) 条件3. プログラム内容 Passengerは全死亡 *1 systemや `command`、 '| /usr/lib/sendmail' などで外部コマンド実行 *2 PHPのmailやmb_send_mail、その他フレームワーク等を介したメール送信 *3 以下は条件1が不要 明示的にbashを呼ぶ 先頭で #!/bin/bash や #!/usr/bin/env bash しているプログラムを実行 (rbenv

SELinux（エスイーリナックス）とはSecurity-Enhanced Linuxの略です。米国家安全保障局（The National Security Agency：NSA）が中心となって開発しているLinuxベースのセキュアOSです。Linuxの最新カーネル＊2.6が正式採用したことで，数あるセキュアOSの中でも本命と目されています。 不要なリソースの利用を制限 SELinuxの最大の特徴は，従来のLinuxやUNIXでは絶対的な権限を持っていたroot（ルート）アカウントの特権を無くしてしまったことです。リソースへの権限をユーザーやプロセスごとに細かく設定して，例外なくセキュリティ・ポリシーで制御します。必要最低限の権限しか与えないことで，クラッカに侵入されてもシステムへの影響を最小限に抑えることを目指しています。 図3 SELinuxではリソースへの全アクセスをセキュリティ・ポ