はてなブックマーク

そう、URLさえわかればね。 セキュリティの講義のネタでよく話してるんですけど、以外と知られていないようなので。 公開範囲は 自分のみ URLさえわかれば表示することが可能です。下記はそのURLです。 https://scontent-a.xx.fbcdn.net/hphotos-xpa1/t31.0-8/10363467_10203851587031224_5439857412795849561_o.jpg そういう仕様っていうだけなんですけどね。URLは予測することが困難そうですし、あんまり悪用方法は思いつきません。以前のmixiもそういう仕様だったような気がする。 仲間内に限定公開とかしていて、その仲間の誰かが裏切って、あいつこんな写真公開してるぜ。とかぐらいだろうけど、それだったらURLを直リンクじゃなくてもいいですしね。

Webサーバーがレスポンスを発行する際に、HTTPレスポンスヘッダーに付けるとセキュリティレベルの向上につながるヘッダーフィールドを紹介します。 囲み内は推奨する設定の一例です。ブラウザによっては対応していないヘッダーフィールドやオプションなどもありますので、クライアントの環境によっては機能しないこともあります。 X-Frame-Options ブラウザが frame または iframe で指定したフレーム内にページを表示することを制御するためのヘッダーフィールドです。主にクリックジャッキングという攻撃を防ぐために用いられます。 X-Frame-Options: SAMEORIGIN DENY フレーム内にページを表示することを禁止（同じサイト内であっても禁止です） SAMEORIGIN 自分自身と生成元が同じフレームの場合にページを表示することを許可（他のサイトに禁止したい場合は主にこ

私も海外でよく使っていたイモトのWi-Fi「GLOBALDATA」のWebサーバーに不正アクセスがあり、調査の結果最大146,701件のクレジットカード情報を含む情報漏えいがあったことが判明しています。 不正アクセスによるお客様情報流出に関するお知らせとお詫び | エクスコムグローバル株式会社｜XCom Global, Inc. (Japan) リリースによると漏えいした情報は下記の通りと、この情報が揃えば大半のサイトのオンライン決済で利用できるでしょう。 カード名義人名 カード番号 カード有効期限 セキュリティコード お申込者住所 この中の「セキュリティコード」ですが、これはVISAやMasterでは「CVV」や「CV2」などと呼ばれている不正使用防止のための番号で、カードの裏面などに記載されているものです。 この「セキュリティコード」はカードに記載された番号を確認することで、カードの実

ひさびさの単著となる『HTTPの教科書』が2013年5月24日に発売になります。 内容はタイトルの通り、Webに関わる全ての人に捧げるHTTPを学ぶための教科書です。基礎を学びたい初心者の方から、机の上に置いてリファレンス的に使いたい方までを対象としています。 HTTPの教科書発売元: 翔泳社価格: ￥ 2,730発売日: 2013/05/25posted with Socialtunes at 2013/05/21 HTTP関連の書籍は『今夜わかるHTTP (Network)』というタイトルの本を2004年に出しています。その頃からHTTP/1.1が主流であるというのは、今でも変わりませんがそれを取り巻く環境というのは変わりつつあります。 HTTPを学ぶ上での要点がわかりやすく、そして読みやすくなっております。前作のリニューアルっぽく感じるかと思いますが、9割以上は書き直しや追記しており

システム環境設定からONにすればいいんですけど、なぜかシステム環境設定のロックが外せなくなったので、コマンドラインから各種設定変更を模索してみました。 コマンドラインから画面共有をONにするには、下記のコマンドをターミナルから実行します。 # sudo defaults write /var/db/launchd.db/com.apple.launchd/overrides.plist com.apple.screensharing -dict Disabled -bool false # sudo launchctl load /System/Library/LaunchDaemons/com.apple.screensharing.plist ssh とかでもONにできるので、人によっては便利かも。動作は OS X Mountain Lion（10.8.3） で確認しました。 Enab

OWASP Japan Leader らしく、OWASP Top 10 2013 RC1版の紹介でも。 https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project OWASPでは、PCI DSSなどでも参照しているOWASP Top 10 の 2013年版のリリース準備中です。現在、RC1をリリースして、コメントを募集しています。こちらまでお願いします。 [email protected] 新規追加のものも名称を日本語に訳しましたが、もっと適切な言葉があれば教えて下さい。 OWASP Top 10 - 2013 RC1 A1 インジェクション攻撃（Injection） A2 不完全な認証とセッション管理（Broken Authentication and Session Management） A3 ク

いわゆる"Bug Bounty Programs"と言われている、Webサイトの脆弱性情報などを受け付けて、それに報奨金を出すというプログラムです。報奨金で飯を食えるようになるといいですね。 Google Program Rules – Application Security – Google facebook Security Bug Bounty - Facebook Etsy（ハンドメイド商品のマーケットプレイス） Announcing the Etsy Security Bug Bounty Program « Code as Craft Barracuda Networks（セキュリティ機器） Barracuda Networks Security Bug Bounty Program Yandex（ロシアのGoogle的な。今年モスクワのオフィスに遊びに行かせて頂きました。）

お名前.comで取ってるドメインがあったので、とりあえずレンタルサーバーも使ってみようと申し込んでみました。 月額1575円の共用サーバー SD｜ドメイン取得なら お名前.com 設定を始めたところ、設定用のWebインタフェースのコントロールパネルに、メールアカウントや管理者アカウント、FTPアカウントなどのパスワードが表示されるという状況でした。 ※パスワードの箇所は暗号化されていないパスワード文字列 さらに、パスワード変更の際には旧パスワードの入力もいらないという仕様。 そして、コントロールパネルの横のお知らせには「セキュリティ対策は万全ですか？」とか出ててシュール。 サポートセンターに「パスワードを平文で保存しているのか？」ということや「なぜWebにパスワードをわざわざ表示するのか？」について問い合わせてみたところ、下記の回答がきました。 弊社サーバーNavi、および、コントロールパ

HPが主催し、英国のPonemon Instituteが調査したさまざまな産業分野の38団体のサンプルに基づくセキュリティのベンチマーク調査レポートです。 サイバー犯罪は被害・対策ともに高く付く。年間平均コストは平均210万£（約2.7億円）で、4百万£〜770万£の範囲 最も高く付いたサイバー犯罪は、DoS攻撃と不正なプログラムによる被害 サイバー犯罪対策コストは組織規模や産業によって異なる。防衛・公益事業・エネルギー・金融サービスは、他の産業より高い レポートはコストに関するさまざまな項目が調査されていて、興味深いですね。 「5カ国のサイバー犯罪の総コスト」では、英国、AU、日本、DE、米国がビックアップされていて、日本は真ん中の3番目でした。 他にも、「業種別の平均年間コスト」、「38ベンチマーク企業が経験したサイバー攻撃の種類」、「攻撃を解決するまでの平均日数」、「活動コストの比較

ターミナルを起動して下記のコマンドを実行する。 security dump-keychain -d ~/Library/Keychains/login.keychain 「”security”がキーチェーン”ログイン”を使おうとしています。キーチェーンのパスワードを入力して下さい」とパスワードを聞いてこない場合、あなたのコンピュータのすべてのパスワードは読み取り放題な状況になっています。他人に安易にPCを貸してはいけません。（このコマンドの実行を止めるには Control+c） この状況を改善するには、Spotlightなどで「keychain」と入れて「キーチェーンアクセス」を起動して、左上の錠前アイコンをロック状態にしておきましょう。 自動ロックを有効にする場合には、キーチェーンアクセスの「ログイン」を右クリックして設定変更を起動し、「操作しない状態がX分続いたらロック」や「スリープ時

GoogleやDropboxなどが次々と二要素認証に対応していますが、そろそろウチのsshも二要素認証対応にという方向けに。30秒の簡単導入です。 $ curl 'https://raw.github.com/authy/authy-ssh/master/authy-ssh' -o authy-ssh $ sudo bash authy-ssh install /usr/local/bin $ sudo /usr/local/bin/authy-ssh enable `whoami` $ authy-ssh test $ sudo service ssh restart AuthyというサービスのAPIを利用するみたいですね。このサービスがなくなったらどうなるんだろう…。 sshは公開鍵認証がいい気がする。あと、22/tcpではない違うポート番号で運用と。 Authy Blog! Awes

Intel Core2DuoのCPUキャッシュコントローラーの脆弱性を利用したリモートコード実行のPoCが公開されています。Core2Duo以外にもAtomでも動くそうです。 Intel Core2Duo cpu cache controller bug PoC | Inj3ct0r - exploit database : vulnerability : 0day : shellcode（テキストなのでコードは実行されません。） JavaScriptで動作するので、ブラウザで観ただけで死ねます。NoScriptなどによる防御が必須ですね。 ※fakeかも。HITB2008って書いてるし。

元ペンタゴンのアナリストによると、中国政府または人民解放軍が世界の通信の約80％にアクセスできるバックドアを持っていると伝えています。 中国企業のHuawei社とZTE社製品のネットワーク機器にバックドアがあるので、それらを使っているネットワークにはアクセスが可能だとか。世界145カ国トップ50のテレコムセンターのうち45にアクセスできるそうです。 Former Pentagon analyst: China has backdoors to 80% of telecoms | ZDNet どこまで本当かわかりませんが、ありそうな話ですね。

F-Secureの研究者がコロンビア交通のWebサイトで、Windows、MacOS、Linuxなどマルチプラットフォームで動作するバックドアを発見しました。 バックドアは署名されたJavaのJARファイルを使って、ユーザーの端末がどのOSかを判定して、プラットフォームに適した追加ファイルをダウンロードしてくるとのことです。 なお、すでにF-SecureではC&Cサーバーなどについては当局に届出済みだそうです。 当局ってどこだろう？ Multi-platform Backdoor Lurks in Colombian Transport Site - F-Secure Weblog : News from the Lab

フランスのexploit販売会社のVupenによると、ターゲットの制御を得ることができるようなゼロデイ攻撃の価格は下記のようになっているとのこと。 Adobe Reader $5,000-$30,000 Mac OSX $20,000-$50,000 Android $30,000-$60,000 Flash,Java Plugin $40,000-$100,000 MS Word $50,000-$100,000 Windows $60,000-$120,000 Firefox, Safari $60,000-$150,000 Chrome, IE $80,000-$200,000 iOS $100,000-$250,000 iOSが一番高いんですね。それだけ脆弱性が少ないのか、需要がないのか。 Shopping For Zero-Days: A Price List For Hacke

「md5crypt() でパスワードを守るのはもう安全じゃないよ」と、作者のPoul-Henning Kamp氏が声明を出しています。 md5cryptパスワードスクランブラーは、1995年に作成されて、当時は十分に強力な保護機能を発揮していましたが、もはや現在は十分ではないので、他のパスワードスクランブラーに移行してくれと懇願しています。 最後に「And thanks for using my code.（私のコードを使ってくれてありがとう。）」って言ってます。作者自身は新しいのは作らないから、SHA-2的な何かがいいんじゃない？ってぐらいで特に具体的なものは示されていませんが、皆さん他のに移行しましょう。 Md5crypt Password scrambler is no longer considered safe by author ― PHKs Bikeshed イラストがdan

Nmap の新バージョン Nmap 6 がリリースされました。メジャーバージョンアップで改善された6つのポイントは下記の通りです。 NSE (Nmap Scripting Engine) の機能強化 スクリプトがNmap 5 の59個に比べて、6 は348個と大幅に増えています。 Webスキャニング機能強化 より効率の良いWebスパイダーやブルートフォース認証クラック、SSL、HTTPパイプライン、キャッシュなど、Web時代に合わせた進化だそうです。 Full IPv6 サポート IPv6 をフルサポートしました。 パケットジェネレーター Nping 搭載 Nping というさまざまなプロトコルに対応したパケットジェネレーターが搭載されました。ヘッダーの上書きやレスポンス分析などの機能があります。 Zenmap GUI の機能強化 GUI画面と結果表示の改善が行われています。 スキャン速度

古くからあり、未だに絶えることのないパスワード攻撃ですが、それでもユーザーが強いパスワードを作って、それを使ってくれることは期待できません。 Googleは長期的にはOpenIDを広めたいようですが、それが叶うのはまだ先の話だということで、Chromeブラウザーの新機能として開発中なのが、パスワードジェネレーターです。passwordフォームに小さなUIを追加して、クリックするとパスワード候補を提案してくれるというものです。 強いパスワードが使われる一手になるといいですね。とは思いますが、提案されたパスワードが難しすぎたら、ユーザーは簡単なパスワードを付けそうだけど…。 Password Generation - The Chromium Projects

NSA（国家安全保障局）は、Android Security Enhanced (SE)の最初のバージョンをリリースしました。 このシステムはAndroidのセキュリティホールの影響を最小限に抑えるように設計されたシステムで、Androidの中でSELinuxが使えるそうです。SELinuxがAndroidに与える効果として、デーモンの特権を封じ込めたり、アプリケーションの特権昇格を防いだりできるとのこと。 Security Enhanced (SE) Android Released by National Security Agency (NSA) | The Hacker News (THN) このSE Androidプロジェクトの範囲はSELinuxに制限されず、Androidのセキュリティを向上することが目的だそうです。今後の展開も期待したいですね。

任意のURLにリダイレクトできるオープンリダイレクタの状態になっていたようです。一見、GoogleなどのURLに見えますが、攻撃者が指定したサイトに自動的に遷移してしまいます。 Google https://accounts.google.com/o/oauth2/auth?redirect_uri=http://www.something.comOAuthのリダイレクトURIを悪用されているようです。まだ動作しますね。 Facebook http://www.facebook.com/l.php?h=5AQH8ROsPAQEOTSTw7sgoW1LhviRUBr6iFCcj4C8YmUcC8A&u=www.something.comこちらはFacebookの。こちらは警告と確認の画面が表示されます。 URL redirection Vulnerability in Google & Fa

元日の読売1面記事になった割には、国内でもあまり騒がれていない防衛省の対サイバー兵器のニュース（防衛省が対サイバー兵器、攻撃を逆探知し無力化 : 社会 : YOMIURI ONLINE（読売新聞））ですが、海外の反応も地味なものです。 The Hacker News (THN)が「富士通が”seek and destroy”なサイバー戦用のウイルスを開発しているぞ」と、ちょっと取り上げているぐらいでしょうか。THNの記事には「日本の法律はコンピュータウイルスの製造を禁止しているのが障害」とか書かれていますが、それより問題は攻撃が武力攻撃に当たるかどうかなどではないでしょうか。 Japan developing cyber weapons for Counter Attacks | The Hacker News (THN) 何でしょう、半笑いなんですかね。カウンターアタック？政府委託の3年

ISC(Internet Storm Center)のレポートによると、lilupophilupop.comへのリンクを埋め込むSQLインジェクション攻撃の被害がおよそ100万サイトで確認されています。 攻撃されると以下の文字列を挿入されているのが確認できるとのこと。 "> "></title><script src="http://lilupophilupop.com/sl.php"></script> - Google 検索 いま検索すると、約 946,000 件とでますね。中にはGoogle検索結果に”このサイトはコンピュータに損害を与える可能性があります。”とでるものも。 自分の関係するサイトが被害を受けていないか、検索キーワードに"site:ドメイン名"を加えるなどして確認してみて下さい。 ドメインごとの被害状況は以下の通りです。 UK - 56,300 NL - 123,000