printenv at xss-quiz.int21h.jp Your IP address: 133.242.243.6 () NameValue HTTP_ACCEPT*/* HTTP_CACHE_CONTROLno-cache HTTP_CONNECTIONclose HTTP_HOSTxss-quiz.int21h.jp HTTP_USER_AGENTHatenaBookmark/4.0 (Hatena::Bookmark; Analyzer) QUERY_STRING REMOTE_ADDR133.242.243.6 REQUEST_METHODGET REQUEST_SCHEMEhttp REQUEST_URI/

「TOMOYO Linux」は、NTTデータが開発し、オープンソースとして公開しているセキュリティを強化したLinuxです。たまにディストリビューションだと思われている方がありますが、その実体はLinuxカーネルにセキュリティを強化するための機能を加えるパッチおよびツール群です。最新のカーネルである2.6だけでなく、組み込み系を中心に現在も利用されている2.4にも対応しています。 プロジェクトでは利用者が簡単に導入できるようにするため、Red HatやDebian、SUSEなど、主要なディストリビューション用にコンパイル済みのパッケージを作成し、以下のURLにて公開しています。対応済みのディストリビューションであればコンパイル作業なしで、10分程度で導入できます。 「セキュリティを強化したLinux」は、簡単にいうとあらかじめ定義した以外の機能の実行を許さないようにしたLinuxということ

本家/.の記事より。AOL.comでは最大16文字のパスワードを設定できることになっていた。ところがワシントン・ポストのSecurity Fixブログの記事によると、ユーザは確かに16文字までパスワードを入力できるものの、システム側はなんと最初の8文字しか読まないらしいことが判明したらしい。すなわち、パスワードをpassword123やpassword456と設定していても、結局パスワードとしてpasswordを使っているのと同じことになってしまうのだ。

■ 銀行のフィッシング解説がなかなか正しくならない みずほ銀行のトップページを訪れたところ、2月26日付けで「セキュリティガイド（4コマ漫画）を掲載いたしました」というお知らせが出ていた。見に行ってみると、「インターネットバンキング編」という解説があり、「 「フィッシング詐欺」に遭わないためには？」というページがあった。この出来が非常に悪く問題がある。 まず酷いのが、「電子メールが本物かどうかは、送信元アドレスで確認できます。」という完全に誤った解説だ。 「……@mizuhobank.co.jp」というメールアドレスを From: に書いてメールを送ることは誰にでも可能なわけだが、そんなことさえ知らないド素人に、こんな大事な解説の原稿を書かせる神経が理解できない。セキュリティ専門のコンサルに一読してもらうだけで防げるレベルのミスなのに、なぜそれをしないのか。 URLの確認方法として、「UR

カーネギーメロン大学セキュリティ・ワークショップ 「情報セキュリティのためのリバースエンジニアリング」 ハードウェアやソフトウェア内部の仕組みなどを解析するリバースエンジニアリング技術は、情報セキュリティ分野において脆弱性解析、マルウェアの解析、プログラムの不適切なふるまいの検証などにおいて重要な役割を果たしています。一方で同じ技術が著作権保護の回避や競合製品の解析などの目的に使用され問題を引き起こすこともあります。 本ワークショップではこれまで語られることの少なかった重要な技術「リバースエンジニアリング」に焦点をあて、その技術と応用、法的社会的な課題等様々な観点から分析し、今後の技術向上、普及、活用、利用のあり方についてオープンな議論を行いました。

We're sorry, but this server is temporarily unavailable. Please try again soon.

今回も前回に引き続き、フィッシングの話題です。 ■アンチフィッシングツールの検知能力、米大学が比較実験 最近ではWebブラウザに「アンチフィッシング」機能を追加するアドオンや、ブラウザ自体にその機能があるものが増えてきています。読者の皆さんの中にも既にご利用になられている方もいるかと思いますが、では、数多く存在するアンチフィッシング機能を提供するツール （以降「アンチフィッシングツール」と表記） の中でどれが最も「性能」が良いのでしょうか？ 今回は、カーネギーメロン大学から2006年11月に公開された、アンチフィッシングツールの性能比較を行なった実験に関する論文「Phinding Phish: An Evaluation of Anti-Phishing Toolbars」を紹介したいと思います。この論文ではアンチフィッシングツールのうち、広く使われている以下の10種類について、フィッシン

新年あけましておめでとうございます。今年も本連載のご愛顧のほど、よろしくお願い致します。ところで皆さんはどのようなお正月を過ごされましたか？　今年はQuickTimeの未修整の脆弱性を使った攻撃手法（コンセプト）が公開されるなど、うれしくない話題で落ち着かなかった方もいらっしゃるかと思いますが、私も原稿執筆に「追われる」という意味では同じく落ち着かない日々でした（苦笑）。さて、今年最初の話題は、2006年を総括するところことから始めたいと思います。 ■2006年のセキュリティを語るキーワードは？ 日本における2006年のセキュリティを語るキーワードとしては、「Winny」およびそれに伴う「情報漏洩」が挙げられると思われますが、米国では何だったのでしょうか？ 2006年12月7日付で公開された「Computerworld」の記事で、2006年のセキュリティ関連の話題トップ5が紹介されています

Secunia アドバイザリによると、SUN Java ランタイムにリモートからシステムにアクセスできる脆弱性（SUN による発表）が報告されています。幅0ピクセルの攻略GIFファイルでヒープオーバフローを起こし、任意のコードが実行できるそうな。とはいえZERO DAY INITIATIVEによると、鴨となるユーザーが、攻略ファイルをしかけた悪意あるサイトを訪問する必要があるようです。脆弱性の緊急度は 5 段階の 4 (Highly critical)で、すでに Java 1.3/1.4/5.0 で対策バージョン(1.3.1_19/1.4.2_13/5.0 update 10)が提供されています。

Googleを使って脆弱性のあるサーバを探す手法を「Google Hacking」と言いますが、その検索方法を大量に集めた 「Google Hacking Database (GHDB)」というサイトがあります。 そこでは様々な検索キーワードが紹介されています。 紹介されているものを、いくつかピックアップしてみました。 (ただし、多少古いです。) このような検索を行って脆弱性のあるサーバを探している人が世の中に結構いるみたいです。 サーバを運用している方はご注意下さい。 これらの情報は既に公開された情報なので、検索結果にはワザとこのような情報を流して侵入を試みる人を誘い込もうとしているハニーポットが含まれている可能性もあります。 秘密鍵を探す 秘密鍵は公開鍵と違って秘密にするものなので発見できてしまうのは非常にまずいです。 BEGIN (CERTIFICATE|DSA|RSA) filet