※タイトルはSNS等における自動リンクによるリンク拡散を避けるためにperl​.​comの表記を避けています ※本文のperl​.​comの表記には各種ツール引用後の自動リンク防止のため、ドット前後にUnicodeゼロ幅スペースを入れています 2021/02/03 09:20 JST: 各種CPANクライアントの安全性について誤解を招いているケースが見受けられたので表現を改めました 2021/02/06 22:00 JST: 公式情報が更新されました。ドメイン perl​.​com の奪還に成功し権威DNSは正しいアドレスを返すようになっています。しかし、いわゆるDNS浸透問題によって一部適切に新しいアドレスを返していないDNSキャッシュサーバーが存在するかもしれません。よって、利用する方は注意して利用してください。 正しいアドレスは 151.101.*.*/16 のものです。違うアドレス

オークションサイトで自作自演の取引を行い、電子決済アプリ「ペイペイ」のポイントを不正に現金化したとして、警視庁サイバー犯罪対策課は8日までに、電子計算機使用詐欺の疑いで埼玉県草加市松原の会社役員、小田富士男容疑者（49）ら男女3人を逮捕した。昨年6月から現金化を繰り返し、被害は約2千万円に上るとみて調べている。 同課によると、3人は携帯電話の通話に必要なSIMカードを約4万枚用意し、ペイペイのアカウントを大量に作成。新規登録者に与えられる500円相当のポイントを集めていた。アカウントを1人で複数作ることは利用規約で禁止されている。 オークションサイトではペイペイのポイントで落札金を支払える一方、売上金を現金でも受け取れる。3人は所持していないトレーディングカードの写真をサイトに掲載するなどして出品を装い、ポイントを使い自ら落札する架空取引を約4万回繰り返し、サイト運営者から売上金を振り込ま

概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す

セブン＆アイ・ホールディングスが7月1日に開始したスマホ決済サービス「7pay（セブンペイ）」で不正アクセス被害が発生した。SNS上で「30万円を不正利用された」「19万円を不正にチャージされて使われた」などの被害が相次いで報告され、セブン＆アイは7月3日にクレジットカードとデビットカードからの入金手続き停止を発表。7月4日には全ての入金手続きを止めた。セブン＆アイの発表によると、7月4日の午前6時時点の試算で被害者は約900人、被害額は約5500万円に上る。 4日に会見したセブン＆アイ傘下のセブン・ペイの小林強社長は「詳細な原因を調査中」と話した。だが、原因の一つとしてセブン-イレブン・ジャパンのアプリ「セブン-イレブンアプリ」が使っていた会員システム「7iD」のお粗末ともいえる仕様が考えられる。 セブンペイはこれまでもあったセブン-イレブンアプリに決済機能として組み込まれた。セブン-イ

あなたのシステムはきちんと動いていると言えますか？　本書は、システムのどの部分をどのように監視すべきか、また監視をどのように改善していくべきかについて解説する書籍です。 前半で監視のベストプラクティス、デザインパターン／アンチパターンを示して、監視の基本原則を詳しく説明し、後半でフロントエンド、アプリケーション、サーバ、ネットワーク、セキュリティの各テーマで強力な監視の基盤を設計して実装するための方法を示します。 監視対象が変化し、システムアーキテクチャが進化する中で、従来から変わらない監視の基本を示しながら、時代に合った監視の実践を解説する本書は、監視についての理解を深めたいエンジニア必携の一冊です。日本語版では、松木雅幸（@songmu）氏による監視SaaSの導入や活用方法を付録として収録しています。 正誤表 ここで紹介する正誤表には、書籍発行後に気づいた誤植や更新された情報を掲載して

まとめ 「国税クレジットカードお支払サイト」は誰が運営するサイトなのか 「利用者は、自分（納税者）がトヨタファイナンスに納付を委託するのだということをちゃんと理解した方がよい」というお話。 249036 pv 803 391 users 832

Mozillaの開発者だったロバート・オカラハン氏がブログで、「ウィルス対策ソフトはひどい。Microsoft純正のもの以外はインストールするべきではない」と述べています。どうやら、ウイルス対策ソフトはブラウザ開発者にとって大きな障害になっているようです。 Eyes Above The Waves: Disable Your Antivirus Software (Except Microsoft's) http://robert.ocallahan.org/2017/01/disable-your-antivirus-software-except.html オカラハン氏は、多くのウイルス対策ソフトについて「ウイルス対策ソフトでセキュリティが向上するという証拠はほとんどない」とブログで明言しています。GoogleのProject Zeroがウイルス対策ソフト・ノートンに25個のバグがある

8万超フォロワーの匿名アカウント・たらればさん @tarareba722 が教えるツイッターの極意。フォロワーを増やすための心づかいとは？ | コルクのブログ 相手は匿名アカウント。「編集者」だということ以外は、年齢も、性別も、所属も、もちろん本名もさっぱりわかりません。 でもそこで引き下がらない佐渡島さん。 たらればさんのツイートを分析し、目星をつけ、知り合いの編集者に「御社に『たられば』さんはいませんか？」と連絡をしました。 当初は「うちにそんなSNSが得意な人間がいるわけない」と一笑に付されたそうですが、「いいえ、そんなことはありません。間違いなく近くにいるはずです」と説得。鬼か。 そしてついに「うちの部下に、それらしき人間がいます」と、見事に特定。鬼だった。 この時点でクソなんだが、その後のツイートのほうがもっとクソだった。 あまり詳しく言うと推測できてしまうので、ぼんやりした言い

yapcjapan2016_lt.md 5分でわかる Perl and web security ma.la CSRFとかXSSとか CSRF: フレームワークの機能使って下さい XSS: Xslateとか自動エスケープして下さい、jsの動的生成はするな 終わり 本題 YAPCなのでPerl固有の問題について解説します。 Webアプリケーションの一般的な流れ パラメータ受け取る(フォームとかJSONとか) 何らかの処理をする レスポンスを返す(HTMLとかJSONとか) フォームやJSONを安全に受け取るには paramはscalarで受け取りましょう Why $params = { name => $r->param("name"), value => $r->param("value"), } これをやると ?name=hoge&name=fuga で壊せる。 list context

いろんな仕事をこなす「ゼネラリスト」は目立てない？ サイバーエージェント2年目社員の悩みにUUUM創業者が喝

アメリカ人のNullさん、名前のせいでウェブサイトに登録できない事案が発生2016.03.30 16:3527,268 渡邊徹則 だから本名だって言ってるのに！ アメリカはバージニア州に住む、一人の女性。旅行サイトでチケットの予約を試みたところ、何度やってもエラーになってしまうそう。そのエラーは決まって｢お名前は必須項目です｣というものなんです。 でも、毎回きちんと入力しているんですよ。｢Jennifer Null｣と。 Jennifer Nullさんが航空券を予約しようとすると、ほとんどのサイトでエラーとなってしまいます。彼女は仕方なく電話で予約をし、それは何の問題もなく完了したそうです。 そこで彼女は｢なぜ私はサイトが使えないのですか？｣と聞いたところ、｢申し訳ございません。しかし、どうしようもありません｣という回答しかもらえなかったとのこと。 実は｢null｣というのは、コンピュータ

インターネットの爆発的な広がりに合わせてセキュリティ上の問題に注目が集まるようになっています。2010年頃にはFiresheepが広まり、公衆無線LANなどにつないだPCの通信を簡単にモニタリングできてしまう行為が問題になりました。また、昨今のプライバシーに対する懸念から、多くのサイトではHTTPSをデフォルトにするようになっています。 そんな流れもあって現在開発が進められているのがLet's Encryptです。誰でも無料で使えるSSL/TLS証明書発行サービスとなっています。先日、ついにパブリックβになり、誰でもすぐに使えるようになりました。そこで今回はLet's Encryptを使ったサイトのSSL/TLS化手順について紹介します。 なお、執筆時点ではApacheについてはプラグインが提供されていますが、nginx向けは開発中とのことです。ただし手作業で行う分にはnginxでも利用で

用途にもよりますが、通信の暗号化を目的とするのであれば、ドメイン認証型で十分です。例えば HTTP/2 でWEBサーバを動かすには、事実上SSL/TLSが必須になりますので、そういった用途でも普及しそうですね。 Let's Encrypt の証明書取得方法 Let's Encrypt クライアントソフト(コマンド)をインストールして、証明書取得用のコマンドを打つだけです。 冒頭にも書きましたが、Let's Encrypt での証明書取得の手続きは、他の認証局のものと大きく異なります。Let's Encrypt のサイトに行って「CSRを送信する申請フォームはどこだろう？」と探したのは、私だけではないはずです(^^;) 参考までに、一般的なドメイン認証型の証明書発行の流れは、以下の通りです。 (1) 秘密鍵を作成 (2) 秘密鍵を元に、CSR（証明書を発行するための署名要求）を生成 (3)

「LINEヤフーDesign 公式note」 LINEヤフー株式会社のデザインに関連するさまざまな情報を発信するLINEヤフーDesign 公式noteです。

本稿はCodeZineに2015年12月28日に掲載された記事の再掲となります。 クロスサイトスクリプティング(XSS)は、古くから存在し開発者にもっともよく知られたセキュリティ上の問題のひとつでありながら、OWASP Top 10でも2010年に引き続き2013年でも3位と、未だに根絶できていない脆弱性です。 本記事では、Webアプリケーションの開発においてXSSを根絶するために必要な対策の基本を本気でお伝えします。 はじめに OWASPでは開発者に向けたセキュリティ対策のためのドキュメントやチートシートを多数用意しており、XSSへの対策としても「XSS (Cross Site Scripting) Prevention Cheat Sheet」というドキュメントが用意されています。 ただし、このXSS Prevention Cheat Sheetはシンプルなルールを定めたチートシートで