前回に引き続き、UTF-7によるクロスサイトスクリプティング（XSS）について説明していきます。 UTF-7によるXSSは、攻撃対象のコンテンツの文字エンコーディングが不明瞭な場合に、そのコンテンツを被害者のブラウザ（Internet Explorer）で開いたときに、そのコンテンツの文字エンコーディングがUTF-7であるとIEに誤認させ、「⁠+ADw-script+AD4-」のようなUTF-7の文字列が有効なHTML要素として認識されるために発生します。 そして、「⁠文字エンコーディングが不明瞭」な具体的な状況として、以下のような条件のいずれかに該当するということを前回説明しました。 レスポンスヘッダ、meta要素のどちらでもcharsetが指定されていない charsetにIEが解釈できないエンコーディング名が指定されている meta要素でcharsetを指定しているときに、meta要

よくある意見として、「何でこんなことも知らないのか」「勉強不足」「開発者はもっとセキュリティに気をつけるべき」というのがあるけど、何年も前からそうやって言い続けているのに変わってこない現状を見るにつけ、もっと違うアプローチが必要な気がして仕方が無いわけです。 例えばフレームワークとか、そういうものが良いんじゃね？と言っているのは、実装しなければいけないセキュリティの中にも、人が覚えて工夫して実装する必要があるものと、環境やソフトウエアがサポートできるものがあると思うからなんだよねー。Webアプリ方面で言えばエスケープなんてもっと機械化できそうだし、その一方でセッション管理は機械化するには複雑っぽいし、その他方面ではバッファオーバーフローとかは機械的に防御する手立てがけっこうありそうだしね。セキュリティってひとくくりで言われて、すべてかゼロか的な言い方されることが多いけど、機械的に対策できる

オランダ・アムステルダム（Amsterdam）のプリンセングラヒト（Prinsengracht）で、自動車に搭載された、グーグルのストリートビュー用の写真を撮影する特殊なカメラ（2009年3月19日撮影、資料写真）。(c)AFP/ANP/UNITED PHOTOS/TOUSSAINT KLUITERS 【4月4日 AFP】英国・イングランド南部の村で1日、住民らが「泥棒に悪用される」として、米インターネット検索大手グーグル（Google）の「ストリートビュー（Street View）」用の写真を撮影していた自動車を阻止した。メディアが3日伝えた。 インクランド南部バッキンガムシャー（Buckinghamshire）州Broughtonの住民の1人、ポール・ジェイコブス（Paul Jacobs）さんは、英国放送協会（BBC）に対し、家の窓からグーグルの写真撮影車両が見えたので、近隣住民らに知

Microsoft Office PowerPointに未パッチの脆弱性が見つかった問題で、セキュリティ企業のMcAfeeやTrend Microは、この脆弱性を悪用した不正ファイルが複数出回っていると伝えた。 Microsoftのアドバイザリーによると、脆弱性はPowerPoint 2000 SP3、PowerPoint 2002 SP3、PowerPoint 2003 SP3およびOffice 2004 for Macに存在する。なお、PowerPoint 2007／SP1やPowerPoint Viewer 2003／2007、Office 2008 for Macなどは影響を受けない。 McAfeeやTrend Microによれば、不正ファイルはスパムメールの添付ファイルなどの形で出回っている。「.ppt」や「.pps」の拡張子が付いており、PowerPointのプレゼンテーション

岡田斗司夫のmixi退会が話題になっている。経緯についてはmixiのコメントを含む各社の報道や本人のBlogで確認して頂くとして、今回問題にしたいのはセキュリティに不備があったかどうかというような技術面ではなく、ユーザ対応について。 以前、私のハンドルやIDを騙っての荒らし行為についてgooと遣り取りした時にも感じたことなのだが、運営が保身に終始してユーザの立場に歩み寄る気がない、というのは交渉当事者として非常に苛立ちを憶える状態である。最終的な答えが「ウチとしてはこれ以上どうしようもない」であるとしても、その結論に至るまでの経緯が、最初から「アンタ個人の話で、ウチは知らんよ」だと腹も立とうというものだ。 少なくともmixiの件に関して言えば、本人の端末からのアクセスかどうかぐらいは調べようがある筈だ。まさかアクセス時のIPアドレスや(携帯なら)端末固IDも記録していないとは思えない、とい

新入社員向けのPCセキュリティ７カ条を、改めて「おさらい」しながら、反対側から攻めてみる！って単発な企画をしてみます(笑) 国内では多くの企業が新年度を迎え、入社式も開催される。新社会人を狙って、「新生活応援キャンペーン実施中！」というスパムが3月31日に配信されたこともあるため、同社では新社会人が留意すべき7つのPCセキュリティ対策を挙げている。 必ずデータのバックアップをする――重要なデータは暗号化しておくといい ウイルス被害は自分だけではなく、会社や学校、バイト先にも影響を与える――この機会にPCのウイルス検査を実施すべし USBメモリや外付HDDからのウイルス感染が増加――忘れずにウイルス検査をすべし 無線LANの使用には暗号化を――WEPではなくWPAが使うべし スパムの添付ファイルや不正リンクに警戒を――電子メールを利用する機会が増えるだけに要注意 ネット通販やオンラインバンキ

「mixiはハッキングされているのか」で書いた、「某ダイエット等で有名な方」とは、岡田斗司夫さんのことでした。SNS内のことなので一応名前は伏せていましたが、もうニュースとして報道されてしまいました。しかもクローズドなSNS内の日記をスクリーンショット付きで。 ねとらぼ：岡田斗司夫さん「プロフィールを改ざんされた」とmixi退会 - ITmedia News 岡田さんが怒っていたのは、改ざんされてしまうこと自体ではなく、mixiの対応の仕方についてでした。 有料会員からの問い合わせに対して、 「原因はわかりません」 「調べようもありません」 は、ちょっとひどい対応です。 改ざん時の対処マニュアルくらいは用意しておかないといけない問題です。 「mixiはハッキングされているのか」のあとに、はてな匿名ダイアリーにも、原因として考えられるものがあげられていました。 1. 直にパソコンに触れる方（

被害者が不正アクセスを疑っている事案で、サポート窓口が「原因はわかりません」「調べようもありません」と回答するのは奇妙なことだ。だいたい「不正アクセスなどの痕跡はなく」の根拠が分からないし「当社からのIDやパスワードの流出はない」としてもヤフオク詐欺のようなID詐取事案は報告されている。 Web系サービスがこういった問い合わせを受けた場合、サポートは警察に被害届を出してもらい、改竄する作業を行ったログイン元IPアドレスを開示し、ISPに対してアクセス元IPアドレスの利用者の開示請求するための手続きを案内すべきなのに。最初に被害届を出して警察とアプローチしていれば対応も違っていたのだろうか。フィルタリングの普及より、犯罪被害に遭った時の適切な措置を啓発することの方が重要ではないか。そこまでするのは面倒で時間もかかり、モタモタしているうちにログが消されてしまっている場合もある。まぁ銀行のように

Webの巡回をしていたら社内SNSで「友達まで」という公開範囲を設定していた記事を情報システム部門に予めの断りなく検閲されて上司の部長や課長経由で削除命令が来たというブログの記事をみつけた。 これはちょっと酷い話である。確かに社内SNSは会社の資産で運営されるものであり会社がそれを管理する権限を持っているのは確かである。メールと同様検閲や強制削除の権限を会社側が保有し行使することは当然だ。但し、それは無制限ではなくプライバシー権その他一般的な道義に準じるべきだ。 冒頭に紹介したブログの人の会社側（？）および周りの反応は「社内システムなんだから監視されてて当たり前、書くのが悪い」という意見が多く、無断で検閲するのは当然という感じで書いた人が批判されたということだが、これはおかしい。何がおかしいかというと、検閲することを明記していないことに加え検閲結果を本人ではなく勝手に他人（それも人事評価や

茨城大学工学部（所在地：茨城県日立市）米倉 達広教授の研究グループと株式会社ケーシーエス（本社：茨城県水戸市、代表取締役社長：金澤 博之）は、Webページに記載されている文書（Web文書）の内容を存在証明することが可能なWeb APIを共同開発し、公開しました。 Webページの存在証明サービスとは、Web文書が存在証明することを可能とするシステムで、2008年1月にWebサイト上のサービスとして発表し、多くの方々からご利用頂きました。 今回、このサービスのWeb APIを開発することにより、この機構のWebページへの埋め込みを可能としました。 具体的には、存在証明したいWebページのURLを登録すると、この機構を利用するURLが発行されます。このURLを対象のWebページへリンク形式で貼り付けることで、希望するWebページへ存在証明サービスの機能を埋め込むことができます。 Webページ閲覧

筑波大学は、仮想化によって高セキュリティ環境を構築する仮想マシンモニタ（VMM）ソフトの最新版「BitVisor 1.0」を2009年3月31日公開した。同ソフトを開発する「セキュアVMプロジェクト」のWebサイトからソースコードをダウンロードできる。ライセンスは修正BSD。 OSから独立した形で強力なセキュリティ機能を実装した純国産のハイパーバイザー型仮想ソフト。ストレージやネットワークの暗号化、ID管理などの機能を仮想マシン上に搭載して、クライアントPCの盗難・紛失、ウイルス感染などによる情報漏えいを防止する。 最小限必要なI/Oだけを監視・仮想化し、それ以外のI/Oはハードウェアに透過的にアクセス可能にする「準パススルー型アーキテクチャ」を採用。コアを大幅に軽量化して、オーバーヘッドを軽減している。昨年3月に開発初期版を公開し、改良を進めていた。 最新版ではATAPI規格およびEHC

Webサイトから個人情報が盗まれたり，Webページを改竄（かいざん）される事件が後を絶たない。2008年には，サウンドハウスやナチュラムなどのECサイトから個人情報が漏れたり，ゴルフダイジェスト・オンラインのWebサイトが改竄されたりした。いずれもWebアプリケーションの脆弱（ぜいじゃく）性を突く「SQLインジェクション」という攻撃が使われた。 これだけ事件が続くのは，Webアプリケーションの脆弱性を根絶することが極めて困難だからだ。常に機能を拡張したり，改良したりしているWebサイトでは，どうしても対応漏れが発生しやすい。そうしたWebアプリケーションの脆弱性を外側からふさいでくれるのが，WAF（Web Application Firewall）である。 今回，そのWAFが実際のSQLインジェクションの攻撃をどれだけ防げるのか，主要な5製品を使って徹底検証した。WAFが防いでくれる脆弱性