インターネットで可能性をつなげる、ひろげる 私たちは、ひとりひとりが持つ力や可能性をひろげるために、インターネットと表現の可能性を追求しながらサービスを運営していくこと、 そして新しいものを生み出していくことでいろんな人たちがインターネットで可能性を開花し、活躍できるための環境を創造していきます。 企業情報

2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ

問題のスパムは、ブランド品通販サイトのURLや商品画像を、ほかのアカウントにあてた「@」付きで投稿するもの。アカウントの持ち主が意図したものではなく、スパム業者がアカウントを乗っ取って投稿しているようだ。誘導先の通販サイトでは、ブランド品が極端な低価格で販売されており、偽ブランド品や詐欺サイトの可能性もある。 最近目立っているのは、「レイバンのサングラスファッション特価特典として、2499円! 今日限り」など宣伝するスパムツイート。3月6日現在、Twitterで「レイバン」を検索すると大量にヒットする状態で、芸人のぜんじろうさんも被害にあい、5日、「スパム送信、、、失礼いたしました。。。」と謝罪している。 Twitterでは不正な連携アプリによるスパムツイートが流行することが多いが、今回のケースは、他社などから流出したパスワードリストを悪用し、多数のアカウントに不正ログインするリスト型攻撃

ソニーはパスワード数千個を｢パスワード｣というフォルダに保管していた2014.12.05 12:305,685 satomi それはあまりにも当たり前の場所だった。 北朝鮮（？）のハックで、社員6800人の給与がリークし年収1億円超えの経営陣が白人男性ばっかり（9割弱）なことが判明したソニー・ピクチャーズ・エンターテイメント。 ITの中の人かわいそうに…今ごろ死んでるだろうな…と心底同情していたら、こんなものが出てきました。 大事なパスワード保管庫の名前が｢Password｣って…壁に何発か頭ぶつけてよしだよ！ どうりで昨日第2弾のデータの山がリークされたら、あっという間にBuzzfeedがFacebook、MySpace、YouTube、Twitterの｢映画大作の公式アカウントのユーザー名とパスワード｣を探し当ててしまったわけですよ。仕事早いと思ったらなんのことはない。｢Passwor

問題の概要 Pixivの主催する同人誌委託・通販・DL販売サイト「Booth」 https://booth.pm/ で 2014年11月28～30日限定の同人音楽専門ネットイベント「Apollo」 https://booth.pm/apollo/ が 開催されているまさにその最中の29日18時頃、 「気付いたら自分のアカウントじゃないアカウントにログインできている」 「アカウント情報見たら他人のだった」 「カートに入れてたものが消えた」 「カートに入れた覚えのないCDが入ってる」 「買った覚えのないCDのカード決済通知が来た」 「アカウント見たら知らない人のカード情報が見れてしまった」 などの不具合がtwitterでつぶやかれるようになり、 その後すぐにBoothもApolloもメンテに入りました。 pixiv(Booth)の対応 pixiv(Booth)のその後の発表では、 Apollo

フロントエンド開発のためのセキュリティ 第1回 XSSの傾向と対策 本シリーズではフロントエンドの開発に関係するセキュリティについて、理解を深めます。第1回目はXSS（クロスサイトスクリプティング）です。実装失敗例を挙げつつ、対策のポイントを解説します。 セキュリティはサーバーサイドの問題？ セキュリティに関わるミスは「知らなかった」ではすまされない場合が、往々にしてあります。 ちょっとしたミスでプログラムにバグを作ってしまい、サービスが一部動かなくなったとしても程度にもよりますが、すぐに修正すれば一部のユーザーに少し不便をかけてしまう程度ですむでしょう*。 *注：サービス運営 この記事ではセキュリティの技術的な側面を扱います。ユーザーに不便をかけてしまったことに対するサービス提供側の倫理的問題についてはそのつど言及はしませんが、これらの側面を軽視すべきでないことはいうまでもありません。

このブログを読んでいる人なら Google や AWS の 2 段階認証（マルチファクタ認証）を有効にしていると思います。もしパスワードが漏れてしまってもワンタイムパスワードを入力しないと認証されないので安心です。 有名どころのサービスでは使えるところが増えてきましたが、2 段階認証を有効にしていれば万全なのでしょうか。エンジニアである以上、その仕組みを理解したうえで自信を持って安全と言いたいところ。 というわけで、2 段階認証は本当に安全なのか仕様を紐解きながら調べてみました。 ワンタイムパスワードの仕様 ワンタイムパスワードを生成する仕様は HOTP と TOTP の 2 つがあり、RFC の仕様になっています（TOTP はドラフト段階）。 HOTP (HMAC-Based One-Time Password Algorithm) TOTP (Time-Based One-Time P

OS X YosemiteのSpotlightがAppleやMicrosoft（Bing）へ検索データを送らないようにする方法のまとめです。詳細は以下から。 OS X Yosemiteの新機能にSpotlightで検索したワードをインターネット検索（Bing）やApp Store、iTunes Storeを使用して関連が深いサイトやアプリを候補としてあげる”Spotlight Suggestions”機能が追加されましたが、これを止める方法をセキュリティ研究者のGraham Cluleyさんが掲載しています。 Appleはこの事をシステム環境設定.appの[Spotlight] > [Spotlightの検索候補とプライバシーについて]に記載しており、これが嫌な方は以下の設定で情報送信を止めることができるそうです。 Spotlight を使用すると、実行した検索クエリー、選択した Spot

DDoS（分散型サービス拒否）攻撃を受けてサービスを一時停止しているセガのオンラインRPG「ファンタシースターオンライン2」（PSO2）が、攻撃開始から4日たった6月23日になってもアタックがやまず、再開できない状態になっている。25日に予定していたアップデートは延期するという。 運営チームによると、DDoS攻撃は6月19日に始まり、同日夜にゲームサーバを一時停止。公式サイトも攻撃を受けたため停止した。現在、「アークスキャッシュ」の購入とPC／PS Vita版へのログイン、スマートフォン版「PSO2es」へのログインを停止。公式サイトも停止したままだ。 23日午後2時の告知によると、現在もDDoS攻撃は継続中。「攻撃の規模が極めて大きく」、有効な対策を実施できておらず、正常なサービスが提供できる状況ではないという。開発の最終確認作業も中断しているため、25日に予定していた2周年記念アップデ

サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。

月刊FACTA7月号で、LINEが韓国の国家情報院に通信傍受されているとする記事が掲載された。これに対してLINEの森川亮社長が「国際基準を満たした最高レベルの暗号技術を使って通信されていますので、記事に書かれている傍受は実行上不可能です」と反論、さらにFACTAの阿部編集長が「それが破られているというのが本誌の認識」と再反論している。その後LINEはITMediaの取材に対し「暗号化後データは独自形式、解読は不可能」と回答した。 LINEの開発者向けブログによるとLINEはサーバーとの通信に通常TLS/SPDYを使っているが、3G通信などで遅延が大きい場合には利用者の操作性を優先して暗号化せずに通信を行う場合があると書かれている。データセンターは日本にあるとのことなので、FACTAの記事にある韓国政府のサイバーセキュリティ関係者の発言が仮に事実であったとして、少なくとも韓国国内での遅延の

「PSO2」「PSO2 es」外部からのDDoS攻撃によりサービスを一時停止 編集部：aueki セガは，本日（2014年6月19日）同社がサービス中の「ファンタシースターオンライン2」（PC / PS Vita）および「ファンタシースターオンライン2 es」（iPhone / Android）で発生したネットワーク障害に対し，外部から大量のアクセスをサーバーに集中させるDDoS攻撃が行われていることを明らかにし，一時的にサービスを停止することを発表した。これは，ネットワーク障害のため，正常なサービスが行えないことが理由とされている。 不特定多数からの断続的なパケット送信が行われるDDoS攻撃は，発信元の特定が行いにくく，きわめて対応の難しいトラブルである。セガでは，現時点では状況改善の見込みが立たないため，サービス再開の時期については今後の情報を待ってほしいとしている。なお，この障害によ

はてなは6月20日、はてなアカウントが不正ログインを受けたと発表した。16日から160万回のログイン試行があり、2398アカウントが不正にログインされたという。流出したID・パスワードを使ったリスト型アカウントハッキングとみている。 19日にユーザーから「メールアドレスが変更されている」との問い合わせを受けて調査したところ、複数のアカウントが不正ログインを受けたことを確認。疑わしいIPアドレスからのアクセスを遮断した。 不正ログインされたアカウントのうち3件で、メールアドレスが変更された上、Amazonギフト券交換の申し込みが行われていたという。ギフト券交換はスタッフが目視で確認して手続きを行っているため、交換には至っていないという。この3件以外でメールアドレスが変更されたアカウントはなかったとしている。 それ以外のユーザーでも、不正ログインを受けたアカウントは（1）登録している氏名、郵便

はてなへのリスト型アカウントハッキングと思われる不正ログインについてのご報告と、パスワード変更のお願い 昨日6月19日（木）、はてなアカウントにおいて、ご登録ユーザーご本人以外の第三者による不正なログインが発生したことを確認しました。同日、疑わしいIPアドレスからのアクセスを遮断しました。このお知らせは本告知と並行して、全ユーザー様にも現在、メール送信しております。 前回告知した不正ログインと同様に、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された「リスト型アカウントハッキング（リスト型攻撃）」である可能性が高いと考えています。 参考資料：「リスト型アカウントハッキングによる不正ログインへの対応方策について」（総務省） http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000063.h