(Summary in English of this entry) Utilizing Yahoo! Site Explorer, it is possible for third parties to prevent your site by being displayed in search results. The reason is that the meta tag used for administrative rights confirmation is accepted even in the the page body even if it is html escaped. 3rd parties can gain control of your site simply by adding a comment to one of your pages. こんにちはこんに

はてなのログインについて、ユーザー名とパスワードをいちいち入力せずに、「指定したURL」を入力することで自動的にログインできるようなURLは見つけることはできますでしょうか？またどのような方法で見つけたかもぜひ教えてください。もちろんログイン画面の「次回から自動的にログイン」を使用しないことが前提です。

Intelチップの構造的欠陥を利用してローカル攻撃やリモート攻撃が可能であることを実演する講演が、今年10月にクアラルンプールで開催されるHITB（Hack In The Box）カンファレンスで行われるそうだ（Computer Worldの記事）。 JavaScriptやTCP/IPパケット攻撃、Javaなどを利用してこの脆弱性を突くことが可能で、講演ではJavaのよくある命令シーケンスを使ってJava Compilerを乗っ取るというデモも予定されている。この攻撃はOSにほとんど依存せず、デモはきちんとパッチがあてられたWindows XP、Vista、Windows Server 2003、Windows Server 2008、Linux及びBSDに対して行われるとのこと。なお、デモには含まれていないが、MacのIntelチップにも同様の脆弱性が存在する可能性があるとのこと（本家/

■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は

リスクの確率を正確に捉えれば、セキュリティの効果は計算できる。保険会社がビジネスとして成立しているように「セキュリティは数学的であり、現実的なものだ」とBT CounterpaneのCTOであるBruce Schneier氏は述べる。しかし、人々はしっかりと安全が確保された状態でも不安を感じたり、逆にセキュアではない状況でも安心することがある。リスクに対する心理的な反応、「感情もまたセキュリティの一部である」と指摘する。同氏のBlack Hat Brifingsの講演で、心理的な視点からセキュリティを考察した。 BT CounterpaneのCTOであるBruce Schneier氏 同氏はまず、リスクに対する脳の働きから説明し始めた。リスクの度合いを見極め、適切に対応していくのは、動物が生き残るために不可欠な能力である。そのため外部の事象に対して、恐れや怒りなどを感じ、それを行動につなげ

Easily make tweaks and changes to machines across your LAN (This includes pushing, and verifying the installation of the daylight saving patch)  VNC Navigator allows you to easily manage your VNC connections. Quickly connect to VNC Servers, and store passwords in an encrypted database A remote control solution designed for your LAN. No agents to install. Just type a computer name and cl

“Rootkit”ツールとは？ 過去に経験したCodeRedやSlammerといったいくつかのセキュリティ・トラブルは、コンピュータ・セキュリティの重要性について私たちに教えてくれるきっかけとなった。ウイルス・メールなど、セキュリティ上の脅威は極めて身近になったものの、前述したCodeRedやSlammerを始め、私たちがよく知っている過去の攻撃用プログラムは、システムをダウンさせたり、ウイルスをまき散らしたりと活動は派手だが、多くは遊び半分や自分の技術をひけらかすことを目的とした愉快犯的なもので、財産の窃取を目的としたプロの犯罪ではなかった。しかし今後は、会社の面目がつぶれるだけではすまなくなる。 「ピンポン・ダッシュ」的ないたずらでなく、企業活動を妨害するためのシステム破壊や、顧客情報や取引情報、財務情報などといった企業機密を窃取する攻撃者は、最大の効果と証拠隠滅とを同時に図るために、

水漏れやつまりは水道設備があれば避けることは難しいトラブルですが、症状を確認した際に軽度と判断できた… Read More

著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz

Webアプリケーションの脆弱性は、基幹サービス運用を脅かす重大な問題だ。運用時に守るべきか？　開発時に対策を講じるべきか？　マネジャーや開発者が考えておくべき指針とは。 すべて 新着記事 ニュース 関連リンク 新着記事 スパム時代のサニタイズ開発手法： 「WAF」は2006年のネットサービス防御トレンドか？ 従来のファイアウォールではWebアプリケーションを守り切れない。インターネット上のサービスに根ざす企業では、サイト稼働率が信頼のバロメーターだ。Webアプリケーションを使っているならば、WAFの導入が必須のものとなっている。 （12/28 09:54） スパム時代のサニタイズ開発手法： サーバの複雑さが変えたセキュリティ「サニタイズ」とは Webサイトとして公開されているサーバには、いったい幾つのソフトウェアが含まれているだろう。サービス指向でシステム化が進む現代、数十から数百のツール

プログラムや重要な業務メールなどは、その出所を証明するためにデジタル証明書を付加している場合が多い。メーラの多くは、証明書のツリーをルート証明書までたどり、問題のないデジタル署名がなされているかチェックしている。 ファイルやメールの出所の確実性を保証するデジタル証明書だが、個人で利用するには、取得するための費用や手間の問題で、なかなか利用に踏み切れない場合が多いだろう。デジタル証明書が必要だがコスト面で導入できない、あるいはデジタル証明書の利用テストを行いたいというなら、個人向けのデジタル証明書を無料で発行してくれる認証局を利用すればよい。 Thawte Inc.[英語] Thawte Inc.は、デジタル証明書のプロファイルに一部制限があるものの、メール(S/MIME)に無料で利用できる「Personal E-mail Certificates」を提供している。Thawte Inc.の認