(Last Updated On: 2021年6月17日) CWE-20とは何か？と聞かれて即答できる開発者は多くないと思います。そもそもCWEとは何か？もあまり知られていないかも知れません。 実はCWE-20 不適切な入力バリデーション はソフトウェアセキュリティで最も重要な脆弱性とされています、CWEのみでなく情報セキュリティ標準的に情報セキュリティ関連法的にも。 ※ CWE: Common Weakness Enumeration (共通脆弱性タイプ) CWEは脆弱性識別子のCVEで有名なMITRE（米国でのIPAの様な組織）が管理するソフトウエア脆弱性パターンを列挙したドキュメント／データベースです。日本語名の通り、よくある共通のソフトウェア脆弱性を集めた物がCWEです。 CWE-20の解説 – CWE/SANS Top 25 Monster Mitigation M1 実は態々私

ソフトウェア開発会社の144Labは11月26日、同社が販売しているIoTデバイス「うんこボタン」の不具合について発表した。赤ちゃんの排泄をボタンを押すだけでクラウドに記録する「うんこボタン」は、これまで販売した全品が通信の不具合により動作しなくなったため、同社が回収し交換する。 不具合の原因は「2018年11月24日のうんこボタンサーバの通信環境アップデートにおけるミス」と同社は説明。後進復帰も不可能であるためボタンデバイス側のファームウェアを直接更新する必要があるという。 うんこボタンは、2つの押しボタンで赤ちゃんがうんこ、おしっこをしたタイミングをクラウドに記録。スマートフォンで使えるWebアプリとの連動により、固いか柔らかいかといった細かい情報を後で追加することもでき、それらの情報をLINEグループにより家族などと共有できる。2017年にMakuakeでクラウドファンディングし人気

http://anond.hatelabo.jp/20161115002441 三鷹国際宿舎は女子フロアの数が少ないので新入生の女子の枠は留学生含め30人程度、かつ留学生から優先的に入れるので（当然だが）、実質日本人女子は十名以下の定員だ。これはいくらなんでも少ない。 昔は三鷹に入れなかった場合は白金が受け入れてくれる場合もあるとあったが多くて4,5名、少ない時は1,2名、しかも留学生から優先される（なお現在白金寮はなくなった）。日本人だと地方出身者と親の年収が低い方からになるので、中近距離住まいの一般家庭の女子学生はほとんど寮に入れなかった。かといって駒場付近は家賃が高くしかも民間の女子寮ですら決して安くない。通学時間が片道2～3時間かかったとしても千葉・茨城・埼玉方面からくる女子は通学定期を買って通学したほうが安い。ところが通学だけで一日4～6時間かけてると正直進振りのレースには入れな

なるほど。 ・今までにあった修羅場を語れ【18】 632 ：名無しさん＠おーぷん：2016/08/04(木)01:12:43 ID：TrT 長文でごめんさない ネットでたまに見る不審者情報（事案）のニューズで 女に道をきいたとか、挨拶したとかだけで不審者とされた事案に 「そんなんで通報かよｗ男は何にもできないな」 みたいな意見を見る度に思い出す修羅場 高校の頃、塾の帰り道、「××山（地元で有名なデートスポット）へはどうやっていけばいいの？」 と、四十代くらいの知らないおっさんに道をきかれた その地点から徒歩で行ける距離ではなかったから電車を使うといいと思って、最寄駅への道を説明した すると「うーんわかんないから一緒に来てくれる？」と言い出す 何言ってんだこのおっさんと思いながら「すいません、急ぎますから…」と歩き出す私 するとおっさん何とこっちに付いてくる まるで恋人みたいに私の横に並んで

2. • 楕円曲線暗号の原理を知る（前半30分ほど） • 暗号の話はここで終わり • 楕円曲線には様々な見方がある • トーラス𝑇 • 𝑦2 = 𝑥3 + 𝑎𝑥 + 𝑏の解集合𝐸 • 二重周期関数 • 1変数代数関数体 • 1次元アーベル多様体 • ... • 今回は特に𝑇と𝐸の関係性を紹介する（残り） 概要と目標 2/59 3. • 『クラウドを支えるこれからの暗号技術』 • 公開鍵暗号の（ほぼ）最先端の応用技術の紹介 • 前方秘匿性, 楕円曲線暗号, IDベース暗号, 属性ベース暗号, 関数型暗号, 準同型暗号, ゼロ知識証明, etc. • 比較的がっちり数学の話も入ってます • 楕円曲線, ℘関数, Weilペアリング, etc. • https://herumi.github.io/ango/ • 「クラウド時代の暗号化技術論」 • @ITでの暗号の連載記事 •

.NET 用に作成されたプログラムは、リバース エンジニアリングが簡単です。これは .NET のデザインに不備があるからではありません。最新の中間コンパイル言語が採用されているからです。.NET は表出的なファイル構文を使用して実行可能コード、すなわち MSIL (Microsoft Intermediate Language) を配信します。このような中間ファイルは、バイナリのマシン語コードよりも高度なもので、直接表示でき、最終的に理解可能な識別子やアルゴリズムを積み重ねたものです。判読性を高め、柔軟性と拡張性を持たせながら、同時に重要な部分を難読化することは、もちろん容易なことではありません。 .NET 逆コンパイラは誰でも無償で入手でき、これを使用してコードを簡単にリバース エンジニアリングできます。誰でもすぐに、ライセンス供与されたコード、コピー保護メカニズム、所有権を有するビジネ

「TLS暗号設定ガイドライン」は、TLSサーバの構築者や運営者が適切なセキュリティを考慮した暗号設定ができるようにするためのガイドラインです。「様々な利用上の判断材料も加味した合理的な根拠」を重視して、TLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した3つの設定基準（「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」）を設けており、各々の設定基準に対応して、TLSサーバで設定すべき具体的な要求設定（「遵守項目」と「推奨項目」）を決めております。 本ガイドラインは安全なウェブサイトの作り方とともに適切な暗号設定をする資料の一つとしてお使いいただけます。 なお、本ガイドラインは、暗号技術評価プロジェクトCRYPTRECで作成されました。 「TLS暗号設定ガイドライン」の内容 1章と2章は、本ガイドラインの目的やSSL/TLSについての技術的な基礎知識を

Larry Seltzer （Special to ZDNET.com） 翻訳校正： 川村インターナショナル 2014-12-09 06:13 Security Explorationsの研究者は、「Google Cloud Platform」の一部である「Google App Engine」のJava環境に深刻な脆弱性が複数存在することを発見したと報告している。 Google App Engineは、人気の高いさまざまな言語やフレームワークを使用するカスタムプログラムを実行するためのGoogleのPaaS（Platform as a Service）製品だ。こうしたカスタムプログラムの多くは、Java環境で構築される。 Security Explorationsによると、これらの脆弱性を悪用すると、Java仮想マシンのセキュリティサンドボックスを完全に回避できるほか、任意のコードを実行す

先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd

noon @n00nw0rks 日本人はリスク管理ができない、リスクはゼロにできないということを受容れられない、とよく言われるけど、日本人だからどうこうというより、リスクを管理できるだけの知識と論理的思考能力がない人は「怯える＝意識高い」と考えているんだと思っていて、その話のたびに前の会社のことを思い出す 2014-11-13 11:12:30 noon @n00nw0rks 前の会社でCSRF発見して「hiddenなinputとセッション変数にランダムトークンを保存して照合し正当なページからのリクエストか判別する」のを提案したら「君は新人だから知らないと思うけどセッション変数が改竄されることもある。その対策は安全ではない」と呆れた顔で言われて、 2014-11-13 11:12:50 noon @n00nw0rks 確かにOSやミドルウェアに脆弱性があればそういうこともあるかもだけど、セ

これなら合格！ 正しいリダイレクターの作り方：HTML5時代の「新しいセキュリティ・エチケット」（4）（1/3 ページ） えっ、まだmeta refreshとか301使ってるの？ リダイレクターの作り方も時代とともに移り変わります。記事を読んだらすぐに使えるセキュリティ・エチケットを紹介しましょう。 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。今回は、「オープンリダイレクター」という脆弱性について説明します。 オープンリダイレクターとは？ オープンリダイレクターとは、あるURLを開くと自動的に他のページにジャンプするリダイレクト機能が、攻撃者によって任意の外部ページへのリダイレクターとして利用可能になっている問題です。 「http://example.jp」上で提供されるWebアプリケーションにて、例えば「http://example.jp/go?url=/nex

Modern Ciphersuite: ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES1

kintoneはJavaScriptを使って自由にカスタマイズできます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできますが、セキュアなコーディングをしないと クロスサイトスクリプティング（以下、XSS）などの脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的なポイントを解説します。

本来ならネットワーク管理者みたいな人がいて、その人にやってもらうほうが安全・安心なのですが、そうもいかない状況でプログラマがサーバー構築することも珍しくないと思います。 今回まさにそんな状況で、自分なりに勉強して試行錯誤して構築したメモです。 ナウい技術であるDockerとか使ってない、まごころ込めた手作りサーバーなので本気で勉強したい人は参考書とか買ってやったほうがいいと思います。 構築した構成図は以下の画像のようになってます。 （これが効率のよい形なのかは分かりません） WebサーバとDBサーバが2台ずつで、ファイルサーバが1台。 WebとDBをロードバランサで負荷分散させてるという構成です。 WebサーバーがApache＋PHP。フレームワークとしてFuelphpを使います。 DBサーバーがMariaDBでレプリケーションを使って同期します。 FileサーバーはNFSを利用します。

(Last Updated On: 2018年10月12日)HTTPセッション管理はWebセキュリティの中核と言える機能です。Webセキュリティの中核であるHTTPセッション管理に設計上のバグがある事は少なくありません。今回のエントリはPHP Webアプリ開発者ではなく、主にWebフレームワーク側の開発者、つまりPHP本体の方に間違いがあるという話しです。Webアプリ開発者の回避策も紹介します。 まずセキュリティの基本として「入力のバリデーションを行い、正当な入力のみを受け入れる」があります。しかし、PHPに限らず多くのセッション管理機構は当たり前の「入力のバリデーションを行い、正当な入力のみを受け入れる」を行っていません。セッションIDの再生成（リセット）も不完全な物が多いと思います。 参考： 知らないと勘違いする「合成の誤謬」の罠 開発者は必修、SANS TOP 25の怪物的なセキュリ