Endless road | During our roadtrip we turned off the highway… https://www.flickr.com/photos/98063470@N00/326044514 GitHubリポジトリ Covid19Radar に対して起ったことがかなり特殊な状況だったため、開発を追い掛けていた視線からレポートをします。 この記事の著者について 代表作のない個人アプリ開発者(かなしい) Covid-19 Radar Japan の人ではない GAFAMやCode for Japan の人でもない 4/8 Covid-19 Radarを発見する Covid-19 Radarとは、この時点ではシンガポールのTraceTogetherの日本版を目指した個人開発者 廣瀬一海さんのアプリのリポジトリ 4月にContact Tracing技術について

speakerdeck.com 去年の10月にAWS DevDayに招待いただいて話した資料を今更公開します。 現状のシステムを説明するとともに、僕が入社後取り組んだ細かい取り組みについての内容になっています。現状の規模の雰囲気を掴んでもらうために最初の方は製品や会社説明っぽくなっていますがご容赦ください。 Nature Remoは所謂IoTサービスで、システムの裏側が気になる人も多いんじゃないかと思いますが、実は結構オーソドックスなWebシステムで動いています。メインは、Amazon ECS上で動くGoのWebシステムで、IoTデバイスであるNature Remoの通信もWeb Socketが用いられています。 IoTの世界ではありますが、実は普通のWeb技術が使われているのが面白いポイントです。 エンジニア積極採用中です! Natureではこのシステムをより良くしてくれる「普通の」We

送信元表記が送信者IDのケース SMSのメッセージを受信した際に表示される送信元には、電話番号の代わりに任意の英数字も表記できる。この英数字の送信元表記を「送信者ID（Sender ID）」という。JC3の図では 通信事業者Ａ が送信者IDに当たる。 なお送信者IDの利用可否は受信側の通信事業者の対応状況によって異なる。Twilioの販売パートナーであるKWCの説明によると、日本国内ではNTT DOCOMOとSoftBankが送信者IDに対応し、KDDIは対応していないとのこと²。私はKDDIの回線を所有していないため、受信側がKDDIの電話番号を使用している場合の挙動は検証できていない。 まずはiOSの公式メッセージアプリに届いていたAmazonからのメッセージのスレッドで偽装を試みる。送信者IDは Amazon となっているため、TwilioでSMSを送信する際のFromの値に Ama

morimorihogeです。昔は夏ってもっと仕事なくて暇だった気がするんですが、ここ数年徐々に忙しくなっていてまったりできてない💦 はてブでこんな記事が上がっていて、IPアドレスからの地域特定サービスについて具体的にどうなのよ？と思ったので調べてみた結果をまとめてみます。 NURO光最大のデメリットとサポート対応の悪さが上限知らずでどうにもならない なお、GeoIPという用語について、世間では狭義のGeoIPはMaxMind社のサービスを指しますが、広義のGeoIP系技術はIPアドレスから地域を推定する技術やサービス一般を指すと捉え、本記事では広義のGeoIPの視点から解説します（狭義のGeoIPを示す場合、現行サービス名のGeoIP2やGeoLite2の名称を使います）。 ※記事公開後、NURO光の問題の割当IPアドレスと思しきものが分かったため追記しています 前提知識 そもそもNU

SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接

社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 2018年7月はWeb業界にとって記憶に残る日になるでしょう。httpsが標準となった日として。 これまでWebサイトへのアクセスにはhttpを利用するのが通常で、安全性が求められる場合にはhttpsを利用すると考えられてきましたが、これからはhttpsを使うのが当たり前になっていくでしょう。この流れを強力にけん引しているのは、保守的な我が国においてもトップシェアブラウザとなったChromeを擁するGoogleであることはご存知の通りです。これまではhttpでのアクセスには特に表記はなく、httpsでアクセスすると「保

ルーターやネットワークアタッチトストレージ(NAS)をターゲットとする新しいマルウェア「VPNFilter」の存在が、セキュリティ企業のシマンテックにより報告されています。シマンテックのセキュリティ研究者によると、VPNFilterは感染したデバイス経由でネットワークトラフィックを監視したり、中間者攻撃を仕掛けたり、悪質なコードを挿入したりすることが可能です。 VPNFilter: New Router Malware with Destructive Capabilities | Symantec Blogs https://www.symantec.com/blogs/threat-intelligence/vpnfilter-iot-malware Cisco's Talos Intelligence Group Blog: VPNFilter Update - VPNFilter

「他のセキュリティ対策ソフトはもういらない」とアピールするWindows Defenderの現状：鈴木淳也の「Windowsフロントライン」（1/4 ページ） Windows標準のセキュリティ対策機能は“オマケ程度”という認識はもう過去のもの。Windows 10の世代では、Microsoftがセキュリティ対策を大幅に強化しており、最新のセキュリティ動向を考慮したアップデートも続けているのだ。

定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述

AMDのプロセッサに“重大な脆弱性”を発見したというセキュリティ企業の発表を巡り、この発表が誇大宣伝だったのではないかと指摘する声が相次いでいる。AMDはこの問題について調査中。米US-CERTなど公的機関のセキュリティ情報は、現時点で出されていない。 イスラエルのセキュリティ企業CTS-Labsは3月13日、AMDのプロセッサ「Ryzen」と「EPYC」に13件の重大な脆弱性が見つかったと発表した。1月に発覚したIntelなどのプロセッサの脆弱性について大々的に報じられた直後だったこともあり、この問題は大きな注目を集めた。 CTS-Labsが開設した専用サイトでは、今回の脆弱性について「Severe」「Critical」と形容している。セキュリティ業界では一般的に、ユーザーが何も操作しなくても任意の攻撃コードを実行されてしまうような脆弱性に、こうした用語を使用する。 ただ、専用サイトから

中国・上海で開かれた見本市で米半導体大手AMDのカウンターに立つ訪問客。IMAGINECHINA提供（2013年7月25日撮影、資料写真）。(c)WENG LEI / IMAGINECHINA 【3月14日 AFP】イスラエルの情報セキュリティー企業CTSラボ（CTS Labs）は13日、米半導体大手アドバンスト・マイクロ・デバイス（AMD）の最新CPUやチップセットに、コンピューターやネットワークの乗っ取りに利用される恐れがある欠陥が見つかったと明らかにした。 今年初めには、米インテル（Intel）製のCPUにも「スペクター（Spectre）」や「メルトダウン（Meltdown）」と呼ばれる同様の脆弱（ぜいじゃく）性が見つかり、コンピューターセキュリティーをめぐる懸念が広まっていた。 CTSが公表した20ページの報告書によれば、今回見つかった欠陥は13件で、問題の製品は一般消費者向けの製

米Intelの脆弱性対策パッチをインストールした一部のCPU搭載マシンでリブートが増える不具合が確認された問題で、Intelは1月22日、現在出回っているパッチの導入を中止するよう、メーカーやエンドユーザーに呼び掛けた。 Intelは「Meltdown」「Spectre」と呼ばれるCPUの脆弱性が発覚したことを受け、1月上旬までにOEMなどを通じて対策パッチを配信した。ところがこのパッチが原因でリブートが増える不具合が報告され、IntelはBroadwell、Haswell、Skylake、Kaby Lakeの各CPUを搭載したマシンで問題を確認していた。 1月22日の時点では、このうちBroadwellとHaswellの問題について、根本の原因を突き止め、アップデートの初期バージョンを業界パートナー向けにリリースしてテストを行っているという。テストが完了次第、正式リリースを予定している。

今回の更新プログラムでは計56件の脆弱性が修正された。このうち16件が最大の深刻度である「緊急」に指定されている。 米Microsoftは1月9日（日本時間10日）、月例セキュリティ更新プログラムを公開し、WindowsやOfficeに存在する深刻な脆弱性に対処した。 Microsoftによると、更新プログラムの対象となるのはInternet Explorer（IE）、Edge、Windows、Office／Office Services／Web Apps、SQL Server、ChakraCore、NET Framework、.NET Core、ASP.NET Core、Adobe Flashの各製品。 セキュリティ企業Trend Micro傘下のZero Day Initiative（ZDI）によれば、今回の更新プログラムでは計56件の脆弱性が修正された。このうち16件が最大の深刻度で

2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx

2017年4月にこのLAC WATCHで、OWASP Top 10 2017 RC1を取り上げましたが、OWASP Summit 2017における議論の結果、2017 RC1は却下されました。その後、10月21日(米国時間)に2017 RC2が、11月20日(米国時間)には2017の確定版が公開されましたので、変更点について簡単にご紹介します。 なお、本稿は筆者による仮訳です。 英語版の公開からOWASP Japanによる日本語版の公開まで時間差がありますので、 OWASP Top 10の情報を追いかけているエンジニアのために作成しました。 表現の正確性などについては、OWASP Top 10 - 2017の原文*をご参照ください。 OWASP Top 10 - 2017 A1：Injection（インジェクション） A2：Broken Authentication（認証の不備） A3：S

macOS High Sierra 10.13.1の脆弱性を開発者のLemi Orhan Erginが発見した。システム環境設定の「ユーザとグループ」から錠前のボタンをクリックし、環境設定のロックを解除するためにユーザー名とパスワードを入力する場面で、ユーザー名に「root」と入力すると、パスワードを入力しなくてもロックが解除される。ロックが解除されるとゲストユーザーを自由に設定できるようになり、誰でもログイン可能になる。アップルでは問題を把握しておりソフトウェアアップデートの準備を進めている。現状の対策方法は以下のとおり。 ●現状できる対策 (1)アップル公式パッチを待つこと (2)ゲストアカウントへのアクセスを無効にすること (3)システム環境設定からルートパスワードを変更すること ルートパスワード変更方法は以下のとおり。 1.Appleメニュー >「システム環境設定」の順に選択し、「