令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io
Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp
スキル0から1年間でマルウェア解析を習得した学習方法 - the_art_of_nerdのブログ
みなさん、こんちにはmです。 今回は私が1年の期間でマルウェア解析のスキル0から習得するまでに取り組んだ方法をまとめました。 初めに開始時のスキルや1年間でかけたコスト、スケジュールなどを共有します。 開始時のスキルなど 表層解析、動的解析、静的解析の違いもあまり理解していない プログラミングはPythonを学び始めた程度 低レイヤーの知識なし アセンブリの知識なし Windowsアプリケーション開発の経験なし SOCアナリストとしてブルーチームの知識は多少 脆弱性診断の経験も（深くはないが）多少 エンジニア歴7、8ヶ月目くらい ざっくりですが、このようにマルウェア解析に絡んでくる知識はほぼ0でした。 学習にかけたトータルコスト 書籍：約5万円 オンライン教材：12万円 約17万円近く1年間に使いましたが、お金で直接スキルは買えないので必要経費です。 なお、オンライン教材の12万円について
バグハンターmageに聞くバグハンティングの方法とセキュアなサービス作りに必要なこと｜ハイクラス転職・求人情報サイト AMBI（アンビ）
バグハンターmageに聞くバグハンティングの方法とセキュアなサービス作りに必要なこと バグハンターとは、Webサービスやソフトウェアなどに含まれる脆弱性を、システム改善のために探し出す人々です。バグハントの方法は非常に多岐にわたりますが、具体的な手法、使用ツール、ハントのマナーを凄腕のバグハンターに聞きました。mageの名で知られる馬場将次さんが語り下ろす実践的なノウハウは、サービスをセキュアなものにしたいエンジニアのみなさんにとっても重要な知見になるでしょう。 バグハンティングを犯罪にしないために必ず知っておきたいこと 馬場流バグハント手法「調査」「解析」「実証」。そして「普通はやらない」を無数に試す 防御のために、言語やフレームワークの実装を学ぼう。コード読解から、違和感を見つけ出す方法を実践してみる XSSの現在。技術の進化と並走する攻撃手法の進化 セキュリティを理解するためにまずは
バグバウンティの始め方 - No1zy Web Security Blog
はじめに バグバウンティを本格的に始めて約2ヶ月で獲得報奨金100万超えたよ！no1zyです。 獲得報奨金額100万円達成しました！去年は5000円だったので200倍稼げました！w https://t.co/7yrCj27ITL— no1zy (@no1zy_sec) 2018年8月29日 この記事はバグバウンティを始めたいという人向けの入門記事です。私がどのように脆弱性を発見して報奨金を得たかについて紹介します。 私はwebサイトを中心にバグハントをしているため、Web中心の話になります。 筆者のスペック まず、筆者がバグバウンティを始める前に持っていた、身分、スキル・経験を紹介しておきます。 9/6現在、情報系の専門学生。 バグバウンティの運営サイドでアルバイトの経験(10ヶ月)がある。 PHP, Javascriptは読める。 Webセキュリティは基礎的な部分はわかる。 CVEは2つ
BadUSB体験会 - Qiita
こんにちは。去る11月8日に、BadUSB体験会という社内勉強会を開催しましたのでその内容を簡単に紹介します。 (KLab Advent Calendar 2016 の2日目の記事になります) 概要 BadUSBとはUSBメモリのファームウェアを書き換えてHIDデバイスとして動作させ、任意のキー入力を行う攻撃手法の事なのですが、今回はその攻撃手法の 「任意のキー入力を行うHIDデバイス」 という部分を自作してみる事で、この攻撃について学んでみます。 デバイスの入手 任意のキー入力を行うHIDデバイスの作り方には様々な方法があり、PS/2キーボードの通信プロトコルを実装してUSB -> PS/2変換アダプタを通す などの手法がありますが、現状もっとも手軽な方法としては、 キーボード操作を行えるArduinoを利用する方法があります。 Arduino には標準で、キーボードとマウスを操作するラ
Android開発をする上で知っておいてほしいなと思うこと - こやまカニ大好き
現在の Android Developers の情報は非常に充実していて、Developer Guides を順に読み進んでいくだけで開発に必要な知識とGoogleが想定している(であろう)最も基本的な実装を学ぶことができる。 特にこの「基本的な実装」というものが重要で、これを知っておかないと開発者間の意思疎通がスムーズに行えなかったり、そもそも気をつけておくべき注意点を見落としがちになってしまう。 とはいえ、今の膨大な公式ドキュメントをただ読めというのは厳しいので、Android開発をする上で最低限理解しておいてほしい(と僕が思っている)事柄と、それについて知ることができるドキュメント類についてまとめてみることにする。 2018/03/25 : リリース周りについて別記事に追記した。 nein37.hatenablog.com 公式ドキュメントの重要ページ 公式ドキュメントと言った場合、
ウェブアプリをソースごとパクる業者に対する対策 - Qiita
こんにちは。みなさんもウェブアプリをリリースしたあとに同業者にソースごとパクられたことってありますよね。難読化しても難読化されたまま同業者のサーバで動くので困ったものです。そこで、私がとった解析しずらい対策をまとめてみたいと思います。 前提 多機能な画面をJavaScriptでゴリゴリ作ったのにもかかわらず、HTMLやCSS、JavaScriptファイル一式を自社サーバにまるごとコピーして、ライセンス表記だけ書き換えて使うような業者を罠にはめるということを想定しています。 当然通信をリバースエンジニアリングする人もいるので、自社サーバでは防げないという前提です。 HTMLにはauthorメタタグ よくあるMETAタグで権利者を明記します。これは権利の主張もそうですが、JavaScript自体に権利者が認定した権利者でなければ無限ループを起こすという処理のためにも使用します。逆に、権利者が我
ゼロワンオンカジチャンネル
ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が
バグハンター・にしむねあ氏特製“脆弱性たっぷり”Webアプリを半日でどこまで「堅牢化」できるか？ - はてなニュース
2017年7月某日の朝9時、デジタルコンサルティング事業などを手がけるSpeeeのオフィスにエンジニアたちが続々と集まってきた。エンジニアたちに向けて提示されたのは、リクルートテクノロジーズ シニアセキュリティエンジニアの西村宗晃氏（にしむねあ氏）いわく「Ruby on Railsで頑張って書いた、脆弱性てんこもりのソーシャルメディアアプリケーション」。そこから半日かけてそのソースコードを修正し、どれだけ堅牢化できるかに取り組むユニークな勉強会が行われた。 （※この記事は、株式会社リクルートテクノロジーズ提供によるPR記事です） クロスサイトスクリプティング（XSS）やSQLインジェクション、ディレクトリトラバーサルといったWebアプリケーションの脆弱性について、知識としては知っているエンジニアが大半だろう。だがこの勉強会では、にしむねあ氏がGitHubで公開したソースコードを目で見て確認
「Mirai」ソースコード徹底解剖－その仕組みと対策を探る
Miraiボットネットとは Miraiは、2016年9月13日夜、米国のセキュリティジャーナリストBrian Krebs氏のWebサイト「Krebs on Security」に対して行われた大規模なDDoS攻撃に使用されたとして話題になったボットネットです（関連記事）。Miraiは主にWebカメラやルーター、デジタルビデオレコーダーなどのIoTデバイスを踏み台としてDDoS攻撃を仕掛けます。 参考：セキュリティ用語事典：DDoS攻撃 攻撃を受けた後に投稿されたKrebs氏のブログ記事によれば、同サイトを保護していたAkamaiが、ピーク時にはそれまでに経験した最大規模の攻撃の2倍近いトラフィックを観測したそうです。 また、2016年10月21日にTwitterやNetflixなどが利用するDNSサービスへ行われたDDoS攻撃でも、Miraiボットネットが利用されていたのではないかと推定され
iOS10対応でやろうと思っていることまとめ - NSBlogger
はじめに いよいよiOS10がリリースされます。iOSアプリ開発者のみなさんは、運営しているアプリを新iOSに対応させなければなりません。例年通りだと翌年の2月あたりに新iOSに対応していないアプリは審査に出すことすらできなくなります。早めに対応しておきましょう。 以下にiOS10対応でやろうと思っていることをまとめました。 iOS10対応って何をするの？ 対応手順 まず「iOS10対応」についてですが、以下のような手順で対応します。 Xcode 8をインストール 既存のプロジェクトをXcode 8で開く ビルドする エラーやクラッシュを修正する アプリをリリース Xcode 8はまだ正式にはリリースされていません。iOS10のリリースと同時にアップデートがくるはずです。その時まで待っていてもよいですが、はやく対応したくてたまらない方はXcode 8 betaをインストールしましょう。先日
「職人芸とされていた脆弱性診断の技術を誰でも使えるものに」Webセキュリティのプロ・上野宣さんに訊く
業界標準の脆弱性診断技術を具体化した入門書が必要とされている ――8月1日（月）に『Webセキュリティ担当者のための脆弱性診断スタートガイド 上野宣が教える情報漏えいを防ぐ技術』が刊行となりました。上野さんはこの道のプロフェッショナルですが、具体的にはどのようなお仕事をされているのでしょうか。 上野：現在、私は主に脆弱性診断に関して広く携わっています。2006年に立ち上げたサイバーセキュリティ関連のトレーニングを行う株式会社トライコーダでは、「Webアプリケーション脆弱性診断講座」を実施しており、脆弱性診断サービスも提供しています。トレーニングの顧客には自社で脆弱性診断を行いたいという開発会社を始めとして、防衛省や警察などの官公庁の方々がいらっしゃいます。加えて、社内にCSIRT（コンピュータセキュリティ問題に対応するチーム）を立ち上げるための教育にも役立てていただいています。 また、私自
不正Androidアプリの大量生産はどうすれば防げるのか
不正Androidアプリの大量生産はどうすれば防げるのか：Androidセキュリティ技術の最前線（3）（1/3 ページ） Androidアプリをめぐるセキュリティ対策技術について解説する本連載。第3回は、不正アプリが生み出される仕組みとそれを妨害するための対策について解説する。 連載目次 Androidのセキュリティ対策技術を紹介する本連載。第2回では、主に「アプリがマルウェアでないか」「アプリに脆弱（ぜいじゃく）性が存在しないか」を判定する技術について解説した。 第3回となる今回は、前回と同様に「アプリ」のセキュリティに着目し、「リパッケージ」によって正規のアプリになりすましたマルウェアが作成される危険性や、リパッケージの自動化によりマルウェアが大量生産されている現状を説明。リパッケージ対策の現状および今後について解説する。 「リパッケージ」によって作成されるAndroidマルウェア 「
世界から海賊版ゲームがなくなる日、進化を続けるコピーガード「Denuvo」の果てしなき戦い - AUTOMATON
音楽や映画における違法コピーの蔓延のみならず、PCゲームの海賊版とそれを防ぐコピーガードの争いは、これまで終わりなきイタチごっこを続けてきた。新作タイトルはクラッカーによってことごとく防壁を突破され、発売日を待たずして海賊版が出回る始末だ。しかし、そんなクラッカーが跋扈する大海賊時代にも陰りが見えてきているようだ。近年、新たに導入され始めたコピー防止技術「Denuvo Anti-Tamper」が、これまで容易だった違法コピーを急速に困難にしているとして、ゲーム業界で大いに脚光を浴びている。日々改良を重ねる堅固な牙城は、数年後には世界から海賊版ゲームが消え去るのではないかと、クラッカーから危惧されるほど。中国で悪名高いクラッキングフォーラムに漏れる嘆声から、PCゲームの違法コピーをめぐる現状に迫る。 Dragon Ageの1か月戦争、Denuvo陥落 「Denuvo Anti-Tamper」
テストエンジニアが活躍する場を作り続けるシフト
元々は金型生産の企業で働いていた丹下大社長は、そこで培ったノウハウをIT業界で生かせるはずだと考え、システムテストを手掛けるシフトを立ち上げた。 業務システムやアプリケーションソフトなどのテストを専門に請け負うIT企業がある。2005年に創業したシフトで、年率50％で成長を続けている。ユーザーも、受託ソフト開発会社も、開発とテストを分業しようとしていることが背景にある。テストの方法論を確立する一方、テストエンジニアの地位向上に努める。 IT業界のビジネスモデルに疑問を抱く シフトの原点は、丹下大社長兼CEOが同社創業前に勤めていたインクスだ。同社は金型生産の超短納期化で有名。丹下氏は自動車や電機などのメーカーへのコンサルティングに携わり、生産管理や品質管理のノウハウを培った。それを生かして、業務の改善や改革に関するコンサルティング会社としてスタートしたのがシフトだ。 コールセンターや物流セ
見落としがちな整数関連の脆弱性（後編）
見落としがちな整数関連の脆弱性（後編）：もいちど知りたい、セキュアコーディングの基本（5）（1/2 ページ） 前回に続き、バグの中でも大きな割合を占める整数の取り扱いに関する脆弱性について解説します。今回取り上げるのは「切り捨て」「符号拡張／ゼロ拡張」についてです。 「Coverity Scan レポート」にみる整数関連のバグ 初めに、脆弱性に関する最近のトピックスとして「Coverity Scanレポート」を紹介したいと思います。 2013年5月7日、静的解析ツールベンダの米Coverityは、2012年度版「Coverity Scan レポート」を公開しました。 Coverityは、自社のコード解析ツールを使ってオープンソースソフトウェア（OSS）を解析し、解析結果を無償で開発者に提供することを通じて、OSSコミュニティのコード品質向上に寄与する「Coverity Scan」プロジェク
エクスコムの情報流出はシステム設計というより業務設計がだめな件 - aike’s blog
そんなわけでクレジットカード再発行しました。そうです流出です。今年の3月にアメリカ行ったときに海外旅行者向けWiFiルーターレンタル業者を探してたらエクスコムが安かったので申し込みました。まさかこんなことになろうとは、という感じでくやしかったのでブログのネタにしてみました。 申し込みから返却まで経緯はこんな感じでした。 ■3月5日 申し込み エクスコムのウェブフォームから住所氏名とともにクレジットカード情報を入力して申し込んだら、こんな確認メールが返ってきました。一部省略、伏字にしています。 Subject: レンタルお申し込みありがとうございます Date: 5 Mar 2013 10:46:21 +0900 From: エクスコムグローバル株式会社 この度は、お申込みいただき、誠にありがとうございます。 ご利用に際しては、以下の注意事項をご確認ください。 （略） ━━━━━━━━━━━
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
コード署名に悩むアプリ開発者に福音 ～Microsoftが格安サービス、6月までなら無料／高くてサポートの悪い大手コード署名証明書プロバイダーとはおさらば【やじうまの杜】
Engadget | Technology News & Reviews
作成はわずか30秒、大量生産される不正アプリの実態