[security] タグが付いた質問
102
質問
1
票
1
回答
100
閲覧数
エンドツーエンドの暗号化ではメディアコンテンツの暗号化は難しいのですか?
ツイッターを見ていると、このようなツイートを見かけました
E2EE は原理上鍵交換が信頼できる形で行われてるか利用者から検証することがかなり難しい、データ量の都合でメディアコンテンツは暗号化されない(できない)ことが多い、概念が難しすぎて一般客からはそうしたあれこれの妥当性を理解できない、などベネフィットとダルさがあまり釣り合ってないと思う
https://twitter.com/ssig33/...
0
票
1
回答
53
閲覧数
設置したphpファイルをDLするとき、php処理部分を表示した状態でファイルをダウンロードされてしまう危険はありますか?
web系プログラムに関して知識が浅いので教えてください。
サーバーに設置されているファイルの中身の <?php ~ ?> で囲われた部分はブラウザの開発者ツールやソースコード表示画面からは自動的に非表示になり、php処理が記載されているファイルをDLしても勝手に非表示になる認識ですが、このphp処理部分が記載されている状態でDLされてしまう事はあるのでしょうか。
また、...
0
票
3
回答
175
閲覧数
ウェブサイト閲覧で感染するコンピューターウィルスの仕組みってどうなってるんでしょうか。
最近htmlを真面目に組むようになりました。
そこで、参考に複数のサイトを眺めていると色々と危険なページを見つけることがあります。
キャッシュポイズニングされてたりetc.
サイトを閲覧しただけで感染するタイプのウィルスがありますが、あれはhtmlやphp、JavaScript等のサイトを構築する言語で生成されるのでしょうか。
それともウェブサイトにアクセスした瞬間、...
0
票
1
回答
145
閲覧数
DBサーバーへ接続する際のIPブロックについて
Vercelの公式ドキュメントの記述についてですが、
DBに接続する際のIPブロックについて違和感を感じる記述があったので、妥当な内容なのか教えてもらえないでしょうか。
https://vercel.com/docs/concepts/solutions/databases
こちらのページの「Allowing & Blocking IP Addresses」の項目です。
...
3
票
2
回答
202
閲覧数
プライベートネットワーク内のDBにパスワードを設定する意味はありますか?
プライベートネットワーク内にサーバー(192.168.0.100)があり、dockerでmongodbサーバーを建てたとします。特に外部に公開する予定はなく、公開する方法も理解できていません。
このmongodbはローカル内でしかアクセスしないのでパスワードを設定しても意味がないという認識で間違いないでしょうか?それとも何かリスクはありますか?
0
票
0
回答
67
閲覧数
Node.jsのライブラリ「Socket.IO」の「Rooms」のセキュリティについて
Node.jsのライブラリ「Socket.IO」の「Rooms」を利用してアプリの開発を検討しています。
Roomが複数ある場合、socketが所属するRoomを特定するのにIDを割り振りますが、「セッションハイジャック」などの手口でIDが流出し、通信が乗っ取られる危険があると考えています。
セキュリティを担保しながら「Rooms」を利用する方法はありますか?
0
票
1
回答
115
閲覧数
シークレットキーの管理はどの様に行うべきか
状況
Laravel8とFirebase Authenticationを用いてWebアプリケーションを作成しました。
以下のサイト様を参考に、resources/keys/配下にFirebaseからダウンロードしたjsonファイルを設置し、アプリケーション側で利用しています。
Laravel6.0 の認証を Firebase のTwitter Oauth認証で行ったメモ
.env
...
0
票
1
回答
92
閲覧数
MacOSのコマンドラインで、悪意のあるプロセスを特定する方法
アンチウイルスソフトなどで、マルウェアや、悪意のあるプロセスなどを特定することができると思いますが、これをOSSを使って、コマンドラインでやる方法はありますか?
0
票
1
回答
220
閲覧数
HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して
HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。
その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、
HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。
<img src="http://www.sample.jp:443/&...
1
票
1
回答
131
閲覧数
NUXTでのKEY情報の隠蔽について
NUXTからAPIを叩く際にKey設定をうまく設定しないと漏洩すると複数のところでみるので、自分の手元でも本当にそうなるのか確認したいのですが、場所がよくわかりらず。。。
具体的にどの場所に書かれているのかご教授頂けますと幸いです。
例えば、こちらのブラウザーから確認できるという表現や
NuxtJSでgenerate時のみmicroCMSのAPIキーを隠す - Qiita
...
1
票
1
回答
88
閲覧数
クラウドIISの仮想フォルダのセキュリティ確保について教えてください
さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。
IISでは社内アプリのダウンロードサイトを公開しています。
そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。
一方で、社内アプリ自体は、.NET Framework のClickOnceを使っていて、...
0
票
4
回答
248
閲覧数
PHP ユーザーログインパスワードの保存先
PHPを学び始めて1年以内の者です。
・$_SESSIONにパスワードを格納するのは安全ではない
・DBにはハッシュ化したパスワードのみを保存
以上をふまえ、
ユーザー情報変更ページで、各々が自分のパスワードを変更をできるよう設定したいのですが
編集ページのform内に「現在のパスワード: ****** 」というようにアスタリスクで表示させたい場合、
慣例となっているやり方はあるのでしょうか。
(...
0
票
0
回答
119
閲覧数
おとり用サーバー(ハニーポット)の作り方
インターネットからの不正アクセス(主に高度標的型攻撃)を分析する目的で、おとり用サーバー(いわゆるハニーポット)を作成しました。目的は下記です。
①どこから(IP/プロバイダ/国など)の攻撃が多いか分析
②攻撃に使用されるツールの取得
③C&CサーバーのIP取得
作成にあたり、他のサーバーへ被害が及んではいけないためある程度できることを絞っています。ただそのせいか、...
0
票
1
回答
111
閲覧数
Postgres の COPY tablename FROM stdin with csv はSQLインジェクションの危険性がありますか?
使用しているのはpython、psycopg2
下記のようなコードが実行するとき、一回ファイルの中身を読み込み、標準入力からDBへ書き込みます。
もし、ファイルの中身にSQLインジェクションができるような記述がある場合、OSに解釈され、SQLインジェクションが発生する可能性があるのでしょうか?
conn_config = dict(port="5432", dbname=&...
1
票
0
回答
72
閲覧数
iOS のアプリは暗号化されているらしいのですが、それはどのような機構で実現されているのでしょうか?
モバイルアプリのセキュリティについて調べていく過程で、 https://stackoverflow.com/a/5557283/3090068 のような記事を何回か見掛けたりします。どういうことかというと、 iOS において、配布されているアプリは暗号化されている、という趣旨の記述です。
質問
iOS アプリが仮に暗号化されているとして、それはどのタイミングで、誰が、何を、...
0
票
0
回答
80
閲覧数
Keychainの使用方法について
基本的なことで申し訳ないのですが教えてください。
開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか?
keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。
Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか?
...
2
票
1
回答
126
閲覧数
DDoSを予告されたときに、すぐにできる緩和策はありますか?
自らの運営するサービスに対するDDoS攻撃を予告された場合、突然攻撃されることと比較して良い点はありますか?
例えば、「1時間後に攻撃する」と予告された場合、1時間でできるなんらかの緩和策はあるのでしょうか。
また、30日後の攻撃を予告された場合はどうでしょうか。
-1
票
2
回答
292
閲覧数
ハッカーは個人宅のIPアドレスを入手した後どのように個別のパソコンに対して侵入を行うのでしょうか?
1.メールの送信元からグローバルIPアドレスを入手
2.この時点で相手のブロードバンド・ルータに当てられているIPアドレスがわかる。
ここまでは想像がつくのですが、その後DHCPサーバ機能でローカルのIPアドレスが割り振られていると思うのですが個別のパソコンに対してどのように攻撃するのでしょうか?
Ping グローバルIP.ローカルIPのようにパケットを投げかけたりできるのでしょうか?
3
票
2
回答
464
閲覧数
NATでセキュリティレベルが向上するのはなぜ?
NATについて授業を受け、その中でNATを使う利点に
IPv4の枯渇問題へ対処できる
一か所にIPアドレスの設定が集中しておりISPの移行などが容易
内部ローカルアドレスが隠蔽できるのでセキュリティレベルが上昇する
という3つが上げられました。
最初2つは理解できるのですが、3つ目の「セキュリティレベルが上昇する」とはどういう意味なのでしょうか?
僕の認識では、...
0
票
1
回答
92
閲覧数
RaisのomniauthでGoogleログインのコールバック時に403エラーとなる
RaisのomniauthでGoogleログインの実装を行っており、ローカル環境では正常に動作しています。
サーバー環境(CentOS, Nginx)ではGoogleの認証後に以下のようなURLにコールバックされた時、403エラーが表示されてしまいます。
https://dummy.com/auth/google_oauth2/callback?xxxxxxx&scope=email+...
0
票
2
回答
250
閲覧数
HTMLエスケープについて
質問
HTMLエスケープはどういう時に必要ですか?
質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します
下記ケースでは、それぞれ(...
0
票
1
回答
582
閲覧数
ESET がインストールされた mac で、 ウェブアプリに [::1] のアドレスで接続できないのは何故?
セキュリティソフトの ESET を入れた mac にて開発を行っています。
この mac で、たとえば rails などの開発サーバーを立ち上げたとき、 127.0.0.1:3000 などの ipv4 経由のアクセスでは rails に問題なく疎通できますが、 localhost:3000 や [::1]:3000 でアクセスしようとすると、ネットワークが eset ...
2
票
1
回答
162
閲覧数
本番デプロイで/var/www以下を公開してもセキュリティ的に大丈夫ですか?
Linux&Laravel初心者です。本番デプロイについて、セキュリティが心配です。
/var/www 以下を公開ディレクトリ?にしています。
projectName = laraprojectです。公開ディレクトリ サーバのデフォルト値の/var/www/html
ここに htmlディレクトリに ->にindex.phpなどのpublicフォルダの中身を起き
vendor類の本体を /...
0
票
1
回答
182
閲覧数
Androidの暗号化と鍵の管理について教えて下さい。
Androidでデータの暗号化と鍵の管理を行うには、Android Keystore Systemを使用するようにデベロッパーページなど記載されていますが、このキー管理はFactoryResetで消えてしまうようです。FactoryResetで消えずにセキュアな鍵の保持方法はないでしょうか?申し訳ないですがご教授下さい。
2
票
3
回答
7,651
閲覧数
自作のプログラムがウイルスとして検出されてしまうのはなぜですか?
引数のポインタ渡しについてのプログラムなのですが、パソコンに入っているスーパーセキュリティというセキュリティソフトに引っかかってしまいました。参考書通りのプログラムなのでプログラム自体の問題かセキュリティソフトの問題なのかわかりません。プログラムの問題でウイルスが検出されるということがあるのかお教え願います。
#include <stdio.h>
void myFunc1(int ...
2
票
1
回答
195
閲覧数
google検索でreCAPTCHAの画像のフェードアウト速度が変化するのには技術的な理由がありますか
利用する図書館ではgoogleを利用しており、そこで検索するとreCAPTCHAが出てきます。
自宅ではチェックマークを押して画像を数回選ぶだけで済むのですが、図書館では画像が消えたり出てきたりするのが非常にゆっくりで、画像をクリックするのを5分ほど繰り返さないと先に進めませんでした。
reCAPTCHAでは正しい画像がクリックされたかで人間かロボットかを見分けると理解してますが、
...
1
票
3
回答
1,331
閲覧数
GitHubから通知された "Security Alert" の対処方法を教えてください
以下の質問についてご存知の方がいらっしゃいましたらご教示を願います。
【質問の主旨】
GitHubにプッシュしているディレクトリの一部のファイルについて"serialize-javascript"というお知らせが来ました。どのように対処すれば良いでしょうか?
【質問の補足】
1.
お知らせに基づいて内容を調べていくと、一部のディレクトリ内で使われている以下のコードが
...
-6
票
1
回答
329
閲覧数
マルウェアを作るにはどのような勉強をしたら良いですか? [クローズ済み]
マルウェアを作るにはどのような勉強をしたら良いですか?
セキュリティですか?pythonですか?もちろん技術的な興味です。
作る方法では無くて、作るのに必要不可欠な知識のことです。
5
票
2
回答
1,083
閲覧数
eval関数をwebフォームなどで使うとなぜ危険なのか?
evalをwebのフォームなどで使うとよくないと聞いたのですがなぜでしょうか?
よくない理由を書いている人が掲示板にいました。
If you apply eval() to a string that's given by a user (e.g. in a web form), you might get unintended behaviour which might get you ...
5
票
2
回答
284
閲覧数
BIOSパスワードはどんな安全性を担保していますか?
質問
BIOSパスワードは代表的にはどのようなものがあって、それぞれどんな安全性を担保していますか?
経緯
他の方の質問を読んでいて、「BIOSパスワード」と呼ばれるものが複数あると気付きました。英語版Wikipediaを見ると、次のようにBIOSのパスワードにも色々あると書かれています。
Setting various passwords, such as a password ...
7
票
3
回答
1,880
閲覧数
メールアドレスに記号を許すことによるリスクはありますか?
Gmail ではメールアドレスに + 記号を付けることでひとつのアカウントのメールアドレスにタグを付けて扱うことができます。しかしたとえばユーザー登録時のメールアドレスに + 記号が含まれていると「正しいアドレスを入力してください」とバリデーションエラーを出すウェブアプリにしばしば遭遇します。
RFC 5322 によると、メールアドレスのローカルパートには記号 !#$%&'*+-/=?^...
0
票
0
回答
99
閲覧数
AWSのEC2で作成したサーバのセキュリティ対策に使用できるサービスは何があるでしょうか
■保有知識
・AWSはネットで調べただけで実際の構築経験は無し
・セキュリティに関する設計、構築は未経験
■質問
AWSを使用します。
EC2サーバーを1台構築し、オンプレミスの社内サーバーと接続します。
業務アプリの評価用の環境なので、最小構成での構築とするつもりです。
(VPC内にEC2サーバーを1台構築し、EBSとS3を使用。自社環境のルーターとインターネットVPNで接続。)
...
0
票
2
回答
225
閲覧数
PHPでのSQLインジェクション対策
PHPにSQLインジェクション対策をしたいのですが、
"SELECT * FROM hogehoge WHERE id = '$id' AND number = '$data'
というSQL文を組み立てる場所で、idには引数として整数が入るので文字列リテラルで対策出来ますが、dataには
>>整数
という引数を渡すので、文字列リテラルでは対策出来ないという状況に陥っています。
...
-2
票
3
回答
473
閲覧数
任意ユーザが投稿したzipファイルを安全にダウンロードするには?
任意ユーザが投稿した(任意のプログラム系の)zipファイルを、PHPで安全にダウンロードする仕組みを作りたいのですが、注意すべきことは何ですか?
HTML出力の場合は「特殊文字を HTML エンティティに変換」しますが、ダウンロードの場合に該当する処理はありますか?
例えば、zipファイル形式ではなく、個別ファイルでexe形式以外の拡張子のみokとすれば安全ですか?
0
票
1
回答
446
閲覧数
Djangoのrunserverの脆弱性について
WEBアプリをDjangoで開発しようとしています。そこで気になったのがrunserverのセキュリティです。
開発用とは言えサーバーを立ち上げるので、攻撃されるリスクか0ではないのかなと思いました。(この辺りの知識が薄いためもしかしたらとんちんかんな事を言っているかもしれないです、申し訳ありません。)
ここで言う攻撃は、そのサーバー経由で開発してるコードが漏洩したり、...
2
票
1
回答
1,988
閲覧数
IPアドレスから住所を検索するサイトの検索結果が変わるのはなぜか?
セキュリティについて勉強しているものです。
最近、IPアドレスで自分をトラックしつつ働きを確認しているのですが
IPアドレスから大体の住所を検索するサイトで検索すると
質問1
サイトによって大きく異なる住所が返されます。これはどうしてでしょうか?
https://ipinfo.io/
https://db-ip.com/all/
https://www.iphiroba.jp
質問2
...
3
票
1
回答
259
閲覧数
ブラックリストにあるURLの通信制御
メールなどからエクセルやwordファイルが送られてくると思うのですが、ITリテラシーが低い方だとそれをダウンロードをし、閲覧してしまうと思います。
そこまでは良いのですが、閲覧したときに「マクロを有効化しますか」と表示された際、間違えて有効にしてしまう人がいます。それが原因でマクロからマルウェアがダウンロードされ、PCが感染してしまう可能性があります。
それを防ぐために、...
6
票
1
回答
158
閲覧数
ステガノグラフィについて
現在、画像にデータを埋め込む”ステガノグラフィ”について調べています。
とある論文を読んでいたところ、以下のような記述を見つけました。
https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=4655281&tag=1
”マスキングを用いる手法では、LSBによる手法に比べて圧縮処理、切り取り、...
5
票
2
回答
276
閲覧数
ゲームサーバーで、不正なリクエストを防ぐ方法は?
例えば、ブラウザ上でプレイできるテトリスを実装したとして、そのランキングをサーバー上で集計するとします。
ユーザーがプレイを終えたタイミングで、ゲームサーバーにスコア情報を通信しますが、それが、ユーザーが例えばブラウザ上の DevConsole を開くなどして、通信先を特定し、スコア情報更新 api を特定し、そこに任意のスコアを入力してサーバーに送信することで、...
2
票
1
回答
469
閲覧数
パス名を秘匿してダウンロードさせるには
小さい会社で顧客向け会員サイト(PHP)の運営管理をしています。
会員向けにそれぞれの会員毎の取引状況が記載されたpdfファイルをダウンロードできる機能を実装しようとしています。
ダウンロードボタンに直にファイルのurlをリンクさせてしまうとファイルの保存パスが分かってしまいます。ファイル名を長い文字数のランダムなものにしてもパスが分かってしますとセキュリティ上かなり問題があり、...
1
票
1
回答
126
閲覧数
外部へ送信した(しようとしている)情報の監視
PC(Windows, Mac, Linux)とスマホ(iOS, Android)の両方についての質問ですが、外部に送信した情報を確認したり、これから送信しようとしているものの内容をチェックして必要に応じてブロックしたりといったことはできるのでしょうか?
その際、「暗号化されているから中身を監視できない」というようなことはありますか?
3
票
2
回答
87
閲覧数
SecureMemを使用することのセキュリティ上の利点について
Basic HTTP auth with Scottyを読んで、Data.SecureMemというモジュールを使うと、タイミング攻撃を防止(軽減?)できることを知りました。
その後SecureMemについて調査してみたのですが、あまり情報がなく、唯一参考になりそうなのがData.SecureMemのドキュメントの次の記述でした。
SecureMem is a memory chunk ...
1
票
1
回答
133
閲覧数
github 初回 clone 時の authenticity を、正しくとりあつかう方法は?
Github から Git で ssh で初回 clone するときには、「authenticity が確認できない」といったようなメッセージがでます。
The authenticity of host 'github.com (xxx.yyy.zzz.www)' can't be established.
これは個人で開発している場合には何も考えずに yes を一回だけ押せば、...
6
票
5
回答
4,340
閲覧数
sshd のポートを 22 から変更するのはセキュリティとして有効?
aws で web アプリケーションのサーバーを開発していたとします。特に、 production 環境などについての質問です。
昨日友人と話していたところ、 production 環境なので、なるべく secure にするべきであり、なので ssh ポートはデフォルト(22) から変更するべきである、といった話を聞きました。
個人的に、 Conventional ...
1
票
0
回答
241
閲覧数
レシート検証用サーバーAPIで認証機能は必要かどうか (in-app purchase)
サーバーとの通信のないローカルのみで動く、iOSアプリを運営しています。
この度、継続課金機能導入のため、レシート検証用に独自サーバー・APIを作成したのですが、
レシート検証のEndpointのみでも安全のためアクセストークンによる認証機能(例: JWT)は実装すべきでしょうか?
アクセストークンを用いず、クライアントがこのAPIを叩くのはセキュリティ上まずいでしょうか?
...
2
票
1
回答
571
閲覧数
.NETアプリケーションで利用者に見せられない情報の保存方法
.NETアプリケーションにおいて、アプリケーションで使用する必要があるが利用者に見せられない情報の管理方法について悩んでいます。
例えば DB の接続情報は、アプリケーションには必要ですが利用者には見せたくありません。
暗号化すれば良いとは思いますが、そうなると今度は鍵をどこに保存するのかという問題になります。
何か定石やうまい方法はないでしょうか。
以下、検討したことです。
・...
1
票
1
回答
583
閲覧数
悪意のある javascript が実行できることは?
話を簡単にするために、ブラウザ・ホストOSの脆弱性などはなかったと(考慮しないように)します。
悪意のある javascript を含むページを開いてしまった場合に、そのコード断片が実行可能なことは何になりますか? これも簡単のために、それは malicious-web.com という攻撃者独自のドメイン・サイトを閲覧してそこから実行されたとしています。
個人的にこれを聞こうと思った背景には、...
5
票
2
回答
2,005
閲覧数
Cのprintfでの$(ドルマーク)の意味
よくCTFなどで書式化文字列攻撃をするときに%4$xというような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか?
書式文字列攻撃について解説したこのページでも出てきています
書式指定文字列攻撃
"%n$x"という表記によって、n+1番目の引数があるべき位置の値を表示することもできる。これでスタックの先の方も覗けるし、...
0
票
2
回答
210
閲覧数
システムアーキテクチャ的に、 Windows でウイルスは狙いやすい要因はある?
ウイルス、ないしマルウェアは、
ユーザーの意図しないうちに
ユーザーの不利益になるような挙動をするプログラムがインストールないし実行されること
だと考えられます。以下、この状態になることをマルウェア感染と言います。
ウイルス、ないしマルウェアの話題は Mac よりも Windows でよく聞く話な気がしています。上で考えたように、割と定性的にマルウェア感染を捉えるならば、それぞれの OS ...
1
票
1
回答
115
閲覧数
HTTPからHTTPSへの通信はセキュアですか?
ローカルに立てた管理ページ(http://localhost:3000)からAPIサーバー(https://api.myapp.com/admin/*)へ通信し、コンテンツを編集する…という設計を考えています。
通信する際にヘッダーへ管理者用パスワードを含めるのですが、この手法はセキュアなのでしょうか。
ちなみにAPIサーバーは管理者用エンドポイントの他に公開用エンドポイントも存在します。