[security] タグが付いた質問
109
質問
0
票
0
回答
69
閲覧数
ログイン認証なしでのFireStore使用のセキュリティについて
FireBaseのHostingとFireStoreを使ったアプリを考えています。
セキュリティ面で懸念があり、以下の内容について見識がある方がいらっしゃいましたら、ご教授いただきたいです。
また、もし今の構成でセキュリティリスクが高い場合、おすすめの構成なども頂けるとなおありがたいです。
【作りたいアプリ概要】
・Webブラウザで使用するアプリ
・一般公開、ログイン認証なしで誰でも投稿可能
(・...
0
票
1
回答
215
閲覧数
Rails API × Next におけるCSRF対策はCORSの設定だけで良いのかどうか
[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。
この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか??
CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。
...
2
票
1
回答
97
閲覧数
DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定することについて
疑問点
AWS において、DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定したいのですが、
webサーバーにアタッチされているsgの内容を踏まえて、そのsgをDBのsgに設定して良いのか疑問があります。
疑問内容
以下がwebサーバーに設定されているsgの詳細です。
※インバウンド
HTTP(TCP):0.0.0.0/0
SSH(TCP):マイIP
...
0
票
2
回答
106
閲覧数
Azure製品がセキュリティ要件を満たしているのか知りたい
Azureの下記サービスの使用を検討しています。
Azure SQL Database
Azure Storage
上記のサービスが下記のセキュリティ評価を満たしているかご存知でしょうか?
調べてみたのですが、情報がありませんでした。ユーザ様のセキュリティ要件に
該当する内容ですので何卒ご回答をお願いします。
セキュリティ要件:
データセンターがティア4以上
ISMSクラウドセキュリティ認証(...
0
票
2
回答
162
閲覧数
攻撃を受ける可能性について
お世話になります。
サーバーが外部より侵入・攻撃を受ける可能性についてお伺いしたいのですが、
以下コマンドを実行し、SSL証明をOFFにしたままにした場合、
どういったリスクがあるか、ご教授いただけないでしょうか。
よろしくお願い致します。
git config --global http.sslVerify false
2
票
0
回答
407
閲覧数
grub2の脆弱性に対する外部からの攻撃可能性について
https://access.redhat.com/security/cve/CVE-2022-28733
現在、上記grub2の脆弱性について影響調査を進めております。
ページの内容をみたところ、ipv4パケット操作に関する脆弱性であることや、attack vectorがNetworkとなっておることから、外部から攻撃が可能なものと読み取っております。
とはいえ、...
1
票
0
回答
88
閲覧数
クライアント証明書の方がAPI Keyよりもセキュアなのでしょうか?
2つのシステムのAPI連携方法を検討しています。API Keyよりもクライアント証明書の方がセキュアそうに感じているのですが、実際はどうなのでしょうか?API Key、クライアント証明書ともに攻撃者に流出、推測したら情報流出のリスクがあるのでセキュリティ強度は同じと考えるべきでしょうか?
1
票
1
回答
142
閲覧数
専用サーバーを利用することで仮想サーバーよりもホスティング業者からの攻撃への保護が追加されますか
サーバーの選定にあたってVPS、クラウド、専用サーバーのキーワードで調べていたら以下の記述を見つけました:
匿名VPNの「ibVPN」をおすすめしないこれだけの理由
クラウドやVPSを積極的に利用し、ランニングコストを抑えています。 もちろん専用サーバも中にはあるのでしょうが、混ぜている時点で不可。
いくらクラウド/VPS上でノーログだとしても、...
1
票
1
回答
134
閲覧数
エンドツーエンドの暗号化ではメディアコンテンツの暗号化は難しいのですか?
ツイッターを見ていると、このようなツイートを見かけました
E2EE は原理上鍵交換が信頼できる形で行われてるか利用者から検証することがかなり難しい、データ量の都合でメディアコンテンツは暗号化されない(できない)ことが多い、概念が難しすぎて一般客からはそうしたあれこれの妥当性を理解できない、などベネフィットとダルさがあまり釣り合ってないと思う
https://twitter.com/ssig33/...
0
票
1
回答
250
閲覧数
設置したphpファイルをDLするとき、php処理部分を表示した状態でファイルをダウンロードされてしまう危険はありますか?
web系プログラムに関して知識が浅いので教えてください。
サーバーに設置されているファイルの中身の <?php ~ ?> で囲われた部分はブラウザの開発者ツールやソースコード表示画面からは自動的に非表示になり、php処理が記載されているファイルをDLしても勝手に非表示になる認識ですが、このphp処理部分が記載されている状態でDLされてしまう事はあるのでしょうか。
また、...
0
票
3
回答
242
閲覧数
ウェブサイト閲覧で感染するコンピューターウィルスの仕組みってどうなってるんでしょうか。
最近htmlを真面目に組むようになりました。
そこで、参考に複数のサイトを眺めていると色々と危険なページを見つけることがあります。
キャッシュポイズニングされてたりetc.
サイトを閲覧しただけで感染するタイプのウィルスがありますが、あれはhtmlやphp、JavaScript等のサイトを構築する言語で生成されるのでしょうか。
それともウェブサイトにアクセスした瞬間、...
0
票
1
回答
288
閲覧数
DBサーバーへ接続する際のIPブロックについて
Vercelの公式ドキュメントの記述についてですが、
DBに接続する際のIPブロックについて違和感を感じる記述があったので、妥当な内容なのか教えてもらえないでしょうか。
https://vercel.com/docs/concepts/solutions/databases
こちらのページの「Allowing & Blocking IP Addresses」の項目です。
...
3
票
2
回答
214
閲覧数
プライベートネットワーク内のDBにパスワードを設定する意味はありますか?
プライベートネットワーク内にサーバー(192.168.0.100)があり、dockerでmongodbサーバーを建てたとします。特に外部に公開する予定はなく、公開する方法も理解できていません。
このmongodbはローカル内でしかアクセスしないのでパスワードを設定しても意味がないという認識で間違いないでしょうか?それとも何かリスクはありますか?
0
票
1
回答
177
閲覧数
シークレットキーの管理はどの様に行うべきか
状況
Laravel8とFirebase Authenticationを用いてWebアプリケーションを作成しました。
以下のサイト様を参考に、resources/keys/配下にFirebaseからダウンロードしたjsonファイルを設置し、アプリケーション側で利用しています。
Laravel6.0 の認証を Firebase のTwitter Oauth認証で行ったメモ
.env
...
0
票
1
回答
96
閲覧数
MacOSのコマンドラインで、悪意のあるプロセスを特定する方法
アンチウイルスソフトなどで、マルウェアや、悪意のあるプロセスなどを特定することができると思いますが、これをOSSを使って、コマンドラインでやる方法はありますか?
0
票
1
回答
531
閲覧数
HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して
HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。
その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、
HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。
<img src="http://www.sample.jp:443/&...
1
票
1
回答
226
閲覧数
NUXTでのKEY情報の隠蔽について
NUXTからAPIを叩く際にKey設定をうまく設定しないと漏洩すると複数のところでみるので、自分の手元でも本当にそうなるのか確認したいのですが、場所がよくわかりらず。。。
具体的にどの場所に書かれているのかご教授頂けますと幸いです。
例えば、こちらのブラウザーから確認できるという表現や
NuxtJSでgenerate時のみmicroCMSのAPIキーを隠す - Qiita
...
1
票
1
回答
145
閲覧数
クラウドIISの仮想フォルダのセキュリティ確保について教えてください
さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。
IISでは社内アプリのダウンロードサイトを公開しています。
そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。
一方で、社内アプリ自体は、.NET Framework のClickOnceを使っていて、...
0
票
4
回答
387
閲覧数
PHP ユーザーログインパスワードの保存先
PHPを学び始めて1年以内の者です。
・$_SESSIONにパスワードを格納するのは安全ではない
・DBにはハッシュ化したパスワードのみを保存
以上をふまえ、
ユーザー情報変更ページで、各々が自分のパスワードを変更をできるよう設定したいのですが
編集ページのform内に「現在のパスワード: ****** 」というようにアスタリスクで表示させたい場合、
慣例となっているやり方はあるのでしょうか。
(...
0
票
0
回答
156
閲覧数
おとり用サーバー(ハニーポット)の作り方
インターネットからの不正アクセス(主に高度標的型攻撃)を分析する目的で、おとり用サーバー(いわゆるハニーポット)を作成しました。目的は下記です。
①どこから(IP/プロバイダ/国など)の攻撃が多いか分析
②攻撃に使用されるツールの取得
③C&CサーバーのIP取得
作成にあたり、他のサーバーへ被害が及んではいけないためある程度できることを絞っています。ただそのせいか、...
0
票
1
回答
163
閲覧数
Postgres の COPY tablename FROM stdin with csv はSQLインジェクションの危険性がありますか?
使用しているのはpython、psycopg2
下記のようなコードが実行するとき、一回ファイルの中身を読み込み、標準入力からDBへ書き込みます。
もし、ファイルの中身にSQLインジェクションができるような記述がある場合、OSに解釈され、SQLインジェクションが発生する可能性があるのでしょうか?
conn_config = dict(port="5432", dbname=&...
1
票
0
回答
83
閲覧数
iOS のアプリは暗号化されているらしいのですが、それはどのような機構で実現されているのでしょうか?
モバイルアプリのセキュリティについて調べていく過程で、 https://stackoverflow.com/a/5557283/3090068 のような記事を何回か見掛けたりします。どういうことかというと、 iOS において、配布されているアプリは暗号化されている、という趣旨の記述です。
質問
iOS アプリが仮に暗号化されているとして、それはどのタイミングで、誰が、何を、...
0
票
0
回答
91
閲覧数
Keychainの使用方法について
基本的なことで申し訳ないのですが教えてください。
開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか?
keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。
Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか?
...
2
票
1
回答
135
閲覧数
DDoSを予告されたときに、すぐにできる緩和策はありますか?
自らの運営するサービスに対するDDoS攻撃を予告された場合、突然攻撃されることと比較して良い点はありますか?
例えば、「1時間後に攻撃する」と予告された場合、1時間でできるなんらかの緩和策はあるのでしょうか。
また、30日後の攻撃を予告された場合はどうでしょうか。
-1
票
2
回答
731
閲覧数
ハッカーは個人宅のIPアドレスを入手した後どのように個別のパソコンに対して侵入を行うのでしょうか?
1.メールの送信元からグローバルIPアドレスを入手
2.この時点で相手のブロードバンド・ルータに当てられているIPアドレスがわかる。
ここまでは想像がつくのですが、その後DHCPサーバ機能でローカルのIPアドレスが割り振られていると思うのですが個別のパソコンに対してどのように攻撃するのでしょうか?
Ping グローバルIP.ローカルIPのようにパケットを投げかけたりできるのでしょうか?
3
票
2
回答
880
閲覧数
NATでセキュリティレベルが向上するのはなぜ?
NATについて授業を受け、その中でNATを使う利点に
IPv4の枯渇問題へ対処できる
一か所にIPアドレスの設定が集中しておりISPの移行などが容易
内部ローカルアドレスが隠蔽できるのでセキュリティレベルが上昇する
という3つが上げられました。
最初2つは理解できるのですが、3つ目の「セキュリティレベルが上昇する」とはどういう意味なのでしょうか?
僕の認識では、...
0
票
1
回答
121
閲覧数
RaisのomniauthでGoogleログインのコールバック時に403エラーとなる
RaisのomniauthでGoogleログインの実装を行っており、ローカル環境では正常に動作しています。
サーバー環境(CentOS, Nginx)ではGoogleの認証後に以下のようなURLにコールバックされた時、403エラーが表示されてしまいます。
https://dummy.com/auth/google_oauth2/callback?xxxxxxx&scope=email+...
0
票
2
回答
327
閲覧数
HTMLエスケープについて
質問
HTMLエスケープはどういう時に必要ですか?
質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します
下記ケースでは、それぞれ(...
0
票
1
回答
639
閲覧数
ESET がインストールされた mac で、 ウェブアプリに [::1] のアドレスで接続できないのは何故?
セキュリティソフトの ESET を入れた mac にて開発を行っています。
この mac で、たとえば rails などの開発サーバーを立ち上げたとき、 127.0.0.1:3000 などの ipv4 経由のアクセスでは rails に問題なく疎通できますが、 localhost:3000 や [::1]:3000 でアクセスしようとすると、ネットワークが eset ...
2
票
1
回答
188
閲覧数
本番デプロイで/var/www以下を公開してもセキュリティ的に大丈夫ですか?
Linux&Laravel初心者です。本番デプロイについて、セキュリティが心配です。
/var/www 以下を公開ディレクトリ?にしています。
projectName = laraprojectです。公開ディレクトリ サーバのデフォルト値の/var/www/html
ここに htmlディレクトリに ->にindex.phpなどのpublicフォルダの中身を起き
vendor類の本体を /...
0
票
1
回答
245
閲覧数
Androidの暗号化と鍵の管理について教えて下さい。
Androidでデータの暗号化と鍵の管理を行うには、Android Keystore Systemを使用するようにデベロッパーページなど記載されていますが、このキー管理はFactoryResetで消えてしまうようです。FactoryResetで消えずにセキュアな鍵の保持方法はないでしょうか?申し訳ないですがご教授下さい。
2
票
3
回答
1万
閲覧数
自作のプログラムがウイルスとして検出されてしまうのはなぜですか?
引数のポインタ渡しについてのプログラムなのですが、パソコンに入っているスーパーセキュリティというセキュリティソフトに引っかかってしまいました。参考書通りのプログラムなのでプログラム自体の問題かセキュリティソフトの問題なのかわかりません。プログラムの問題でウイルスが検出されるということがあるのかお教え願います。
#include <stdio.h>
void myFunc1(int ...
2
票
1
回答
240
閲覧数
google検索でreCAPTCHAの画像のフェードアウト速度が変化するのには技術的な理由がありますか
利用する図書館ではgoogleを利用しており、そこで検索するとreCAPTCHAが出てきます。
自宅ではチェックマークを押して画像を数回選ぶだけで済むのですが、図書館では画像が消えたり出てきたりするのが非常にゆっくりで、画像をクリックするのを5分ほど繰り返さないと先に進めませんでした。
reCAPTCHAでは正しい画像がクリックされたかで人間かロボットかを見分けると理解してますが、
...
1
票
3
回答
1,634
閲覧数
GitHubから通知された "Security Alert" の対処方法を教えてください
以下の質問についてご存知の方がいらっしゃいましたらご教示を願います。
【質問の主旨】
GitHubにプッシュしているディレクトリの一部のファイルについて"serialize-javascript"というお知らせが来ました。どのように対処すれば良いでしょうか?
【質問の補足】
1.
お知らせに基づいて内容を調べていくと、一部のディレクトリ内で使われている以下のコードが
...
-6
票
1
回答
355
閲覧数
マルウェアを作るにはどのような勉強をしたら良いですか? [クローズ済み]
マルウェアを作るにはどのような勉強をしたら良いですか?
セキュリティですか?pythonですか?もちろん技術的な興味です。
作る方法では無くて、作るのに必要不可欠な知識のことです。
5
票
2
回答
1,393
閲覧数
eval関数をwebフォームなどで使うとなぜ危険なのか?
evalをwebのフォームなどで使うとよくないと聞いたのですがなぜでしょうか?
よくない理由を書いている人が掲示板にいました。
If you apply eval() to a string that's given by a user (e.g. in a web form), you might get unintended behaviour which might get you ...
5
票
2
回答
385
閲覧数
BIOSパスワードはどんな安全性を担保していますか?
質問
BIOSパスワードは代表的にはどのようなものがあって、それぞれどんな安全性を担保していますか?
経緯
他の方の質問を読んでいて、「BIOSパスワード」と呼ばれるものが複数あると気付きました。英語版Wikipediaを見ると、次のようにBIOSのパスワードにも色々あると書かれています。
Setting various passwords, such as a password ...
7
票
3
回答
2,560
閲覧数
メールアドレスに記号を許すことによるリスクはありますか?
Gmail ではメールアドレスに + 記号を付けることでひとつのアカウントのメールアドレスにタグを付けて扱うことができます。しかしたとえばユーザー登録時のメールアドレスに + 記号が含まれていると「正しいアドレスを入力してください」とバリデーションエラーを出すウェブアプリにしばしば遭遇します。
RFC 5322 によると、メールアドレスのローカルパートには記号 !#$%&'*+-/=?^...
0
票
0
回答
100
閲覧数
AWSのEC2で作成したサーバのセキュリティ対策に使用できるサービスは何があるでしょうか
■保有知識
・AWSはネットで調べただけで実際の構築経験は無し
・セキュリティに関する設計、構築は未経験
■質問
AWSを使用します。
EC2サーバーを1台構築し、オンプレミスの社内サーバーと接続します。
業務アプリの評価用の環境なので、最小構成での構築とするつもりです。
(VPC内にEC2サーバーを1台構築し、EBSとS3を使用。自社環境のルーターとインターネットVPNで接続。)
...
0
票
2
回答
236
閲覧数
PHPでのSQLインジェクション対策
PHPにSQLインジェクション対策をしたいのですが、
"SELECT * FROM hogehoge WHERE id = '$id' AND number = '$data'
というSQL文を組み立てる場所で、idには引数として整数が入るので文字列リテラルで対策出来ますが、dataには
>>整数
という引数を渡すので、文字列リテラルでは対策出来ないという状況に陥っています。
...
-2
票
3
回答
550
閲覧数
任意ユーザが投稿したzipファイルを安全にダウンロードするには?
任意ユーザが投稿した(任意のプログラム系の)zipファイルを、PHPで安全にダウンロードする仕組みを作りたいのですが、注意すべきことは何ですか?
HTML出力の場合は「特殊文字を HTML エンティティに変換」しますが、ダウンロードの場合に該当する処理はありますか?
例えば、zipファイル形式ではなく、個別ファイルでexe形式以外の拡張子のみokとすれば安全ですか?
0
票
1
回答
551
閲覧数
Djangoのrunserverの脆弱性について
WEBアプリをDjangoで開発しようとしています。そこで気になったのがrunserverのセキュリティです。
開発用とは言えサーバーを立ち上げるので、攻撃されるリスクか0ではないのかなと思いました。(この辺りの知識が薄いためもしかしたらとんちんかんな事を言っているかもしれないです、申し訳ありません。)
ここで言う攻撃は、そのサーバー経由で開発してるコードが漏洩したり、...
2
票
1
回答
2,044
閲覧数
IPアドレスから住所を検索するサイトの検索結果が変わるのはなぜか?
セキュリティについて勉強しているものです。
最近、IPアドレスで自分をトラックしつつ働きを確認しているのですが
IPアドレスから大体の住所を検索するサイトで検索すると
質問1
サイトによって大きく異なる住所が返されます。これはどうしてでしょうか?
https://ipinfo.io/
https://db-ip.com/all/
https://www.iphiroba.jp
質問2
...
3
票
1
回答
263
閲覧数
ブラックリストにあるURLの通信制御
メールなどからエクセルやwordファイルが送られてくると思うのですが、ITリテラシーが低い方だとそれをダウンロードをし、閲覧してしまうと思います。
そこまでは良いのですが、閲覧したときに「マクロを有効化しますか」と表示された際、間違えて有効にしてしまう人がいます。それが原因でマクロからマルウェアがダウンロードされ、PCが感染してしまう可能性があります。
それを防ぐために、...
6
票
1
回答
167
閲覧数
ステガノグラフィについて
現在、画像にデータを埋め込む”ステガノグラフィ”について調べています。
とある論文を読んでいたところ、以下のような記述を見つけました。
https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=4655281&tag=1
”マスキングを用いる手法では、LSBによる手法に比べて圧縮処理、切り取り、...
5
票
2
回答
300
閲覧数
ゲームサーバーで、不正なリクエストを防ぐ方法は?
例えば、ブラウザ上でプレイできるテトリスを実装したとして、そのランキングをサーバー上で集計するとします。
ユーザーがプレイを終えたタイミングで、ゲームサーバーにスコア情報を通信しますが、それが、ユーザーが例えばブラウザ上の DevConsole を開くなどして、通信先を特定し、スコア情報更新 api を特定し、そこに任意のスコアを入力してサーバーに送信することで、...
2
票
1
回答
615
閲覧数
パス名を秘匿してダウンロードさせるには
小さい会社で顧客向け会員サイト(PHP)の運営管理をしています。
会員向けにそれぞれの会員毎の取引状況が記載されたpdfファイルをダウンロードできる機能を実装しようとしています。
ダウンロードボタンに直にファイルのurlをリンクさせてしまうとファイルの保存パスが分かってしまいます。ファイル名を長い文字数のランダムなものにしてもパスが分かってしますとセキュリティ上かなり問題があり、...
1
票
1
回答
138
閲覧数
外部へ送信した(しようとしている)情報の監視
PC(Windows, Mac, Linux)とスマホ(iOS, Android)の両方についての質問ですが、外部に送信した情報を確認したり、これから送信しようとしているものの内容をチェックして必要に応じてブロックしたりといったことはできるのでしょうか?
その際、「暗号化されているから中身を監視できない」というようなことはありますか?
3
票
2
回答
88
閲覧数
SecureMemを使用することのセキュリティ上の利点について
Basic HTTP auth with Scottyを読んで、Data.SecureMemというモジュールを使うと、タイミング攻撃を防止(軽減?)できることを知りました。
その後SecureMemについて調査してみたのですが、あまり情報がなく、唯一参考になりそうなのがData.SecureMemのドキュメントの次の記述でした。
SecureMem is a memory chunk ...
1
票
1
回答
378
閲覧数
github 初回 clone 時の authenticity を、正しくとりあつかう方法は?
Github から Git で ssh で初回 clone するときには、「authenticity が確認できない」といったようなメッセージがでます。
The authenticity of host 'github.com (xxx.yyy.zzz.www)' can't be established.
これは個人で開発している場合には何も考えずに yes を一回だけ押せば、...