[security] タグが付いた質問
91
質問
0
票
0回答
50 件の閲覧数
iOS のアプリは暗号化されているらしいのですが、それはどのような機構で実現されているのでしょうか?
モバイルアプリのセキュリティについて調べていく過程で、 https://stackoverflow.com/a/5557283/3090068 のような記事を何回か見掛けたりします。どういうことかというと、 iOS において、配布されているアプリは暗号化されている、という趣旨の記述です。
質問
iOS アプリが仮に暗号化されているとして、それはどのタイミングで、誰が、何を、...
0
票
0回答
71 件の閲覧数
Keychainの使用方法について
基本的なことで申し訳ないのですが教えてください。
開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか?
keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。
Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか?
...
0
票
0回答
62 件の閲覧数
TailsOS 導入中に、COMODOがgeneric.trojan.C@13を検出。chromeで ウェブでのアクティビティが監視されています。と表示されるようになりました。
ことの発端はbalenaEtcherにてUSBにTailsOSをインストールしている最中のことです。
セキュリティのCOMODOFirewallがgeneric.trojan.C@13を検出し、USBへのインストールが停止
してしまいました。
はじめは誤検出かと思ったのですが、chromeブラウザにも異変が起こり、
お気に入りバーの下に、監視されている旨の警告文が表示されるようになり、
...
2
票
1回答
113 件の閲覧数
DDoSを予告されたときに、すぐにできる緩和策はありますか?
自らの運営するサービスに対するDDoS攻撃を予告された場合、突然攻撃されることと比較して良い点はありますか?
例えば、「1時間後に攻撃する」と予告された場合、1時間でできるなんらかの緩和策はあるのでしょうか。
また、30日後の攻撃を予告された場合はどうでしょうか。
0
票
1回答
418 件の閲覧数
ESET がインストールされた mac で、 ウェブアプリに [::1] のアドレスで接続できないのは何故?
セキュリティソフトの ESET を入れた mac にて開発を行っています。
この mac で、たとえば rails などの開発サーバーを立ち上げたとき、 127.0.0.1:3000 などの ipv4 経由のアクセスでは rails に問題なく疎通できますが、 localhost:3000 や [::1]:3000 でアクセスしようとすると、ネットワークが eset ...
2
票
0回答
99 件の閲覧数
GCP IAMでAWS STSの様に一時ユーザcredentialsを発行したい
お世話になります。
掲題の通りですが、クライアントアプリから直接GCPのサービスにアクセスするために、
AWS STSのgetFederationTokenの様なもので一時ユーザを発行することはできますでしょうか。
もしくは、それ以外にGCP固有のエンドユーザが直接GCPのAPIリクエストを行う際のセキュリティ的アプローチがあるようであれば、
そういったものでも問題無いと考えております。
...
0
票
1回答
46 件の閲覧数
RaisのomniauthでGoogleログインのコールバック時に403エラーとなる
RaisのomniauthでGoogleログインの実装を行っており、ローカル環境では正常に動作しています。
サーバー環境(CentOS, Nginx)ではGoogleの認証後に以下のようなURLにコールバックされた時、403エラーが表示されてしまいます。
https://dummy.com/auth/google_oauth2/callback?xxxxxxx&scope=email+...
-1
票
2回答
166 件の閲覧数
ハッカーは個人宅のIPアドレスを入手した後どのように個別のパソコンに対して侵入を行うのでしょうか?
1.メールの送信元からグローバルIPアドレスを入手
2.この時点で相手のブロードバンド・ルータに当てられているIPアドレスがわかる。
ここまでは想像がつくのですが、その後DHCPサーバ機能でローカルのIPアドレスが割り振られていると思うのですが個別のパソコンに対してどのように攻撃するのでしょうか?
Ping グローバルIP.ローカルIPのようにパケットを投げかけたりできるのでしょうか?
3
票
2回答
168 件の閲覧数
NATでセキュリティレベルが向上するのはなぜ?
NATについて授業を受け、その中でNATを使う利点に
IPv4の枯渇問題へ対処できる
一か所にIPアドレスの設定が集中しておりISPの移行などが容易
内部ローカルアドレスが隠蔽できるのでセキュリティレベルが上昇する
という3つが上げられました。
最初2つは理解できるのですが、3つ目の「セキュリティレベルが上昇する」とはどういう意味なのでしょうか?
僕の認識では、...
0
票
0回答
47 件の閲覧数
複数のユーザー向けサービス、共通のID基盤方式で、ウェブアプリを実装する際の認証の実現方法
たとえば、株式会社はてなのサービス群のように、様々なサービスを展開しながら、その認証基盤(ユーザーID管理)は共通化されているようなウェブアプリケーション(群)を実装したいとします。それぞれのサービス自体は Rails や django で素直に実装すれば良さそうだと考えています。
このような開発を行うとき、この認証基盤をどのように実装するべきかが、自明ではないな、と思いました。
質問
...
0
票
2回答
174 件の閲覧数
HTMLエスケープについて
質問
HTMLエスケープはどういう時に必要ですか?
質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します
下記ケースでは、それぞれ(...
2
票
1回答
122 件の閲覧数
本番デプロイで/var/www以下を公開してもセキュリティ的に大丈夫ですか?
Linux&Laravel初心者です。本番デプロイについて、セキュリティが心配です。
/var/www 以下を公開ディレクトリ?にしています。
projectName = laraprojectです。公開ディレクトリ サーバのデフォルト値の/var/www/html
ここに htmlディレクトリに ->にindex.phpなどのpublicフォルダの中身を起き
vendor類の本体を /...
0
票
0回答
30 件の閲覧数
IAMトークンを利用してクライアントから直接Watsonへリクエストするのはセキュアでしょうか
IAMトークンの取得をサーバー側で行い、クライアントへアクセストークンを受け渡し、その後はクライアントから直接Watsonへリクエストすることを考えています。
こうするとユーザーからアクセストークンが参照できるようになりますが、セキュリティ上問題ありますでしょうか。
アクセストークンをBase64デコードすると色々な情報が見れるのですが、機密にしなければいけない情報が入っているのか判断ができません…...
0
票
1回答
117 件の閲覧数
Androidの暗号化と鍵の管理について教えて下さい。
Androidでデータの暗号化と鍵の管理を行うには、Android Keystore Systemを使用するようにデベロッパーページなど記載されていますが、このキー管理はFactoryResetで消えてしまうようです。FactoryResetで消えずにセキュアな鍵の保持方法はないでしょうか?申し訳ないですがご教授下さい。
2
票
1回答
141 件の閲覧数
google検索でreCAPTCHAの画像のフェードアウト速度が変化するのには技術的な理由がありますか
利用する図書館ではgoogleを利用しており、そこで検索するとreCAPTCHAが出てきます。
自宅ではチェックマークを押して画像を数回選ぶだけで済むのですが、図書館では画像が消えたり出てきたりするのが非常にゆっくりで、画像をクリックするのを5分ほど繰り返さないと先に進めませんでした。
reCAPTCHAでは正しい画像がクリックされたかで人間かロボットかを見分けると理解してますが、
...
2
票
2回答
2,646 件の閲覧数
自作のプログラムがウイルスとして検出されてしまうのはなぜですか?
引数のポインタ渡しについてのプログラムなのですが、パソコンに入っているスーパーセキュリティというセキュリティソフトに引っかかってしまいました。参考書通りのプログラムなのでプログラム自体の問題かセキュリティソフトの問題なのかわかりません。プログラムの問題でウイルスが検出されるということがあるのかお教え願います。
#include <stdio.h>
void myFunc1(int ...
1
票
3回答
653 件の閲覧数
GitHubから通知された “Security Alert” の対処方法を教えてください
以下の質問についてご存知の方がいらっしゃいましたらご教示を願います。
【質問の主旨】
GitHubにプッシュしているディレクトリの一部のファイルについて"serialize-javascript"というお知らせが来ました。どのように対処すれば良いでしょうか?
【質問の補足】
1.
お知らせに基づいて内容を調べていくと、一部のディレクトリ内で使われている以下のコードが
...
-6
票
1回答
227 件の閲覧数
マルウェアを作るにはどのような勉強をしたら良いですか? [クローズ済み]
マルウェアを作るにはどのような勉強をしたら良いですか?
セキュリティですか?pythonですか?もちろん技術的な興味です。
作る方法では無くて、作るのに必要不可欠な知識のことです。
5
票
2回答
479 件の閲覧数
eval関数をwebフォームなどで使うとなぜ危険なのか?
evalをwebのフォームなどで使うとよくないと聞いたのですがなぜでしょうか?
よくない理由を書いている人が掲示板にいました。
If you apply eval() to a string that's given by a user (e.g. in a web form), you might get unintended behaviour which might get you ...
5
票
2回答
205 件の閲覧数
BIOSパスワードはどんな安全性を担保していますか?
質問
BIOSパスワードは代表的にはどのようなものがあって、それぞれどんな安全性を担保していますか?
経緯
他の方の質問を読んでいて、「BIOSパスワード」と呼ばれるものが複数あると気付きました。英語版Wikipediaを見ると、次のようにBIOSのパスワードにも色々あると書かれています。
Setting various passwords, such as a password ...
7
票
3回答
919 件の閲覧数
メールアドレスに記号を許すことによるリスクはありますか?
Gmail ではメールアドレスに + 記号を付けることでひとつのアカウントのメールアドレスにタグを付けて扱うことができます。しかしたとえばユーザー登録時のメールアドレスに + 記号が含まれていると「正しいアドレスを入力してください」とバリデーションエラーを出すウェブアプリにしばしば遭遇します。
RFC 5322 によると、メールアドレスのローカルパートには記号 !#$%&'*+-/=?^...
0
票
0回答
98 件の閲覧数
AWSのEC2で作成したサーバのセキュリティ対策に使用できるサービスは何があるでしょうか
■保有知識
・AWSはネットで調べただけで実際の構築経験は無し
・セキュリティに関する設計、構築は未経験
■質問
AWSを使用します。
EC2サーバーを1台構築し、オンプレミスの社内サーバーと接続します。
業務アプリの評価用の環境なので、最小構成での構築とするつもりです。
(VPC内にEC2サーバーを1台構築し、EBSとS3を使用。自社環境のルーターとインターネットVPNで接続。)
...
0
票
2回答
214 件の閲覧数
PHPでのSQLインジェクション対策
PHPにSQLインジェクション対策をしたいのですが、
"SELECT * FROM hogehoge WHERE id = '$id' AND number = '$data'
というSQL文を組み立てる場所で、idには引数として整数が入るので文字列リテラルで対策出来ますが、dataには
>>整数
という引数を渡すので、文字列リテラルでは対策出来ないという状況に陥っています。
...
-2
票
3回答
404 件の閲覧数
任意ユーザが投稿したzipファイルを安全にダウンロードするには?
任意ユーザが投稿した(任意のプログラム系の)zipファイルを、PHPで安全にダウンロードする仕組みを作りたいのですが、注意すべきことは何ですか?
HTML出力の場合は「特殊文字を HTML エンティティに変換」しますが、ダウンロードの場合に該当する処理はありますか?
例えば、zipファイル形式ではなく、個別ファイルでexe形式以外の拡張子のみokとすれば安全ですか?
0
票
1回答
299 件の閲覧数
Djangoのrunserverの脆弱性について
WEBアプリをDjangoで開発しようとしています。そこで気になったのがrunserverのセキュリティです。
開発用とは言えサーバーを立ち上げるので、攻撃されるリスクか0ではないのかなと思いました。(この辺りの知識が薄いためもしかしたらとんちんかんな事を言っているかもしれないです、申し訳ありません。)
ここで言う攻撃は、そのサーバー経由で開発してるコードが漏洩したり、...
2
票
1回答
1,288 件の閲覧数
IPアドレスから住所を検索するサイトの検索結果が変わるのはなぜか?
セキュリティについて勉強しているものです。
最近、IPアドレスで自分をトラックしつつ働きを確認しているのですが
IPアドレスから大体の住所を検索するサイトで検索すると
質問1
サイトによって大きく異なる住所が返されます。これはどうしてでしょうか?
https://ipinfo.io/
https://db-ip.com/all/
https://www.iphiroba.jp
質問2
...
3
票
1回答
248 件の閲覧数
ブラックリストにあるURLの通信制御
メールなどからエクセルやwordファイルが送られてくると思うのですが、ITリテラシーが低い方だとそれをダウンロードをし、閲覧してしまうと思います。
そこまでは良いのですが、閲覧したときに「マクロを有効化しますか」と表示された際、間違えて有効にしてしまう人がいます。それが原因でマクロからマルウェアがダウンロードされ、PCが感染してしまう可能性があります。
それを防ぐために、...
6
票
1回答
145 件の閲覧数
ステガノグラフィについて
現在、画像にデータを埋め込む”ステガノグラフィ”について調べています。
とある論文を読んでいたところ、以下のような記述を見つけました。
https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=4655281&tag=1
”マスキングを用いる手法では、LSBによる手法に比べて圧縮処理、切り取り、...
5
票
2回答
247 件の閲覧数
ゲームサーバーで、不正なリクエストを防ぐ方法は?
例えば、ブラウザ上でプレイできるテトリスを実装したとして、そのランキングをサーバー上で集計するとします。
ユーザーがプレイを終えたタイミングで、ゲームサーバーにスコア情報を通信しますが、それが、ユーザーが例えばブラウザ上の DevConsole を開くなどして、通信先を特定し、スコア情報更新 api を特定し、そこに任意のスコアを入力してサーバーに送信することで、...
2
票
1回答
322 件の閲覧数
パス名を秘匿してダウンロードさせるには
小さい会社で顧客向け会員サイト(PHP)の運営管理をしています。
会員向けにそれぞれの会員毎の取引状況が記載されたpdfファイルをダウンロードできる機能を実装しようとしています。
ダウンロードボタンに直にファイルのurlをリンクさせてしまうとファイルの保存パスが分かってしまいます。ファイル名を長い文字数のランダムなものにしてもパスが分かってしますとセキュリティ上かなり問題があり、...
1
票
1回答
121 件の閲覧数
外部へ送信した(しようとしている)情報の監視
PC(Windows, Mac, Linux)とスマホ(iOS, Android)の両方についての質問ですが、外部に送信した情報を確認したり、これから送信しようとしているものの内容をチェックして必要に応じてブロックしたりといったことはできるのでしょうか?
その際、「暗号化されているから中身を監視できない」というようなことはありますか?
3
票
2回答
86 件の閲覧数
SecureMemを使用することのセキュリティ上の利点について
Basic HTTP auth with Scottyを読んで、Data.SecureMemというモジュールを使うと、タイミング攻撃を防止(軽減?)できることを知りました。
その後SecureMemについて調査してみたのですが、あまり情報がなく、唯一参考になりそうなのがData.SecureMemのドキュメントの次の記述でした。
SecureMem is a memory chunk ...
5
票
5回答
3,028 件の閲覧数
sshd のポートを 22 から変更するのはセキュリティとして有効?
aws で web アプリケーションのサーバーを開発していたとします。特に、 production 環境などについての質問です。
昨日友人と話していたところ、 production 環境なので、なるべく secure にするべきであり、なので ssh ポートはデフォルト(22) から変更するべきである、といった話を聞きました。
個人的に、 Conventional ...
1
票
1回答
95 件の閲覧数
github 初回 clone 時の authenticity を、正しくとりあつかう方法は?
Github から Git で ssh で初回 clone するときには、「authenticity が確認できない」といったようなメッセージがでます。
The authenticity of host 'github.com (xxx.yyy.zzz.www)' can't be established.
これは個人で開発している場合には何も考えずに yes を一回だけ押せば、...
1
票
0回答
224 件の閲覧数
レシート検証用サーバーAPIで認証機能は必要かどうか (in-app purchase)
サーバーとの通信のないローカルのみで動く、iOSアプリを運営しています。
この度、継続課金機能導入のため、レシート検証用に独自サーバー・APIを作成したのですが、
レシート検証のEndpointのみでも安全のためアクセストークンによる認証機能(例: JWT)は実装すべきでしょうか?
アクセストークンを用いず、クライアントがこのAPIを叩くのはセキュリティ上まずいでしょうか?
...
2
票
1回答
424 件の閲覧数
.NETアプリケーションで利用者に見せられない情報の保存方法
.NETアプリケーションにおいて、アプリケーションで使用する必要があるが利用者に見せられない情報の管理方法について悩んでいます。
例えば DB の接続情報は、アプリケーションには必要ですが利用者には見せたくありません。
暗号化すれば良いとは思いますが、そうなると今度は鍵をどこに保存するのかという問題になります。
何か定石やうまい方法はないでしょうか。
以下、検討したことです。
・...
1
票
1回答
531 件の閲覧数
悪意のある javascript が実行できることは?
話を簡単にするために、ブラウザ・ホストOSの脆弱性などはなかったと(考慮しないように)します。
悪意のある javascript を含むページを開いてしまった場合に、そのコード断片が実行可能なことは何になりますか? これも簡単のために、それは malicious-web.com という攻撃者独自のドメイン・サイトを閲覧してそこから実行されたとしています。
個人的にこれを聞こうと思った背景には、...
5
票
2回答
1,378 件の閲覧数
Cのprintfでの$(ドルマーク)の意味
よくCTFなどで書式化文字列攻撃をするときに%4$xというような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか?
書式文字列攻撃について解説したこのページでも出てきています
http://d.hatena.ne.jp/kusano_k/20140302/1393781714
"%n$x"という表記によって、n+...
3
票
0回答
154 件の閲覧数
外国のセキュリティポリシーの一文について
セキュリティポリシーでよく外国のサイトで見られるのが以下のコメントです。
industry standard technical and organizational security measures
参考URL;https://instagantt.com/privacy.html
具体的にどのようなセキュリティをしているのかが分からないので、そのアプリを使用していいのか迷っています。...
0
票
2回答
194 件の閲覧数
システムアーキテクチャ的に、 Windows でウイルスは狙いやすい要因はある?
ウイルス、ないしマルウェアは、
ユーザーの意図しないうちに
ユーザーの不利益になるような挙動をするプログラムがインストールないし実行されること
だと考えられます。以下、この状態になることをマルウェア感染と言います。
ウイルス、ないしマルウェアの話題は Mac よりも Windows でよく聞く話な気がしています。上で考えたように、割と定性的にマルウェア感染を捉えるならば、それぞれの OS ...
0
票
1回答
84 件の閲覧数
iOSアプリにおけるmBaaS使用時のApplicationKey、ClientKey(Secret)のセキュリティについて
mBaaSを使ったiOSアプリを作る際、AppDelegate.swiftに下記のようなコードを書くと思います。(※例はNiftyCloudMobileBackend)
NCMB.setApplicationKey("XXXXXXX", clientKey: "YYYYYYYY")
このキーが漏れてしまうと、情報の更新が外部から可能になってしまうと思います。
例えば、...
1
票
1回答
111 件の閲覧数
HTTPからHTTPSへの通信はセキュアですか?
ローカルに立てた管理ページ(http://localhost:3000)からAPIサーバー(https://api.myapp.com/admin/*)へ通信し、コンテンツを編集する…という設計を考えています。
通信する際にヘッダーへ管理者用パスワードを含めるのですが、この手法はセキュアなのでしょうか。
ちなみにAPIサーバーは管理者用エンドポイントの他に公開用エンドポイントも存在します。
1
票
0回答
59 件の閲覧数
管理サイトにおけるAPIの認証について
現在あるサービスの管理サイトを作成しようと考えています。
この管理サイトはJavaScriptのSPAで構築しようとしています。以下にサービスの概要を書きます。
バックエンドのAppサーバ
ドメイン: backend.example.com
サーバ仕様: JSONによりデータベースに変更を加えたりデータを取得したりする。
管理サイトのAppサーバ
ドメイン: admin.example.com
...
6
票
1回答
415 件の閲覧数
PGPの鍵について
PGP(GnuPG)の使い方を勉強していたらいくつか疑問ができたので質問いたします。
PGPでは主鍵の他に、副鍵を複数作れると思います。
まず、(1)主鍵と副鍵の関係はどのようなものですか。
副鍵は主鍵に必ず署名されているのかなと思ったのですが、検索しても特にそのような記述は見当たりませんでした。
また、副鍵にはそれぞれに利用法(Signing、Certification(これは主鍵のみ?)、...
15
票
0回答
1,843 件の閲覧数
マルウェアが検出を試みるサンドボックスの比率について載っている文献を探しています
マルウェア解析のためのサンドボックスの実現手法としては,Xenなどのハードウェア仮想化技術やQEMUなどのエミュレーション技術が知られています.
マルウェアの多くはこうしたサンドボックスを検出しようとする(evasive malware)ため,マルウェアから検出されにくいtransparentなサンドボックスが望まれています.
しかし,RDTSCやICMP ...
1
票
1回答
187 件の閲覧数
jar ファイルが、確かに対象のソースからビルドされているかを確かめる方法はあるか
maven central など nexus repository を利用することで、いろいろな jar ファイルを依存関係として追加できます。ふと、ここでアップロードされている jar ファイルが、対象のソースコードからビルドされているのかを確かめる方法があるのか、と疑問に思いました。というのも、ソースコードをビルドしてデプロイする間に、悪意の第三者が入りこんで、 jar ...
0
票
1回答
130 件の閲覧数
任意のWebアプリケーションに対するセキュリティ確認について
一般に提供されている任意のWebアプリケーションについて、こちらのクレデンシャル(パスワードなど)をデータベースに保存する際に暗号化しているかどうかを、開発者側からでは無くユーザー側から確認できる手段は存在しますか?
0
票
1回答
690 件の閲覧数
file_get_contents、wp_remote_getのリスクについて
前提
google AMPページの対応をしています。
ヘッダに直書きするstyle amp-customを
sassファイルから自動的にcssファイルを生成している状況で
gulpにて書き込むか、phpのfile_get_contentsで
読み込むか、wordpressのwp_remote_getで
読み込むかというところで迷っています。
迷いが生じた背景
...
1
票
0回答
82 件の閲覧数
GoogleAnalyticsを導入したサイトで、PHPで生成するCookieをすべてHttpOnlyにして良いか
XSS対策としてCookieをFuelPHPのConfigを用いてHttpOnlyの設定にしようか検討しております。
しかし、実際にHttpOnlyに設定する前と後で、Cookieを見比べてみると
GoogleAnalyticsのCookieである
_dc_gtm_UA-XXXXXXXXXX=1
が減っていることがわかりました。
これはGoogle Tag ManagerとGoogle ...
8
票
3回答
373 件の閲覧数
暗号化技術の重ねがけが逆効果になるケースは無いか?
TLSで暗号化された通信経路上を流すデータに対して、アプレイケーションのレイヤで更に暗号化を独自にかける場合、それによってかえって保護のレベルがTLS単体よりも低下する可能性はありますか?
それとも、少なくともTLSによる保護のレベルまでは保証されますか?
もしTLS単体よりも低下する場合、例えばどのような理由により起こり得るでしょうか?
「SSL/...