Skip to main content

[security] タグが付いた質問

このタグはアプリケーションのセキュリティやソフトウェアに対する攻撃に関するトピックにつけます。

126 件の質問
絞り込み
並べ替え
タグ付けされた
0
0 回答
57 閲覧数

LaravelでLarabergを安全に使いたい

Laravelを最近使い始めたのですが、HTML、CSSの知識がない方でも管理できるブログサイトを作成したく、LaravelでGutenbergが使える Laraberg というものを見つけたので実装しました。 しかしscriptタグを入力するとそのまま反映されてしまい、サニタイズがされていない状態です。 そのため Purifier ...
0
0 回答
171 閲覧数

セキュリティやProxyによってリクエストが失敗する環境を再現する方法を探しています

ブラウザ上のアプリケーションからリクエストを送ることを想定しています。例えば、 fetch("https//example.com")とリクエストしたとき、次のようなエラーが観測されることがあります。(CORSなどの基本的な設定は行われている前提です) ERR_CONNECTION_RESET ERR_TUNNEL_CONNECTION_FAILED ...
4
3 回答
221 閲覧数

厚労省の資料でSSL-VPNがIPsecよりも安全性が低いとされるのはなぜですか?

SNSで話題になっていたので、「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を読んだのですが、そこには次のようにSSL-VPNが原則使用しないこと、といったIPsecほどセキュアではない印象を抱かせることが書かれています。 しかし私の認識では、SSL-VPNも本来的には安全で、たとえばOpenVPNがIPsecを使用したVPNよりも安全ではない、...
0
1 回答
146 閲覧数

SELinuxで設定を変更しようとするとエラーになる

SSH接続用のポート番号をデフォルトの22番ポートから別のポート番号PORT_NUMに変更していました。そのためSELinuxで以下のコマンドを実行し、PORT_NUMでの通信を許可していました。 $ sudo semanage port --add --type ssh_port_t --proto tcp $PORT_NUM ある日"dnf update"...
0
1 回答
271 閲覧数

GASプログラムを実行するとGoogleによって打ち切られ実行できない

某大学のICT部門に勤務しています。 学期始めに大学の履修データに基づきGoogle Classroomのコース作成とメンバー登録を行う必要があり、 Google Classroom APIを実行するGASプログラムを用いて対応してきました。 Google Workspace for EducationライセンスでのGASの実行上限時間は30分ですが、 ...
1
1 回答
149 閲覧数

ECSで秘密鍵はどう管理する?

環境は、ECS上で動いているlaravelでAws\CloudFront\CloudFrontClientのaws sdkを使用しています。 セキュリティ上の問題からpemファイルはgithub上で管理できないため、外部(secrets managerなど)から設定する必要があります。 sdkで使用されるprivate_keyはファイルパス指定のため、pemファイルの中身だけ外部から渡すのではなく、...
0
1 回答
123 閲覧数

WAF (Web Application Firewall) の Siteguard で "監視" が検出された場合、問題はありませんか?

WAFで検知されるものには以下のように「拒否・監視・安全」がありますが、検知種別が「監視(monitor)」の場合は、特に大きな問題はないと判断してもいいものなのでしょうか? なにかアドバイスいただけますと幸いです。 拒否 ("block", "BLOCK"): リクエストを拒否し、検出メッセージをクライアントに応答します。 監視 ("...
1
1 回答
262 閲覧数

Windows(x64)環境におけるセキュアプログラミング

Windows環境において、解析されづらいライブラリやアプリケーションを開発しようとした際に、どのような技術があるのでしょうか? ネットで調べたところ、Intel SGX(Software Guard eXtensions)が該当するのかなと思ったのですが、2021年からリリースしている第11世代Core iプロセッサシリーズから廃止になっていると知り、代替案が何かないか探しています。 インテル® ...
1
3 回答
315 閲覧数

MySQL5.7のExtended Support Endsにつきまして

MySQL5.7のExtended Support Endsが2023年10月30日になっておりこの件について理解を深めたく質問させていただいております。 経緯として2023年10月現在、国内のレンタルサーバでMySQL8に対応しているところが少ないのである会社様のサポートに「MySQL8は使えますか?」と問い合わせたところ以下のような回答をいただきました。 「データベースについては準備中です。...
-2
1 回答
154 閲覧数

個人情報をアクセス制限をかけたWeb上で管理すると、どういうリスクがありますか?

最終的にやりたいこと ・(自分の)個人情報を後で参照しやすいよう(データベースのように)管理したい 対象 ・メールアドレス ・パスワード ・API Secret Key など ※項目は色々あり 案 ・サーバへインストールしたPHPとMySQLで作成 ・PHPでIPアドレス制限をかける(あるいはメールアドレスによるログイン認証を導入。もしくはIPアドレス制限+ログイン認証) ・URLは誰にも教えない ...
1
1 回答
134 閲覧数

oauth2.0 利用時の認可コードはサーバー間で共有しても良い?

OAuth2.0において、認可サーバーから発行された認可コードをサーバー間で共有し、認可サーバーからの発行先と異なるサーバーからリソースへアクセスすることは仕様上許容される操作なのでしょうか。 推奨されないであろうということはわかるのですが、RFC6749などを確認する限り、サードパーティーアプリケーションは単一のサーバーであるということが定義されていないため、...
2
0 回答
555 閲覧数

grub2の脆弱性に対する外部からの攻撃可能性について

https://access.redhat.com/security/cve/CVE-2022-28733 現在、上記grub2の脆弱性について影響調査を進めております。 ページの内容をみたところ、ipv4パケット操作に関する脆弱性であることや、attack vectorがNetworkとなっておることから、外部から攻撃が可能なものと読み取っております。 とはいえ、...
1
0 回答
150 閲覧数

eBPFのサンプルコード実行時に Argument list too long

現環境 eBPFの環境構築を以下のページを参考にして、動かしています。 ubuntu 20.04.3 LTS でeBPFをインストール uname -a Linux *** 5.4.0-156-generic #173-Ubuntu SMP Tue Jul 11 07:25:22 UTC 2023 x86_64 x86_64 x86_64 GNU/Linux 困っていること ...
-2
3 回答
334 閲覧数

miraiマルウェアの感染経路

miraiマルウェアが気になり、様々な記事や実際のコードを読んでみました。 IoTセキュリティガイドラインの国際標準化動向 「Mirai」とはどんなウイルス?感染の脅威や仕組み、対策を解説! miraiマルウェアは安直なユーザ名とパスワードに設定された機器に対し、辞書攻撃をすることで、IPカメラなどのIoTデバイスに感染することがわかりました。 感染後は、ラテラルムーブメントにより、...
0
0 回答
134 閲覧数

UPnPを用いて、ファイヤーウォールをバイパスする手法

UPnPを少し調べると、脆弱性が存在していることがわかりました。 ddos用のボットネット構築に用いられたり、スパムメール配信やワンクリック詐欺など,,,,, その中でファイヤーウォールを回避することも可能という記事を見つけました。 UPnProxy: Blackhat Proxies via NAT Injections 4ぺージにfirewallの回避方法があったのですが、...
0
2 回答
307 閲覧数

他人のセッションIDを使用されたときの対策

セキュリティの件で質問なんですがCakePHP3.9で作ったwebサービスで脆弱性診断を受けてログインユーザーAのセッションIDを使ってログインユーザーBがログインユーザーAの権限で操作できてしまうという報告がありました。 他人のセッションIDを使えばその人になりすまして操作できるのは当たり前だと思うのですが、...
0
3 回答
444 閲覧数

匿名掲示板のIDをクッキーに保存するのは危険ですか?

匿名掲示板を作成中です。仕様とご相談したいことは次の通りになります。 ・イメージとしては5ちゃんねるみたいな匿名掲示板 ・ログインはなし ・匿名だが各人にIDが振り分けられる ・IDの管理について悩んでいる 利用者が別のページに遷移したり、しばらく経って再び訪問した際、同じPCの同じブラウザからアクセスしたことを知るために、サーバーが発行したランダムな文字列のIDをサーバーのDBに保存し、...
1
1 回答
302 閲覧数

ログインIDとして使うメールアドレスは Case Sensitive / Insensitive?

メールアドレスは大文字小文字を区別しないで運用される慣習のようです。一方で、ここ StackExchange を含めてメールアドレスをログイン ID として使うサービスは多数あります。 Q. ログイン ID としてメールアドレスをユーザーが POST してきたとき、これを受け取るサービス側はログイン ID としてのメールアドレスの大文字小文字を区別すべきでしょうか、しないべきでしょうか? i.e; ...
1
0 回答
183 閲覧数

ログイン認証なしでのFireStore使用のセキュリティについて

FireBaseのHostingとFireStoreを使ったアプリを考えています。 セキュリティ面で懸念があり、以下の内容について見識がある方がいらっしゃいましたら、ご教授いただきたいです。 また、もし今の構成でセキュリティリスクが高い場合、おすすめの構成なども頂けるとなおありがたいです。 【作りたいアプリ概要】 ・Webブラウザで使用するアプリ ・一般公開、ログイン認証なしで誰でも投稿可能 (・...
0
1 回答
508 閲覧数

Rails API × Next におけるCSRF対策はCORSの設定だけで良いのかどうか

[Rails API × Next]の構成で、セッションCookieを使ってログイン状態の管理をする予定です。 この場合、Rails APIにCORSの設定をするだけで、CSRF対策は万全といえるのでしょうか?? CORSが設定されていれば、悪意のある外部サイト(異なるオリジン)からのリクエストを防いでくれるので、セッションCookieを利用した偽造リクエストもできないのかなと思っています。 ...
2
1 回答
126 閲覧数

DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定することについて

疑問点 AWS において、DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定したいのですが、 webサーバーにアタッチされているsgの内容を踏まえて、そのsgをDBのsgに設定して良いのか疑問があります。 疑問内容 以下がwebサーバーに設定されているsgの詳細です。 ※インバウンド HTTP(TCP):0.0.0.0/0 SSH(TCP):マイIP ...
0
2 回答
330 閲覧数

Azure製品がセキュリティ要件を満たしているのか知りたい

Azureの下記サービスの使用を検討しています。 Azure SQL Database Azure Storage 上記のサービスが下記のセキュリティ評価を満たしているかご存知でしょうか? 調べてみたのですが、情報がありませんでした。ユーザ様のセキュリティ要件に 該当する内容ですので何卒ご回答をお願いします。 セキュリティ要件: データセンターがティア4以上 ISMSクラウドセキュリティ認証(...
0
2 回答
242 閲覧数

攻撃を受ける可能性について

お世話になります。 サーバーが外部より侵入・攻撃を受ける可能性についてお伺いしたいのですが、 以下コマンドを実行し、SSL証明をOFFにしたままにした場合、 どういったリスクがあるか、ご教授いただけないでしょうか。 よろしくお願い致します。 git config --global http.sslVerify false
1
0 回答
138 閲覧数

クライアント証明書の方がAPI Keyよりもセキュアなのでしょうか?

2つのシステムのAPI連携方法を検討しています。API Keyよりもクライアント証明書の方がセキュアそうに感じているのですが、実際はどうなのでしょうか?API Key、クライアント証明書ともに攻撃者に流出、推測したら情報流出のリスクがあるのでセキュリティ強度は同じと考えるべきでしょうか?
1
1 回答
167 閲覧数

専用サーバーを利用することで仮想サーバーよりもホスティング業者からの攻撃への保護が追加されますか

サーバーの選定にあたってVPS、クラウド、専用サーバーのキーワードで調べていたら以下の記述を見つけました: 匿名VPNの「ibVPN」をおすすめしないこれだけの理由 クラウドやVPSを積極的に利用し、ランニングコストを抑えています。 もちろん専用サーバも中にはあるのでしょうが、混ぜている時点で不可。 いくらクラウド/VPS上でノーログだとしても、...
1
1 回答
157 閲覧数

エンドツーエンドの暗号化ではメディアコンテンツの暗号化は難しいのですか?

ツイッターを見ていると、このようなツイートを見かけました E2EE は原理上鍵交換が信頼できる形で行われてるか利用者から検証することがかなり難しい、データ量の都合でメディアコンテンツは暗号化されない(できない)ことが多い、概念が難しすぎて一般客からはそうしたあれこれの妥当性を理解できない、などベネフィットとダルさがあまり釣り合ってないと思う https://twitter.com/ssig33/...
0
1 回答
539 閲覧数

設置したphpファイルをDLするとき、php処理部分を表示した状態でファイルをダウンロードされてしまう危険はありますか?

web系プログラムに関して知識が浅いので教えてください。 サーバーに設置されているファイルの中身の <?php ~ ?> で囲われた部分はブラウザの開発者ツールやソースコード表示画面からは自動的に非表示になり、php処理が記載されているファイルをDLしても勝手に非表示になる認識ですが、このphp処理部分が記載されている状態でDLされてしまう事はあるのでしょうか。 また、...
0
3 回答
459 閲覧数

ウェブサイト閲覧で感染するコンピューターウィルスの仕組みってどうなってるんでしょうか。

最近htmlを真面目に組むようになりました。 そこで、参考に複数のサイトを眺めていると色々と危険なページを見つけることがあります。 キャッシュポイズニングされてたりetc. サイトを閲覧しただけで感染するタイプのウィルスがありますが、あれはhtmlやphp、JavaScript等のサイトを構築する言語で生成されるのでしょうか。 それともウェブサイトにアクセスした瞬間、...
0
1 回答
489 閲覧数

DBサーバーへ接続する際のIPブロックについて

Vercelの公式ドキュメントの記述についてですが、 DBに接続する際のIPブロックについて違和感を感じる記述があったので、妥当な内容なのか教えてもらえないでしょうか。 https://vercel.com/docs/concepts/solutions/databases こちらのページの「Allowing & Blocking IP Addresses」の項目です。 ...
1
1 回答
316 閲覧数

NUXTでのKEY情報の隠蔽について

NUXTからAPIを叩く際にKey設定をうまく設定しないと漏洩すると複数のところでみるので、自分の手元でも本当にそうなるのか確認したいのですが、場所がよくわかりらず。。。 具体的にどの場所に書かれているのかご教授頂けますと幸いです。 例えば、こちらのブラウザーから確認できるという表現や NuxtJSでgenerate時のみmicroCMSのAPIキーを隠す - Qiita ...
3
2 回答
225 閲覧数

プライベートネットワーク内のDBにパスワードを設定する意味はありますか?

プライベートネットワーク内にサーバー(192.168.0.100)があり、dockerでmongodbサーバーを建てたとします。特に外部に公開する予定はなく、公開する方法も理解できていません。 このmongodbはローカル内でしかアクセスしないのでパスワードを設定しても意味がないという認識で間違いないでしょうか?それとも何かリスクはありますか?
0
1 回答
237 閲覧数

シークレットキーの管理はどの様に行うべきか

状況 Laravel8とFirebase Authenticationを用いてWebアプリケーションを作成しました。 以下のサイト様を参考に、resources/keys/配下にFirebaseからダウンロードしたjsonファイルを設置し、アプリケーション側で利用しています。 Laravel6.0 の認証を Firebase のTwitter Oauth認証で行ったメモ .env ...
0
1 回答
990 閲覧数

HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して

HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。 その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、 HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。 <img src="http://www.sample.jp:443/&...
0
1 回答
110 閲覧数

MacOSのコマンドラインで、悪意のあるプロセスを特定する方法

アンチウイルスソフトなどで、マルウェアや、悪意のあるプロセスなどを特定することができると思いますが、これをOSSを使って、コマンドラインでやる方法はありますか?
1
1 回答
209 閲覧数

クラウドIISの仮想フォルダのセキュリティ確保について教えてください

さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。 IISでは社内アプリのダウンロードサイトを公開しています。 そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。 一方で、社内アプリ自体は、.NET Framework のClickOnceを使っていて、...
2
3 回答
2万 閲覧数

自作のプログラムがウイルスとして検出されてしまうのはなぜですか?

引数のポインタ渡しについてのプログラムなのですが、パソコンに入っているスーパーセキュリティというセキュリティソフトに引っかかってしまいました。参考書通りのプログラムなのでプログラム自体の問題かセキュリティソフトの問題なのかわかりません。プログラムの問題でウイルスが検出されるということがあるのかお教え願います。 #include <stdio.h> void myFunc1(int ...
5
2 回答
2,976 閲覧数

Cのprintfでの$(ドルマーク)の意味

よくCTFなどで書式化文字列攻撃をするときに%4$xというような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか? 書式文字列攻撃について解説したこのページでも出てきています 書式指定文字列攻撃 "%n$x"という表記によって、n+1番目の引数があるべき位置の値を表示することもできる。これでスタックの先の方も覗けるし、...
0
4 回答
508 閲覧数

PHP ユーザーログインパスワードの保存先

PHPを学び始めて1年以内の者です。 ・$_SESSIONにパスワードを格納するのは安全ではない ・DBにはハッシュ化したパスワードのみを保存 以上をふまえ、 ユーザー情報変更ページで、各々が自分のパスワードを変更をできるよう設定したいのですが 編集ページのform内に「現在のパスワード: ****** 」というようにアスタリスクで表示させたい場合、 慣例となっているやり方はあるのでしょうか。 (...
0
0 回答
221 閲覧数

おとり用サーバー(ハニーポット)の作り方

インターネットからの不正アクセス(主に高度標的型攻撃)を分析する目的で、おとり用サーバー(いわゆるハニーポット)を作成しました。目的は下記です。 ①どこから(IP/プロバイダ/国など)の攻撃が多いか分析 ②攻撃に使用されるツールの取得 ③C&CサーバーのIP取得 作成にあたり、他のサーバーへ被害が及んではいけないためある程度できることを絞っています。ただそのせいか、...
0
1 回答
251 閲覧数

Postgres の COPY tablename FROM stdin with csv はSQLインジェクションの危険性がありますか?

使用しているのはpython、psycopg2 下記のようなコードが実行するとき、一回ファイルの中身を読み込み、標準入力からDBへ書き込みます。 もし、ファイルの中身にSQLインジェクションができるような記述がある場合、OSに解釈され、SQLインジェクションが発生する可能性があるのでしょうか? conn_config = dict(port="5432", dbname=&...
1
0 回答
129 閲覧数

iOS のアプリは暗号化されているらしいのですが、それはどのような機構で実現されているのでしょうか?

モバイルアプリのセキュリティについて調べていく過程で、 https://stackoverflow.com/a/5557283/3090068 のような記事を何回か見掛けたりします。どういうことかというと、 iOS において、配布されているアプリは暗号化されている、という趣旨の記述です。 質問 iOS アプリが仮に暗号化されているとして、それはどのタイミングで、誰が、何を、...
0
0 回答
100 閲覧数

Keychainの使用方法について

基本的なことで申し訳ないのですが教えてください。 開発時点でkeychainに事前に公開鍵などの情報を格納するにはどのように行えば良いのでしょうか? keychainはentitlements fileにkeychain access groupsに利用されるitemが格納される程度の理解度です。 Xcodeなどからkeychainのベースを編集できたりできるものなのでしょうか? ...
2
1 回答
147 閲覧数

DDoSを予告されたときに、すぐにできる緩和策はありますか?

自らの運営するサービスに対するDDoS攻撃を予告された場合、突然攻撃されることと比較して良い点はありますか? 例えば、「1時間後に攻撃する」と予告された場合、1時間でできるなんらかの緩和策はあるのでしょうか。 また、30日後の攻撃を予告された場合はどうでしょうか。
0
1 回答
770 閲覧数

ESET がインストールされた mac で、 ウェブアプリに [::1] のアドレスで接続できないのは何故?

セキュリティソフトの ESET を入れた mac にて開発を行っています。 この mac で、たとえば rails などの開発サーバーを立ち上げたとき、 127.0.0.1:3000 などの ipv4 経由のアクセスでは rails に問題なく疎通できますが、 localhost:3000 や [::1]:3000 でアクセスしようとすると、ネットワークが eset ...
3
0 回答
128 閲覧数

GCP IAMでAWS STSの様に一時ユーザcredentialsを発行したい

お世話になります。 掲題の通りですが、クライアントアプリから直接GCPのサービスにアクセスするために、 AWS STSのgetFederationTokenの様なもので一時ユーザを発行することはできますでしょうか。 もしくは、それ以外にGCP固有のエンドユーザが直接GCPのAPIリクエストを行う際のセキュリティ的アプローチがあるようであれば、 そういったものでも問題無いと考えております。 ...
0
1 回答
173 閲覧数

RaisのomniauthでGoogleログインのコールバック時に403エラーとなる

RaisのomniauthでGoogleログインの実装を行っており、ローカル環境では正常に動作しています。 サーバー環境(CentOS, Nginx)ではGoogleの認証後に以下のようなURLにコールバックされた時、403エラーが表示されてしまいます。 https://dummy.com/auth/google_oauth2/callback?xxxxxxx&scope=email+...
-1
2 回答
1,313 閲覧数

ハッカーは個人宅のIPアドレスを入手した後どのように個別のパソコンに対して侵入を行うのでしょうか?

1.メールの送信元からグローバルIPアドレスを入手 2.この時点で相手のブロードバンド・ルータに当てられているIPアドレスがわかる。 ここまでは想像がつくのですが、その後DHCPサーバ機能でローカルのIPアドレスが割り振られていると思うのですが個別のパソコンに対してどのように攻撃するのでしょうか? Ping グローバルIP.ローカルIPのようにパケットを投げかけたりできるのでしょうか?
3
2 回答
1,617 閲覧数

NATでセキュリティレベルが向上するのはなぜ?

NATについて授業を受け、その中でNATを使う利点に IPv4の枯渇問題へ対処できる 一か所にIPアドレスの設定が集中しておりISPの移行などが容易 内部ローカルアドレスが隠蔽できるのでセキュリティレベルが上昇する という3つが上げられました。 最初2つは理解できるのですが、3つ目の「セキュリティレベルが上昇する」とはどういう意味なのでしょうか? 僕の認識では、...
0
2 回答
439 閲覧数

HTMLエスケープについて

質問 HTMLエスケープはどういう時に必要ですか? 質問経緯 ・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています ・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します 下記ケースでは、それぞれ(...
2
1 回答
251 閲覧数

本番デプロイで/var/www以下を公開してもセキュリティ的に大丈夫ですか?

Linux&Laravel初心者です。本番デプロイについて、セキュリティが心配です。 /var/www 以下を公開ディレクトリ?にしています。 projectName = laraprojectです。公開ディレクトリ サーバのデフォルト値の/var/www/html ここに htmlディレクトリに ->にindex.phpなどのpublicフォルダの中身を起き vendor類の本体を /...