[security] タグが付いた質問
92
質問
8
票
3回答
373 件の閲覧数
暗号化技術の重ねがけが逆効果になるケースは無いか?
TLSで暗号化された通信経路上を流すデータに対して、アプレイケーションのレイヤで更に暗号化を独自にかける場合、それによってかえって保護のレベルがTLS単体よりも低下する可能性はありますか?
それとも、少なくともTLSによる保護のレベルまでは保証されますか?
もしTLS単体よりも低下する場合、例えばどのような理由により起こり得るでしょうか?
「SSL/...
11
票
5回答
3万 件の閲覧数
脆弱性対策におけるhtmlspecialchars()の使用箇所について
PHPでスクリプト挿入攻撃やXSS対策として、サイタイズのためにhtmlspecialchars()を使うことがあると思いますが、使用する際の詳細が気になったので質問します。具体的には以下の2点です:
サニタイズ関数を適用するタイミングについて
【ユーザからの入力時】【HTMLへの出力時】【その中間】の3パターンが考えられますが、ベストなのはどれでしょうか?GET・POSTパラメータの処理と、...
0
票
1回答
100 件の閲覧数
ユーザーがアクセスするページ毎に違うパスワードを設定し、閲覧制限をかけたい。
不特定ユーザーがアクセスするサイト上に、
ページ毎に違うパスワードを発行し、パスワードを知ってるユーザーのみアクセスさせたいと思っています。
basic認証やhttaccessではなく、サーバサイド側での処理にしたく、パスワードはmysql上からひっぱってくることを想定しています。
イメージ的には、wordpressの記事別パスワードのような形なのですが、
...
18
票
5回答
1万 件の閲覧数
ターミナルの操作ログを自動で残したい
セキュリティと監査証跡の目的で自動的に操作ログを残すにはどうしたらよいでしょうか。
ユーザが気が付かないうちにひっそりとログを取るのが理想です。
ログに残したい情報は次の通りです。
ユーザ名
ユーザが入力したコマンドライン
端末への出力
タイムスタンプ
2
票
4回答
6,084 件の閲覧数
compromised の日本語訳は?
https://security.stackexchange.com/ などセキュリティ系の情報を読んでいると、しきりに compromised という単語が出てきますが、(例: compromised hardware, compromised OS, etc) compromise された状態とはどういう状態でしょうか。また、日本語に訳すとしたら何になりますか?
4
票
1回答
323 件の閲覧数
暗号輸出規制の影響を受ける公開鍵で署名されているのに、一時的なRSA鍵は何故検証できたのか
FREAK攻撃で鍵をダウングレードさせる部分がいまいちわかりません。
ダウングレードさせるのは公開鍵のようですが、
Q1. 公開鍵には認証局等の署名が必要なので、あらかじめ脆弱な公開鍵を用意しているサーバー限定の攻撃なのか?
と思いましたが、「華麗なる因数分解:FREAK攻撃の仕組み」によると、
A1. サーバーが一時的に脆弱な公開鍵を作成する機能への攻撃
のようで。しかし、...
2
票
1回答
1,013 件の閲覧数
CryptoAPIはコンテナ名が分かれば鍵を取り出せてしまうが、どのようにコンテナ名を選定・保管すべき?
System.Security.Cryptography.RSACryptoServiceProviderクラスを使って、鍵をコンテナに格納しようとしています。コンテナ名を指定することになりますが、このコンテナ名には何を指定して、どのように管理していますでしょうか。
コンテナ名が分かれば格納されている鍵も取得できてしまうのであれば、...
9
票
1回答
524 件の閲覧数
公開秘密鍵ペアの使い方
プログラムでないので恐縮ですが、プログラム開発関連ってことですみません。
サーバーなどにSSHで接続する場合、公開鍵秘密鍵ペアを作成したりしますが、
接続先ごとにペアを作成した方がよいのか?
その場合など鍵のファイル名を変更するべきか?
という一般的というか、通常の使い方がわかりません。
ご教示お願いいたします。
5
票
1回答
280 件の閲覧数
MongoDBの検索でリモートから受け取った文字列を正規表現として使用しても安全ですか?
正規表現には、指数関数的に処理時間が増大するサービス不能攻撃(ReDOS)の危険性があるとのことです
http://blog.ohgaki.net/regex-dos-redos
実際に、Mongo ShellのJavaScriptで以下のコードを実行すると長時間CPU使用率が100%になります
regex = /(a+)+Z/
regex.exec("...
0
票
1回答
102 件の閲覧数
PHP MySQL プリペアードステートメントのセキュリティについて
以下のようなプリペーアドステートメントを作りました。
id:int型、name:varcher型、area:int型です。
areaは1~10までの数値で住んでいる地位を表すとします。
例えば1=関東、2=関西、3=四国、...
この場合すべての地域のユーザーデータを取得する場合はどのようにすればいいのでしょうか。
例えば
if($area==0){
$db->query("...
1
票
1回答
1万 件の閲覧数
session_regenerate_id()の必要性に関して
PHP初心者です
PHPのセッションハイジャック対策で挙げられている
session_regenerate_id(TRUE);
って必要なんでしょうか
というのも自分でセッションを使った簡易なログインシステムを作りまして、
index.phpからユーザー名とパスワードを入力してDBからユーザー名とパスワードが取り出せたらlogin.phpにいけるというシステムなんですが
...
2
票
1回答
282 件の閲覧数
PHPのプリペアードステートメントのセキュリティについて
以下のようなプリペアードステートメントを作りました。
$ps=$db->prepare("SELECT id, name, time FROM comment WHERE user = $area ORDER BY $order $desc");
defaultでは
$area="1 or 1=1";
$order='time';
$desc="";
が入っており、SELECT id,...
0
票
1回答
1,358 件の閲覧数
OAuth2のclient_secretは、漏れると何がマズいか? また、どうやって隠すか?
Google APIを使ってツールを作成しました。Webアプリのようなものではなく、ローカルで動くPythonスクリプトで、REST APIにアクセスしています。
これの公開を考えていますが、現状、client_id, client_secretが丸見えです。
そこで、質問です。
1. OAuth2のclient_secretが漏れると、誰(例:API公開者であるGoogle, ...
4
票
1回答
312 件の閲覧数
悪意のあるサーバーに ssh することのリスクはあるか
悪意のあるサーバーに ssh してコマンドを実行することに対して、接続元へのセキュリティ的なリスクはありますか?
scp などでファイルを持ってきて実行したりなどすれば、それがリスクなのはわかりますが、逆に ssh してコマンドを打つだけならば、どのようなサーバーに ssh してもリスクはないのでしょうか? (打ったコマンドが悪意の第三者に丸見えになる、打ったコマンドが意図通りに実行されない、...
5
票
3回答
236 件の閲覧数
HTTP + GPG でファイルを配布する際に、鍵はどうやって共有される想定なのか?
HTTP サーバーでファイルを配布する際に、 .sig ファイルを一緒に置いておきながら配布するパターンを見かけます。 例: http://ftp.gnu.org/gnu/emacs/
.sig ファイルによる検証を gpg で行うには、その公開鍵をどうにかして取得する必要があると考えていますが、この公開鍵の情報はどうやって取得する想定なのでしょうか。
HTTP通信における、...
8
票
2回答
360 件の閲覧数
HTTP通信における、中間の攻撃者による内容の改竄について
HTTP通信によって対象ホストから帰ってきた文章が、ローカルと対象ホストの間にある悪意のある中継サーバーによって改竄されてしまったものになっていることはありますか。
これが可能だったとして、そのような話をあまり聞かないのは、(つまり、 HTTPで文章を取得しても、ほとんど大体は改竄されていないのは) なぜでしょうか。
0
票
2回答
6,011 件の閲覧数
awsのセキュリティグループにセキュリティグループを関連付けるとどうなりますか?
AWSのセキュリティグループにセキュリティグループを関連付けることができるのですが、
この場合どういう動作になるかご存知の方がいらっしゃいましたらご教授お願いできますでしょうか。
よろしくお願いします。
-1
票
1回答
703 件の閲覧数
オープンソースでサーバーサイドのソースコードを公開することはどのような危険があるんでしょうか? [クローズ済み]
生徒の教育のため Github で サイトのレポジトリを公開し、サーバーサイドのソースコードが生徒や第三者に見えるようにしたいです。
Ruby on Rails 実装したウェブサイトのレポジトリを公開していて、実際にブラウザでアクセスできるサイトは検索などでもみつからなかったのですが、そもそもウェブサイトのサーバーサイドのソースコードを公開することは一般的にはあるんでしょうか?
...
6
票
3回答
5,570 件の閲覧数
ログメッセージをSyslogサーバーに転送したい
ログを出力するプログラムが複数あり、ログへの出力は Syslog を使っておらず普通のテキストファイルに結果を追記しています。これらのログファイルを Syslogサーバーに転送するにはどうしたら良いでしょうか。
プログラムはそれぞれ次の言語で組まれています。
Java
Perl
Ruby
サーバー環境は CentOS6, 7, RHEL6 が混在していて ...
5
票
2回答
1,878 件の閲覧数
webサービスの銀行口座情報はどこに保存していますか
webサービスを作っているとき、ユーザーの銀行口座情報をもたないといけないとき、みなさんはどこに保存されていますか?
知見がなかったので、困っています。ぜひご意見いただきたいです。
クレジットカード決済であれば、paypalやwebpayなど外部サービスを使い、自身で口座情報をもつ必要はないと思いますが、受け取り口座情報など、決済サービスと関わりない場合、...
-1
票
1回答
642 件の閲覧数
UACの確認ダイアログで画面を暗転させる理由は?
Windows Vista から導入されたUAC(ユーザーアクセス制御)では、特権の必要な操作を実行するときに確認のダイアログが表示されます。この際デフォルトでは画面全体が暗転します。
「デスクトップを暗転しない」という設定もありますが、推奨されませんと注意書きがあります。
セキュリティリスクが高まるのだろうと思いますが、暗転なしでは可能で、暗転ありでは不可能な攻撃というのは、...
13
票
4回答
1,892 件の閲覧数
ログインシステムのためのパスワードのハッシュ方式、互換性、照合方法について
ログインシステムについて質問があります。
パスワードを暗号化ではなくハッシュ関数を使い符号化する安全性と使い方はわかりました。
またそれに文字を足して何回か行う、ということもわかりました。(ソルトとストレッチングのことです)
そこで質問があります。
SHA256を使おうと思っているのですが、ハッシュ化という行為は元に戻せないということでした。いずれ新しいタイプのハッシュを使おうと思った際に、...
1
票
0回答
345 件の閲覧数
Google maps JavaScript API のDos攻撃対策について
Github pages 上でGoogle maps JavaScript APIを使ったアプリを作成しようと考えています。
このAPIは使用制限があり、料金は下記のようになっています。
マップのロードが 90 日間連続して 1 日 25,000 回を超過するまで無料 マップのロードが 90 日間の 1 日あたりの
25,000 回の使用制限に達した場合、1 日 25,000 ...
4
票
1回答
4,904 件の閲覧数
insecure_private_key の置き換えについて
vagrantがバージョン1.7以降になってから
初回のbox作成・起動時にinsecure_private_key を
置き換えていると説明されていますが、具体的に何がどうなっているのでしょうか。
質問の経緯は以下のとおりです。
現在ubuntu 15.04でvagrant 1.7.2を使っています。
以前、ホストOSにwindows7を使っていた頃、
vagrantが1....
1
票
0回答
149 件の閲覧数
LinuxのモジュールとしてのSELinuxとAndroidに実装されているSELinuxの違いとは?
Android Lollipop以降SELinuxが標準で有効になったと認識しています.
モバイルへのSElinuxの適用ということで、なにか既存のSELinuxと異なる点
などは存在するのでしょうか?
0
票
5回答
1,835 件の閲覧数
公開鍵暗号方式に疑問があります
どうして公開鍵で鍵をすることができて
公開鍵で鍵を開けられないのですか?
公開鍵で鍵を出来るのなら
誰でもなりすますことが可能ですよね
それって暗号として意味がありますか?
5
票
1回答
4,960 件の閲覧数
Java8で「AES/CBC/PKCS5Padding」は使用可能でしょうか
Java8(Oracle)で使用可能な暗号化アルゴリズムについて
Set<String> algorithms = Security.getAlgorithms("Cipher");
で一覧が取得可能であると思っているのですが、
AES/CBC/PKCS5Padding
が一覧にありません。
ですが、
Cipher cipher = Cipher.getInstance("...
18
票
1回答
4,364 件の閲覧数
クライアント側のJavascriptにトークン等を渡したい時、どうやってHTMLに埋め込むべきか
サーバーサイドプログラムが生成した値をJavascriptに渡す際、直接scriptタグ内に変数を出力すべきか、<head>の<meta>タグのcontentとして持たせるべきか決めかねています。
具体例として、CSRF対策用のトークンを使って非同期通信などでデータを取得する際、最初は次のようにしてデータをHTMLに直接出力していました。
<script>
...
1
票
0回答
399 件の閲覧数
apacheでdos攻撃対策について
apacheのモジュールでdos対策をしたいと思っています。
リモートIPアドレスを元に同じIPからのアクセスの場合、
mod_evasive等のモジュールで制限をする想定です。
ただ、ロードバランサを介したネットワーク構成の為、
リモートIPアドレスがロードバランサのIPになってしまい、
想定通りに制限できません。
ロードバランサからある変数でリクエストヘッダにオリジナルの
...
6
票
2回答
6,903 件の閲覧数
AWSのRDSの暗号化のメリットについて
Amazon Web Services(AWS)で提供されているAmazon Relational Database Service(RDS)の暗号化について質問です。
RDSでは、基本的に「リソースの暗号化」と「接続の暗号化」が存在するようですが、まずはリソースの暗号化について質問させて下さい。
RDSインスタンスのリソースの暗号化を有効化した場合、具体的にRDSインスタンス、...
1
票
1回答
379 件の閲覧数
angularJSのCSRF対策をしたい
以下のサイトに書いてある通りにangularJSのCSRF対策をしたいと考えています。
https://docs.angularjs.org/api/ng/service/$http
そこで以下のサイトを参考にしてCookieにトークンを保存しようとしました。
https://code.angularjs.org/1.3.14/docs/api/ngCookies/service/$cookies
...
2
票
1回答
248 件の閲覧数
gzip_types を限定すれば BRACH・CRIME 攻撃を受ける心配はない?
最新のRails、Nginxで、SSLを使用しています。BREACH, CRIMEのセキュリティ的な問題から、Nginxのgzipをオフにしているのですが、gzip_types で text/css や application/javascript だけなら、利用しても大丈夫なのでしょうか?
4
票
2回答
121 件の閲覧数
管理画面の設置の仕方について
皆さんはウェブサービスの管理画面はどのように設置していますか?
私の場合、admin.example.comという管理画面用のURLをサブドメインで用意し、
BASIC認証をかけ、自分のIPアドレスからの接続のみを許可するという形に落ち着いています。
以前はそんな知識は全くなかったので、サーバーのIPを生で叩くと見れるような状態でした。
...
3
票
1回答
143 件の閲覧数
ブランクスレート(BasicObject)のインスタンスでinstance_evalするのはセキュリティ対策になりうるか?
きっかけ
"x: 100, y: 200, z: 300" のような文字列を
{x: 100, y: 200, z: 300}のようなハッシュに変換する方法
:
パターン2 eval使う
超簡単(ruby怖っ)
def to_hash(str)
eval("{#{str}}")
end
Ruby 文字列をハッシュに変換 - Qiita
...
0
票
2回答
396 件の閲覧数
【Java -> C】C言語でJavaの「SecureRandom」は実現できるのか?
始めて質問させて頂きます。
質問は題名通りですが、概要を説明させて頂きます。
Javaの「SecureRandom」で生成した乱数を
暗号化した値で認証する処理が必要となり、
暗号を使って通信する相手はJavaのアプリ。
こちらはマイコン(C言語)となっています。
同じ言語で設計していれば悩む必要のない話ですが、
相手は既に設計完了済みで変更できず、かつこちらも
...
7
票
2回答
607 件の閲覧数
「Superfish」に対する脆弱性の検出方法と削除方法を知りたい。
StackExchange の Facebook タイムラインにも登場するなど、話題になっていたので参考になるかと思い以下の StackExchange のポストとその Accept された回答を訳しました。
How to detect if I am vulnerable to “Superfish,” and how to remove it?
ご参考:
Superfish について、...
5
票
2回答
307 件の閲覧数
JavaScript&HTMLクライアント利用時の、クライアントの正当性を担保する方法について
バックエンドAPIサーバーと通信するクライアントを、JavaScript&HTMLで作成しようとしています。
バックエンドで「正しいクライアントからのリクエストか否か」を調べるためには、クライアントに専用の秘密の文字列を埋め込んでおき、それをリクエストパラメータまたはヘッダに含めて送信するのが一般的なのではないかと思います。
しかし、JavaScript&...
1
票
0回答
1,684 件の閲覧数
PHPで3DES-CBCで暗号化されたデータを復号したい
開発言語はPHPです。
データは以下のアルゴリズムで暗号化されています。
3DES-CBC(Paddingなし)
Padding文字列:半角スペース
1、暗号化
Padding処理
自動Paddingなしなので最後の8バイトブロックに対して必要な分だけ半角スペースで埋める
3DES-CBC
秘密キーと初期化ベクトル(iv)で暗号化
BASE64エンコード
2、復号化
上記の逆なので
...
5
票
2回答
4万 件の閲覧数
PHP での SQL インジェクション対策はどのように行いますか?
PHP と MySQL を利用しています。
以下のようにユーザー入力値など外部からの文字列を使用して SQL クエリーを生成する場合、SQL インジェクションの危険性があります。
$dbh = new PDO('mysql:host=127.0.0.1;dbname=test', 'username', 'password');
$email = $_POST['email'];
$...
11
票
5回答
2,857 件の閲覧数
SSLで保護されていないページにログインフォームが存在するサイトについて
SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。
このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング)
...
5
票
2回答
7,404 件の閲覧数
暗号に使える乱数と使えない乱数
暗号に使える乱数と使えない乱数があるようですが、なぜそのようになるのかわかりません
例えば、円周率からN番目の値をMだけ取り出したものは使え
漸化式で初期値MでN回実行した結果は使えないというような例だったと思います。
どちらも結果的には予測可能だと思うのですが
3
票
1回答
664 件の閲覧数
Linuxシステムを作る上で留意すべきセキュリティ事項
諸事情が重なり、GentooLinuxを用いてLinuxデスクトップ環境をつくろうと考えています。
Linuxに触れてまだ日が浅いため、理解が浅いままネットワークにつなぐことに不安があります。
https://www.gentoo.org/doc/ja/security/security-handbook.xml
などのドキュメントはひと通り読んだのですが、...