すべての質問
7 件の質問
0
票
2
回答
242
閲覧数
攻撃を受ける可能性について
お世話になります。
サーバーが外部より侵入・攻撃を受ける可能性についてお伺いしたいのですが、
以下コマンドを実行し、SSL証明をOFFにしたままにした場合、
どういったリスクがあるか、ご教授いただけないでしょうか。
よろしくお願い致します。
git config --global http.sslVerify false
1
票
0
回答
137
閲覧数
クライアント証明書の方がAPI Keyよりもセキュアなのでしょうか?
2つのシステムのAPI連携方法を検討しています。API Keyよりもクライアント証明書の方がセキュアそうに感じているのですが、実際はどうなのでしょうか?API Key、クライアント証明書ともに攻撃者に流出、推測したら情報流出のリスクがあるのでセキュリティ強度は同じと考えるべきでしょうか?
0
票
1
回答
990
閲覧数
HTTPSサイトでSecure属性を持たないCookieの取り扱いに関して
HTTPSのみを使用するウェブアプリケーションでは基本的にCookieへのSecure属性付与が推奨されると存じます。
その上で、HTTPを使用中にMITMによりCookieが窃取されるのは理解できますが、
HTTPS環境でも以下の様な罠リンクを踏ませる事でCookieの窃取が出来ると記載が有りました。
<img src="http://www.sample.jp:443/&...
9
票
3
回答
488
閲覧数
暗号化技術の重ねがけが逆効果になるケースは無いか?
TLSで暗号化された通信経路上を流すデータに対して、アプレイケーションのレイヤで更に暗号化を独自にかける場合、それによってかえって保護のレベルがTLS単体よりも低下する可能性はありますか?
それとも、少なくともTLSによる保護のレベルまでは保証されますか?
もしTLS単体よりも低下する場合、例えばどのような理由により起こり得るでしょうか?
「SSL/...
5
票
1
回答
374
閲覧数
暗号輸出規制の影響を受ける公開鍵で署名されているのに、一時的なRSA鍵は何故検証できたのか
FREAK攻撃で鍵をダウングレードさせる部分がいまいちわかりません。
ダウングレードさせるのは公開鍵のようですが、
Q1. 公開鍵には認証局等の署名が必要なので、あらかじめ脆弱な公開鍵を用意しているサーバー限定の攻撃なのか?
と思いましたが、「華麗なる因数分解:FREAK攻撃の仕組み」によると、
A1. サーバーが一時的に脆弱な公開鍵を作成する機能への攻撃
のようで。しかし、...
7
票
2
回答
642
閲覧数
「Superfish」に対する脆弱性の検出方法と削除方法を知りたい。
StackExchange の Facebook タイムラインにも登場するなど、話題になっていたので参考になるかと思い以下の StackExchange のポストとその Accept された回答を訳しました。
How to detect if I am vulnerable to “Superfish,” and how to remove it?
ご参考:
Superfish について、...
12
票
5
回答
2,918
閲覧数
SSLで保護されていないページにログインフォームが存在するサイトについて
SSLで保護されたログインページはあるものの、保護されていないトップページなどにもログインフォームが存在するサイトをたまに見かけます。
このような状態だとフォーム内容のPOSTリクエスト自体はSSLで保護されていますが、ログインフォームそのものが改竄されたページに誘導された場合に、入力した情報が盗まれる可能性があると思います。(いわゆるフィッシング)
...