Search type | Search syntax |
---|---|
タグ | [タグ] |
完全一致 | "ここの単語" |
作成者 |
user:1234 user:me (あなたの) |
スコア |
score:3 (3+) score:0 (なし) |
回答 |
answers:3 (3+) answers:0 (なし) isaccepted:yes hasaccepted:no inquestion:1234 |
閲覧数 | views:250 |
コード | code:"if (foo != bar)" |
セクション |
title:リンゴ body:"リンゴ オレンジ" |
URL | url:"*.example.com" |
セーブ | in:saves |
状態 |
closed:yes duplicate:no migrated:no wiki:no |
種類 |
is:question is:answer |
除外 |
-[タグ] -リンゴ |
高度な検索の詳細については、ヘルプ ページをご覧ください。 |
9
票
承認済み
HTTP + GPG でファイルを配布する際に、鍵はどうやって共有される想定なのか?
PGPの公開鍵の正当性の確認には、信頼の網(web of trust)という方法を用います。
入手手段(経路)としては、以下の2つが考えられます。
本人から直接手渡しで入手する。
既に信頼している人が署名した公開鍵を入手する。
そして、入手した公開鍵(a)に署名し、信頼度を設定します。
別の公開鍵(b)を入手した場合、その公開鍵(b)に署名している公開鍵(a)の信頼度が
「常に信頼 …
3
票
承認済み
個人情報をアクセス制限をかけたWeb上で管理すると、どういうリスクがありますか?
Q1.アップロード&ダウンロードについて
FileZillaを使用してSFTP接続しているのですが、データ流出する可能性はありますか?
あるか無いかで言えば、あります。
Q2.通信について
httpでは、データ流出する可能性はありますか?
httpsだと、データ流出する可能性はない?
あるか無いかで言えば、あります。
Webアプリケーションのよくあるリスクは、以下をどうぞ。
OWASP …
-1
票
miraiマルウェアの感染経路
Miraiに限りせんが、一般的にCAPEC-118配下のような手法を用いて攻撃対象を探すのではないでしょうか。
https://capec.mitre.org/data/definitions/118.html
CAPEC-118: 情報の収集と分析
CAPEC-116: 発掘
CAPEC-117: 傍受
CAPEC-169: フットプリンティング
CAPEC-224: フィンガープリンティン …
5
票
1
回答
371
閲覧数
暗号輸出規制の影響を受ける公開鍵で署名されているのに、一時的なRSA鍵は何故検証できたのか
FREAK攻撃で鍵をダウングレードさせる部分がいまいちわかりません。
ダウングレードさせるのは公開鍵のようですが、
Q1. 公開鍵には認証局等の署名が必要なので、あらかじめ脆弱な公開鍵を用意しているサーバー限定の攻撃なのか?
と思いましたが、「華麗なる因数分解:FREAK攻撃の仕組み」によると、
A1. サーバーが一時的に脆弱な公開鍵を作成する機能への攻撃
のようで。しかし、ここでまた疑問 …
0
票
匿名掲示板のIDをクッキーに保存するのは危険ですか?
なりすましを防止したいなら、ユーザーIDをCookieに保存するのは危険です。
ユーザーIDを盗聴されたり改ざんすることで、なりすましが可能です。
TLSを使うか否かで対処方法は変わりますが、どちらにしてもユーザーIDの真正性の確保が必要です。
セッションハイジャック
安全なウェブサイトの作り方 - 1.4 セッション管理の不備
1
票
他人のセッションIDを使用されたときの対策
興味本位での質問でなければ、まず指摘された脆弱性とリスクを正確に把握することが必要です。
CVSS等で脆弱性のリスクが示されているはずですが、そのリスクと保護する情報資産の価値、その他対策に掛かる工数等を総合的に判断して、対策しないことも含めて対策内容が変わってきます。
以下、興味本位での回答です。
質問内容は、攻撃手法「CAPEC-593: Session Hijacking」の子要素「CAP …