[雑談] いろいろ。

• 2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか | 徳丸浩の日記

2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか

サマリ 2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日に Firefoxも同様の仕様が導入されました 。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブ...

https://blog.tokumaru.org

• 共通テスト問題、試験中にＳＮＳで流出か…画像受け取った東大生２人が解答返信 : 大学入試 : 教育 : 教育・受験・就活 : 読売新聞オンライン

共通テスト問題、試験中にＳＮＳで流出か…東大生２人が知らずに解答返信

【読売新聞】　今月１５日に実施された大学入学共通テストの世界史Ｂの問題が、試験時間中に流出していた疑いがあることがわかった。問題を写した画像を受け取った複数の大学生が、送信者へＳＮＳで解答を送り返しており、大学入試センターは不正行為

https://www.yomiuri.co.jp

• 共通テスト 試験中に問題撮影し外部に送信か 警視庁が捜査 | 共通テスト | NHKニュース

エラー｜NHK NEWS WEB

https://www3.nhk.or.jp

• 「カンニング手伝わされたかも」　共通テスト流出、紹介サイト悪用か：朝日新聞デジタル

「カンニング手伝わされたかも」　共通テスト流出、紹介サイト悪用か：朝日新聞デジタル

　大学入学共通テスト初日の今月15日、世界史Bの問題が試験時間中に電子機器などで撮影され、外部流出した疑いがあることが、大学入試センターなどへの取材で分かった。　問題を流出させたとみられる人物と解答を…

https://www.asahi.com

• 「無料でLog4j対策を教えろ」と迫った大企業とオープンソース開発者の痛快なやりとりが公開中 - GIGAZINE

「無料でLog4j対策を教えろ」と迫った大企業とオープンソース開発者の痛快なやりとりが公開中

2021年12月に、さまざまなプログラムに使われているJavaのログ出力ライブラリ「Log4j」にリモートコード実行のゼロデイ脆弱(ぜいじゃく)性「Log4Shell」があることが発覚し、世界中のIT産業が対応に追われました。そんな問題に対し、フォーチュン500に選出されるような大企業から対応方法を教えるよう要請を受けたオープンソース開発者が、相手企業と交わしたメールを公開しています。

https://gigazine.net

• オープンソースcURLの作者、某大企業から「24時間以内にこの質問に答えるように」との無礼なメールを受け取る － Publickey

オープンソースcURLの作者、某大企業から「24時間以内にこの質問に答えるように」との無礼なメールを受け取る

コマンドラインからさまざまなプロトコルでデータ転送を実行できる「curl」コマンド（以下cURL）は、多くのITエンジニアにとって欠かせない、非常に便利なツールです。 cURLはオープンソースで開発されているソフトウェアです。先日その作者で...

https://www.publickey1.jp

• パスワード流出チェックサイト「Have I Been Pwned?」にMicrosoft Azureから突然高額の料金請求が、いったいなぜ？ - GIGAZINE

パスワード流出チェックサイト「Have I Been Pwned?」にMicrosoft Azureから突然高額の料金請求が、いったいなぜ？

セキュリティ研究家のトロイ・ハント氏が運営する「Have I Been Pwned?」は、さまざまなウェブサービスやデータベースに登録されたアカウントIDとパスワードが流出しているかどうかをチェックできるウェブサイトです。Have I Been Pwned?はAzure Blob Storageを利用しているとのことで、ある日突然Microsoftから高額の使用料を請求された件について、ハント氏がブログで解説しています。

https://gigazine.net

• そのQRコードは大丈夫？　詐欺目的の利用増加、キャッシュレス決済の普及を逆手に：この頃、セキュリティ界隈で - ITmedia NEWS

そのQRコードは大丈夫？　詐欺目的の利用増加、キャッシュレス決済の普及を逆手に

米国でQRコードを使った詐欺の手口が相次いで報告されている。非接触のキャッシュレス決済での利用など便利な反面、軽い気持ちで読み取ってしまいがち。そこに付け込み、悪用するケースが増えているとして、米連邦捜査局（FBI）などが注意を呼び掛けた。

https://www.itmedia.co.jp

• 「著作権者のクレジットを表記して」というDMCA通知に従ったら不正行為に加担しかねないという報告 - GIGAZINE

「著作権者のクレジットを表記して」というDMCA通知に従ったら不正行為に加担しかねないという報告

ウェブサイト上に画像などのコンテンツを掲載した場合、コンテンツの著作権者から該当コンテンツの削除または修正を求める、デジタル・ミレニアム著作権法(DMCA)に基づく削除通知を受け取ることがあります。通常は法律に基づいて行われるこの通知ですが、悪意のある人物が偽の通知を送ることがあるとして注意喚起されています。

https://gigazine.net

• 行政向けネットワーク「LGWAN」で全国的な通信障害　自治体メール、証明書コンビニ交付サービスなどに影響 - ITmedia NEWS

行政向けネットワーク「LGWAN」で全国的な通信障害　自治体メール、証明書コンビニ交付サービスなどに影響【一部復旧】

「LGWAN」で全国的な通信障害が発生している。地方公共団体が利用するメールシステムや、コンビニでの証明書交付サービスなどに影響があり、地方公共団体情報システム機構が復旧を急いでいる。

https://www.itmedia.co.jp

• インシデントリリースの生存率 - Fox on Security

インシデントリリースの生存率 - Fox on Security

専門分野という事もあり、カード情報漏洩事件をウォッチして数年経ちますが、ずっと気になっていた事があります。公式リリースがそこそこの頻度で「消える」事です。 お気づきの方も多いかと思いますが、当ブログのカード情報漏洩系の分析記事では、なるべく企業等のカード情報漏洩発表リリースの魚拓を取る様にしています。 こうした魚拓を取る手法は、カード情報漏洩事件をほぼ拾われている、ScanNetSecurityさんが長年実施してきている事なのですが、企業がリリースを出しているのに、何故魚拓を取るのだろうと当初不思議に思っていたのですが、自分でインシデントを調べ始めて分かったのですが、意外にリンク切れが発生しま…

https://foxsecurity.hatenablog.com

• Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog

Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今…

https://flattsecurity.hatenablog.com

• OWASP DevSecOps Maturity Model - Activities Overview

DSOMM

https://dsomm.timo-pagel.de

• ＴｉｋＴｏｋ報酬支払い、社名隠し拡散依頼…担当者も「さらされると嫌だ」と偽名使用か : 社会 : ニュース : 読売新聞オンライン

ＴｉｋＴｏｋ報酬支払い、社名隠し拡散依頼…担当者も「さらされると嫌だ」と偽名使用か

【読売新聞】　動画共有アプリ「ＴｉｋＴｏｋ（ティックトック）」を運営する中国企業「バイトダンス」の日本法人（東京）が、ツイッター利用者に報酬を支払い、指定する動画を一般の投稿かのように紹介させていた問題で、利用者に依頼する際に社名を

https://www.yomiuri.co.jp

• Google、脱Cookie技術「FLoC」開発を停止し、新たな「Topics」を発表 - ITmedia NEWS

Google、脱Cookie技術「FLoC」開発を停止し、新たな「Topics」を発表

Googleは、ユーザーのプライバシーを守りつつ適切な広告を表示するための技術「FLoC」の開発を停止すると発表。それに代わる新技術「Topics」のテストを間もなく開始する。FLoCへのフィードバックに基づいて、FLoCに代わるものとして開発する。

https://www.itmedia.co.jp

• Wi-Fiで果物の中身を測定できる「Wi-Fruit」　切らずに腐っているか判定可能：Innovative Tech - ITmedia NEWS

Wi-Fiで果物の中身を測定できる「Wi-Fruit」　切らずに腐っているか判定可能

中国の上海交通大学と深せん大学、廈門大学、カナダのマギル大学による研究チームは、Wi-Fiを活用して果物の中身を外から計測するシステムを開発した。スイカやグレープフルーツなど皮が厚い果実も測定可能で、推定結果から内部の腐敗具合を判断できる。

https://www.itmedia.co.jp

• オイシックス大量欠品「社員総出・手動で在庫整理中」　物流センター移転に「判断の甘さ」 - ITmedia NEWS

オイシックス大量欠品「社員総出・手動で在庫整理中」　物流センター移転に「判断の甘さ」

「Oisix」で大量欠品問題。物流センター移転によりトラブルが相次いだことが原因。

https://www.itmedia.co.jp

• 論文に何を書くべきか→これだけは埋めろ→論文作成穴埋めシート 読書猿Classic: between / beyond readers

茫�������篏������吾����鴻�����������������������������������茫����篏����腥翫�������激�若��

������荐����������������茫�������罩祉����с����吾��������������������荐����鐚�鐚� 茯㊥�悟��Classic: between / beyond readers�����吾��������������������������腥翫��������������茫���������阪��������������������篏������������������帥��������荅宴�������ｃ�������с��篏���ｃ����帥��������篏���с�����������腴������吾�駚�羈���������吾����������������с�������������吾����鴻�����������鐚�������������������������鐚���吾����������с�������������馹����篏������吾����鴻�������с�����������綛吾��������������茫���������ゃ��������緇�菴違����������������祉��������羆冴�障�ｃ�����������������腟�...

https://readingmonkey.blog.fc2.com

• 子猫「肉球ぜんぶ見せたげよっかな？」　かわいい肉球をもったいぶる子猫に全力で「見せて！」とお願いしたい - ねとらぼ

子猫「肉球ぜんぶ見せたげよっかな？」　かわいい肉球をもったいぶる子猫に全力で「見せて！」とお願いしたい

チョコまんじゅうみたいでかわいい！

https://nlab.itmedia.co.jp

• ダンボール箱になかなか入れない猫ちゃん、まさかの八つ当たりに「落ち着いて」　スネる姿がかわいいと話題に - ねとらぼ

ダンボール箱になかなか入れない猫ちゃん、まさかの八つ当たりに「落ち着いて」　スネる姿がかわいいと話題に

箱があったら入りたい。

https://nlab.itmedia.co.jp

• フェリー乗り場の待合室にいた猫さん。隣に座るとすぐに膝の上に乗ってきて、幸せそうに甘え始める様子が可愛すぎる♡ | エウレカ！

フェリー乗り場の待合室にいた猫さん。隣に座るとすぐに膝の上に乗ってきて、幸せそうに甘え始める姿が可愛すぎる♡

ある日、男性がフェリー乗り場の待合室に行くと、茶トラの猫さんが迎えてくれました♪ さっそく男性が猫さんのことをナデナデしてみると、とっても幸せそうな姿を見せてくれました♡ 出典：感動猫動画 さらに男性

https://eureka.tokyo