フリーマーケットサービスのメルカリで個人情報が流出する事故が起こった。iOS/Androidアプリ版ではなくWebアプリ版で起こった。あるユーザーが自分の情報を表示しようとすると、他のユーザーの情報が表示されてしまうというものだ。 第三者の情報を閲覧できる状態になっていた可能性があるユーザーは5万4180人。このうち、住所・氏名・メールアドレスが見える状態になっていたユーザーは2万9396人だという。 第三者の情報を閲覧できる状態になっていた可能性があるユーザーでも、特定の条件を満たさなければ、実際には住所・氏名・メールアドレスが見える状態にはならなかったという。メルカリは、そうした条件には二つのケースがあるとしている。 第1のケースは、障害が発生した2017年6月22日の9時41分から15時5分の間にWeb版メルカリにログインしてアクセスし、そのときに閲覧したページがキャッシュサーバーに

Tweet はじめに ネットワーク診断では、脆弱性スキャナーや侵入テストツールなどのさまざまなソフトウェアを使用します。これらはどれも複雑なソフトウェアであるため、インストール方法から実際の操作まで、事前に多くのことを学ぶ必要があります。 しかしネットワーク診断の現場では、コマンド1つで提供されるシンプルなツールも多く利用されています。そのような簡単なツールでも、うまく使いこなせばさまざまなセキュリティチェックを行うことができます。 このコラムではネットワーク診断で使われるツールの中から、一般的なUNIX/Linuxで標準パッケージとして提供されており、簡単に利用できるコマンドを紹介していきます。これらのツールはネットワークのトラブルシューティングにも使われることが多いため、ふだんサーバー・ネットワークの構築をしている方々にも役立てていただきたいというのがこのコラムのねらいです。 今回のコ

New podcast series! Subscribe to Life In Uptime with Alexis Bertholf & Kevin Nanns. The purpose of a load balancer is to distribute client connections to multiple servers to increase load capacity and provide high availability. One common requirement of load balanced applications, since most application servers maintain session information on the local box, is that a client must stay locked to a s

ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog 「細かいと言うより長いよね」 はじめに こんにちは。ATS の脆弱性を発見した小柴さんや ATS に HTTP/2 の実装を行っている大久保さんと同じチームの一年目、匿名社員M さんからいじられている新人です。今回ありがたい事に、こういったすごい方々を含めモヒカン諸先輩方より「何か書かないの？」「いつ書くの？」という数々のプレッシャーお言葉をいただきました。 というわけで、SSL/TLS の Session 再開機能に関して書いていこうかと思います。 SSL/TLS は機密性、完全性そして真正性に対して安全な通信を行うための仕組みです。しかし、この仕組みは暗号技術を多用し特に接続において複雑なプロトコルを用い、Client, Se

tl;dr デプロイツールによっては 同じサーバに SSH で何回もコマンドを実行することがある(ansible とか)。 コマンドごとに毎回コネクション(トンネル)を確立するとオーバーヘッドも大きくなる。 OpenSSH は $HOME/.ssh/config に次の設定を書くことで、接続を多重化(multiplex)することができる。 # $HOME/.ssh/config Host machine1 HostName machine1.example.org ControlPath ~/.ssh/controlmasters/%r@%h:%p ControlMaster auto ControlPersist 1h multiplex 前後の速度差 SSH を使ってリモートサーバで echo コマンドを実行した時の速度差を計測 before multiplex $ time ssh

コンピュータをはじめとしたインターネットに接続する電子機器には、TCP/IPソフトウェアが組み込まれています。 近年では、情報家電や携帯端末などの電子機器にも使われるようになり、TCP/IPソフトウェアは広く利用されています。 TCP/IPを実装したソフトウェアは、これまで多くの脆弱性が発見、公表され、機器ごとに対策が実装されてきました。しかし、こうした脆弱性の詳細な情報をとりまとめた資料がなかったことから、新たに開発されるソフトウェアで既に公表されている脆弱性の対策が実装されておらず、脆弱性が「再発」するケースが見受けられます。 このような課題に対応するため、IPAでは、TCP/IPに関する既知の脆弱性を取り上げ、TCP/IP実装時の情報セキュリティ対策の向上を目指して調査を実施しました。 本報告書は、一般に公表されているTCP/IPに関する既知の脆弱性情報を収集分析し、詳細な解説書とし

自宅なりレンタルなり、自前でサーバーを立ち上げて公開するとあっという間に世界中からアタックがやってきます。 うちでは会社や出先からちょっと設定をいじったりソースを取り出したりしたいなという時のために自宅鯖のsshを開けていて、 アタックがあったらメールでお知らせみたいな運用をしばらくはしていたのですが、多すぎて辟易してしまいました。 アタック元を見るとほとんど海外、とくにcn,kr,twあたりというのが実情でありまして、 sshを開けている目的からすると365日全世界にオープンにしておく必要はないので今は国内IP以外はfirewallではじいています。 そんなわけで、今回もまたFedoraのfirewalldネタとして書いてみることにします。 （実際は、自分だけしか使わないなら例えばポート変えちゃってもいいんですけどね） 国内IPの判別 世界の国別 IPv4 アドレス割り当てリスト htt

Our State of the Internet (SOTI) reports summarize attack trends by region — and offer defensive actions — based on continuous research delivered by the Akamai Security Intelligence Group.<br>\r\n</p>\r\n"}}"> Our State of the Internet (SOTI) reports summarize attack trends by region — and offer defensive actions — based on continuous research delivered by the Akamai Security Intelligence Group.

2013年12月ごろから、新たなDDoS攻撃▼（Distributed Denial of Service attack）がセキュリティおよびネットワーク技術者の間で話題となっている。このDDoS攻撃の特徴は、サーバーやネットワーク機器で一般的に利用されている「時刻同期（NTP）」の仕組みを悪用する点だ。 ▼DDoS攻撃とは、複数のコンピュータから攻撃対象に向かって一斉にパケットを送信し、攻撃対象のコンピュータの処理能力をオーバーさせ、本来提供しているサービスを利用できなくしてしまう攻撃のこと。 NTPとはNetwork Time Protocolの略で、パソコンやサーバー、ネットワーク機器などが正確な時刻を取得するためのプロトコルである。時刻を合わせたいNTPクライアントが、時刻情報を配信するNTPサーバーに問い合わせて正確な時刻を取得する。NTPサーバーソフトとしては、NTP Proj

（※）このページで紹介している事項は記事初出時点の情報に基づいたものです。本ページはアーカイブとして掲載しています。 2012年7月2日 更新 送信元アドレスと通信 IPパケットには、送信元と送信先のアドレス情報が含まれています。通信を行う際に、送信元はこれらのアドレス情報が設定されたIPパケットを送ります。送信先は受け取ったIPパケットの送信元アドレスに対して応答パケットを返します。送信元アドレスが正しくないと、送信先は正しく応答を返すことはできません。 不正な送信元アドレス インターネット上で行われる通信において、不正として扱われる送信元アドレスとしては以下のようなものが挙げられます。 プライベートアドレス、ユニークローカルIPv6ユニキャストアドレス(ULA) インターネットで未割り当てのアドレス 0.0.0.0、::、マルチキャストアドレスや文章記述用アドレスなど特殊なアドレス よ

Published: 2013-12-27. Last Updated: 2013-12-29 16:07:13 UTC by Basil Alawi S.Taher (Version: 1) Symantec has notice in the last few weeks that there is a significant NTP reflection attacks. NTP is Network time protocol and it’s used to synch the time between client and server, it is a UDP protocol and it’s run on port 123. In the NTP reflection attack the attacker send a crafted packet which requ