security
prev: http://d.hatena.ne.jp/mjt/20120902/p2 最近のgitは、ID/パスワードをOSネイティブのストアに格納するために、credential-helperという仕組みを備えている。 というわけで、gitのcredential-helperの実装が↑で見ていたAPIをほぼカバーしているので参…
nmoshにcURLバインディングを追加するにあたって、パスワードを適当なところにストアするAPIについて調べた。 というのも、ユーザに入力させたパスワードを補完する上手い方法が必要とされている。デスクトップには全文検索システムが入っているのがいまや普…
JPCERT/CCは、CERTのセキュアコーディングスタンダードを翻訳して公開している。 http://www.jpcert.or.jp/sc-rules/ C言語雑学としては面白いのでオススメ。しかし、訳が微妙に古く、既に没(void)になったものがそのまま載っていることに注意する。例えば、…
追記: RSA社は攻撃手法の詳細を把握しているようだ: http://d.hatena.ne.jp/ukky3/20110402/1301757824 (文中のC&CはCommand and Controlを指す。原文参照。) RARはアメリカやヨーロッパの一部では非常に普及している。 以前の内容 http://japanese.engadget…
http://journal.mycom.co.jp/articles/2010/08/24/wpatkip/index.html なんでこんなに煽り口調なのかは分からないが、確かに、現状ではWPA-TKIPはそれなりに危い。 理解すべき前提 前提として、TKIPは、"既存のWEPハードウェアを再利用する"ことを前提にデザ…
.ssh/configに UserKnownHostsFile /dev/null StrictHostKeyChecking noのように書く。...もっと簡単な手法が在ってもよさそうなのに。。 SSHのTCP転送でSSHするようなシチュエーションを想定して、LocalHostのホスト鍵を無視するオプションは存在する(NoHos…
PS3の閏年問題でPSNに繋らないという事象があった。 一般に、日付が正確でないコンピュータはネットワークに繋がらない。すくなくとも正常に機能しないことが多い。 例えば、SSLやTLSで使用している証明書の検証のためには、コンピュータの時刻が正確に設定…
http://blog.f-secure.jp/archives/50334036.html (via http://twitter.com/znz/status/7656582480 修正版がなかなか出ない可能性もありますので、数年間はAdobeのJavaScriptは無効のままにしておいたほうがいいと思います。 さぁ今すぐAdobe Readerを開いて…
prev : http://d.hatena.ne.jp/mjt/20091109/p2 OpenSSL 0.9.8lでrenegotiationはデフォルトで無効になり、今後のバージョンで提案されたプロトコル拡張を導入することとなったようだ。 http://www.openssl.org/news/changelog.html *) Implement https://sv…
next : http://d.hatena.ne.jp/mjt/20091110/p1 追記 : 問題は対策されつつあり、近い将来には重要な問題で無くなる可能性が高い。 http://journal.mycom.co.jp/news/2009/11/09/006/index.html サマリ : クライアント証明書を持って無い人は関係ない。Web上…
追記 : ソフトウェアCASは他所で定義されていたので置き換えた。 今読んでみると内容が錯綜してるのでまとめると、 復号をソフトウェアに任せる方法を許可しようとしている(いわゆるソフトウェア方式) これを許可すると、地上波チューナ＋PC側でのデコードと…
追記 : 単純化したチャート ソフトは常に最新に！(ケータイアップデート や WindowsUpdate、Apple Software Update等) 知らない間に何かインストールされるというのは非常に重大な問題なので、もし発覚すればすぐ修正されるはず。 逆に言えば、日本の携帯電…
DRMのことを多少理解すると無駄なことで悩まずに済む。 1 : PC上で動作するDRMは全て現実的な時間で破られる なぜならPCはオープンプラットフォームであるため。 これに関しては例外を十分に理解する必要がある。いわゆる"Trusted Computing"は、この原則か…
エラー 766:証明書が見つかりませんでした...コンピュータ証明書をインストールする必要があります。といったエラーが出るときは、mmcの証明書スナップインを"コンピュータ アカウント"で入れる。 インターネットオプションで出てくる奴はユーザ個人の証明書…
http://itc.sfc.keio.ac.jp/pukiwiki/index.php?VPN%A5%B5%A1%BC%A5%D3%A5%B9%A4%CB%A4%C4%A4%A4%A4%C6%2FL2TP-VPN%CD%F8%CD%D1%CA%FD%CB%A1%28Windows%20Vista%A4%CE%CE%E3%29 ・「認証に事前共有キーを使う」にチェックを入れる。 ・キーに「cnsvpn」と入…
http://takagi-hiromitsu.jp/diary/20090315.html#p01 誰でも簡単にこのようなBluetooth探査ができてしまうのだから、逆に、周囲でデバイス探査されていることを検知するプログラムを作って、警報が鳴るよう走らせておきたいところだ。 Bluetoothにおけるデ…
以後、R6RSを使ってSSHを実装していく。 最初のステップ 本当の最初のステップはSSHのバージョンや、使用するアルゴリズムを同意することになるが、これは後回しにする。 最初のステップは、ホストとクライアントの間で"安全な"接続を確立することにある。こ…
http://slashdot.jp/security/article.pl?sid=08/02/22/2151233 昨日作った手抜きDDR SDRAMコントローラを使って、リフレッシュをやめたDRAMの内容が実際に消えないのか試してみた(まぁ経験的にも十分知られている事項では有るが。。)。 リフレッシュを止め…
http://middleware.naregi.org/Download/ EJBCAからNAREGI-CAに乗り換えようかと考え中。 COINSもそうだけど、この手のソフトの「登録しないとダウンロードできない方式」はかなり不味い気がする。portageやpkgsrcで一発で導入できない。 OSSなんだから再配…
※ 書きかけ ※ IA32、Linux/Windows以外では無理(extensionの都合) とりあえずEAP-PEAPのためにサーバ証明書。EAP-TLSのためのクライアント証明書もほぼ同じ手順を繰り返せば作ることが出来る。 http://www.org3.net/tech_notes/wireless-2.html まず、この辺…
まず、 http://wiki.osdev.info/?SSH http://wiki.osdev.info/?ASN.1 あたりを参照。 RSAのアルゴリズムなどについては死ぬほど解説が有ると思うので省略。 http://www.faireal.net/articles/8/01/#d40204 を見ること。 鍵の供給 いわゆるid_rsaファイルの内…
