Security

Security

OWASP TOP 10のトップ3を解説

概要 OWASPが発表している最新のWeb攻撃手法のことです。2017年時点の内容ですが、2020年時点でもこれらの攻撃手法は現役です。"Top 10 Web Application Security Risks"。通称は OWAS...
Security

I found a vulnerability related to the potential of Zoom Bomb

Abstract I found a security issue related to the strength of password authentication.This can be attacked from a rem...
Security

Zoomのパスワード強度に関する脆弱性を見つけた

概要 Zoomにおいてパスワード認証に関連する脆弱性を見つけました。特徴はリモートから、Zoomのサービスを利用しているユーザに対して、秘匿性に影響する内容です。自己診断したCVSSスコアは6.5です。CVSS:3.0/AV:N/A...
Security

このサイトをTLS1.3に対応しました

概要 いつからか、matsu.teraren.comのTLS設定において、TLS1.3に対応していなかったので対応しました。TLS1.3は、1.2から大きくハンドシェイクシーケンスが変わっていたり、ちょっと古めの暗号化アルゴリズムが...
PCI DSS

PCI DSS v3.2 セキュリティ基準の内容を構造化してみた

概要 PCIセキュリティ基準の準拠項目を構造化しました。ソース最初は自分でPDFからコピペしていましたが、大変だったのでクラウドソーシングに出して作ってもらいました。自分が想定していた速度の3倍くらい速かったので、餅は餅屋だなと思い...
Security

TLS 1.1以下の対応を無くし、TLS 1.2と1.3だけを有効化

背景 PCI DSS 3.2では、SSLとTLS1.1は2018年6月28日までに無くさなければいけないと明示している。 Visaは2018年2月にTLS1.1以下を無効にする主旨を発表し、各プログラミング言語に応じた移行方法...
Network & Infrastructure

certbotを使ってSSL証明書を自動更新

概要 Let's encryptのSSL証明書を自動更新するためのプログラムがcertbotとして切り出されたので対応してみました。 Mac OS Xの場合 % brew install certbot 試...
Linux

Let’s Encryptを使って簡単0円でサーバ証明書を取得

概要 Let's Encrypt を使って、無料サーバ証明書を発行して設置します。 手順通りやれば、10分程度で出来ると思います。 最近Facebookがゴールドスポンサーになって、盛り上がってきています。 12月3日にPubli...
Diary

SSLサイト運営者は一度確認した方がいい事

背景 こちらの件。世の中騒がれて居なさすぎだなぁと思ってます。 【翻訳】GoogleがWebでのSHA-1の利用停止を急ぐ理由 要約:CSRの一方向ハッシュのアルゴリズムが脆弱だと、偽証明書の偽造リスクが高いですよ。 世の...
AWS

AWSのElastiCacheはPCI DSS非対応

いつ対応するか未定とのこと。 とりあえず、要求は上げてもらった。 7/7 追記 AWSのソリューションアーキテクトに聞いたところ、ElastiCacheに対してどのような要件が足りていないかを相談してもらうのが良いとのこと。 物理レ...
タイトルとURLをコピーしました