破られた証明書を除外できてるかのチェック方法 emudhra.we-have-a-problem.co… ↑を開いてこの表示しか出なければブラウザはセーフ 次に書かれてるcurlを実行して同じように繋がなければセーフ もしつながってしまったら...OSなどをすべてアップデートして

php2shellの脆弱性対応で、 自社サイトをDockerで動かしているけど、wordpress:php8.2-apache イメージのPHPが、いつまで待ってもパッチ適用版で配布されない…。ので仕方なく自前でイメージをビルドしてデプロイした。
大変だった。。お疲れさまです。寝ます。

「Apache Tomcat」に最大深刻度“CRITICAL”の脆弱性 ～v9 / v10 / v11系統に修正版／ forest.watch.impress.co.jp/d…

なんで個人開発って、完成するまで黙って作っちゃうんだろう🤔 途中の画面を1枚出すだけで 「それ欲しい」も 「それ要らない」も 早めに分かるのに。 自分も前は、完成まで隠してました😂 #個人開発 #IndieDev

今日、世界中のPHPerは大メンテ選手権だと思うけど、23:00(JST)にメンテ対応をする人たちはslack以外の連絡手段を事前に決めて用意しておいた方がいいと思うよ。 slackもphpだから同じ時間にメンテ入る可能性ある。 すぐ終わるとは思うけど、初動で焦らないためにも。 slack.com/intl/ja-jp/index.p…

「侵入経路塞いだが、バックドアから……」不正アクセス105時間の攻防、分単位で報告　防災メールのアルカディア itmedia.co.jp/news/article/2…

窓の杜👈これを正しく読めるか読めないかで分かることが一つあります #おじさん検定

最近わかってきたんだけど、プログラミングができる人っていうのはコーディング経験の長さじゃないんですよね、 一言でいうと、生まれ持ったセンスです。 だからプログラミングなんていままでやったことがなくてもAIを使ってバイブコーディングをし始めた途端に目覚めて、いけてるプロダクトを量産しはじめる人がいるんです。 そういう人はもともとセンスがあったと考えるべきだし、逆に長年プログラミングに携わっていてもパッとしない人もいるし、AIをぜんぜん使いこなせない人だっている。 それもこれも全部センスオブプログラミングです。

Claude Codeに全部任せて開発してたエンジニアの末路、1〜2ヶ月後ガチで地獄ですよ note.com/yukiedu/n/n4d25f5e1…

データセンター・クラウド、国が安全認証へ　中国系を事実上排除 nikkei.com/article/DGXZQOUA1…

こちらのドコモ宛てに届いた「楽天カード」を名乗るフィッシングメールのヘッダを分析しました。 SPF・DKIM・DMARCはすべてpass、BIMIのロゴ表示まで付いています。 偽装ではなく、楽天カードの正規の署名付きメールを再送する「DKIMリプレイ攻撃」に、「SPF Bypass」を組み合わせた手口です。 ■経路 ①10/14 21:19、楽天カードが利用しているOKWeb3（okweb3.jp、現在の提供会社はPKSHA Communication社）の送信基盤（楽天カードのSPFで許可済みのIP）から、攻撃者のアドレス宛てに正規メールが送信 ②約18時間後、無関係なサーバーからドコモ宛てに再送 元の宛先と、実際に届いた宛先が違います。 ■なぜDMARCがpassするのか DKIM署名は、本文と署名対象のヘッダが改変されていなければ、誰が再送しても有効です。 署名ドメインはFromと同じmail.rakuten-card.co.jpなので、DMARCもpassします。 p=rejectでも、リプレイは防げません。 SPFもpassしていますが、これはエンベロープ送信者を空にし、HELOに使った攻撃者自身のドメインで判定させたものです（いわゆるSPF Bypass）。 Fromとはアラインしないため、p=rejectのドメインならこれだけでは届きません。 DMARCを通したのはDKIMリプレイです。 ■被害を広げた原因：署名対象がFromだけ DKIM-Signatureは h=From:From でした。 署名されているのはFromだけで、Subject・To・Content-Typeは署名対象外です。 攻撃者は件名を「楽天カード登録情報の更新について」に差し替え、MIME境界（boundary）も書き換えています。 RFC 6376 Section 5.4はFromの署名をMUSTとしていますが、それ以外は必須ではないため、仕様違反ではありません。 しかし、Fromだけの署名では、再送時に改変できる範囲が最大になります。 このDKIM署名は、楽天カードの鍵を使ってOKWeb3の送信基盤で付与されています。 署名範囲を決めているのは送信基盤側なので、まず送信基盤側で是正すべき問題です。 ■もう一つの根本原因 任意の外部アドレス宛てに、正規の署名付きメールが届く経路があったことです。 フォームの自動返信などを本番の送信ドメインで送ると、攻撃者にリプレイの素材を渡すことになります。 ■現状 現在、このDKIMセレクタはDNSに存在しません（全権威サーバーでNXDOMAIN）。 鍵を消せば以後の再送は止まりますが、すでに配送されたメールは、ロゴ付きのまま受信箱に残ります。 ■再発防止策（送信側） 1. DKIMの署名範囲を広げる（送信基盤側の対応） From以外に、Subject・To・Cc・Date・Message-ID・Reply-To・Content-Type・MIME-Versionも署名します。 さらに、存在しないヘッダも含めてオーバーサインし、ヘッダの追加・差し替えを防ぎます。 これは署名を行う送信基盤側、今回はOKWeb3が実装すべき対策です。 送信を外部に委託しているドメイン所有者も、委託先が何に署名しているかを確認する必要があります。 2. 未確認の宛先に送るメールを、本番の送信ドメインから分離する フォームの自動返信や登録確認メールは、本番の通知とは別のサブドメインから送ります。 そのサブドメインにはBIMIを設定しません。 利用者の入力内容を本文にエコーせず、送信数も制限します。 3. DKIM鍵を3か月ごとにローテーションし、リプレイを検知したら即座に失効させる 定期的なローテーションで、古い署名を再送できる期間を最長3か月に抑えます。 M3AAWGのDKIM鍵ローテーションの指針は「少なくとも6か月ごと」なので、3か月ごとはそれより厳しい運用です。 あわせてDMARC集計レポートを監視します。 「DKIMはpassしているのに、自社のSPFに含まれないIPから大量に送信されている」という記録は、リプレイの兆候です。 検知したら、定期の周期を待たずに鍵を失効させて再送を止めます。 4. SPFの許可範囲を最小化し、隠蔽化する クラウドなどの共有基盤を広く許可すると、その基盤の他の利用者からのメールもSPF passになり得ます（BreakSPF）。 許可するのは必要なIPだけにします。 さらにSPFを隠蔽化し、どの送信基盤を使っているかを分かりにくくすることで、利用しているメール配信基盤の脆弱性を探すことを困難にできます。 ■DMARCは実装して終わりではない DMARCは、実装して終わりではありません。 p=rejectにして、BIMIを設定しても、それで終わりではありません。 今回のように、利用しているサービス自体が脆弱であれば、突破されます。 委託先の送信基盤も含めて、DMARCレポートを継続的に監視し、異常を早期に検知して対処し続けることが必要です。

そんなことだろうと思いましたよ>『パスワードについては暗号化して保管していたものの、不正アクセスがあった会員情報の管理システムの中にパスワードを元の状態に戻すのに必要な情報も入っていた』 / “ソースネクスト パスワード暗号化がない状態で流出 再設定 | NHK…” htn.to/3DumvNeHHS

「暗号化を解除するプログラムをハッキングされた」を具体化してみる (1)HSMを用いて暗号鍵は取り出せないしくみだったが、HSMで復号するルートをハッキングされた (2)KMSに鍵を保管していたが、アプリケーションがKMSから鍵を取り出したところを取られた (3)暗号鍵をプログラムにハードコードしていた うーん、どれだろうか?