はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの志賀(@Ga_ryo_)です。 iOSアプリケーションを開発する上で、メディアファイルやドキュメントファイルを他のアプリケーションと共有する機能を実装するケースがあると思います。iOSでは、ファイル共有のために様々な機能を提供していますが、OSの更新に従って機能が増え、把握が困難になってきたと感じている方もいることかと思います。 また、そういった機能が追加された際に実装方法に関する解説をしてくださる方々がいらっしゃると思いますが、細かい仕様について語られることはあまり多く無いという印象です。 そこで本稿では、iOSアプリケーション上で利用できる各種ファイル共有機能を5つのパターンに分けて検証しつつ、これらを利用する上で注意すべき点についても解説していこうと思います。 注) 本稿では度々サンプルコードを提示する

Published 2020/11/16 18:00 (JST) Updated 2020/11/17 19:40 (JST) 激動の２０世紀最後の年となる２０００年１１月８日、大阪府高槻市の路上で１人の女が逮捕された。空港での銃乱射やハイジャックなど、１９７０年代に数々の国際テロを起こして世界を震え上がらせた「日本赤軍」のリーダーで、「魔女」とも呼ばれた重信房子（７５）だった。逮捕から２０年。執念で魔女を追い詰めた捜査員たちは今、何を思うのか。２０２２年に迫った刑期満了を前に、支援者らはどのような気持ちで出所を待つのか。（共同通信＝杉山修一郎） ▽氏名不詳の女 「一体誰だ」。２０００年夏、大阪市西成区の住宅街。日本赤軍関係者のアジトとみられるマンション一室を監視していた捜査員の目が、１人の中年の女にくぎ付けになった。大阪府警は国内にいる関係者の顔と名前を全て把握していたが、該当者はいない

バグハンターmageに聞くバグハンティングの方法とセキュアなサービス作りに必要なこと バグハンターとは、Webサービスやソフトウェアなどに含まれる脆弱性を、システム改善のために探し出す人々です。バグハントの方法は非常に多岐にわたりますが、具体的な手法、使用ツール、ハントのマナーを凄腕のバグハンターに聞きました。mageの名で知られる馬場将次さんが語り下ろす実践的なノウハウは、サービスをセキュアなものにしたいエンジニアのみなさんにとっても重要な知見になるでしょう。 バグハンティングを犯罪にしないために必ず知っておきたいこと 馬場流バグハント手法「調査」「解析」「実証」。そして「普通はやらない」を無数に試す 防御のために、言語やフレームワークの実装を学ぼう。コード読解から、違和感を見つけ出す方法を実践してみる XSSの現在。技術の進化と並走する攻撃手法の進化 セキュリティを理解するためにまずは

EMOTETというマルウェアは2014年にはじめて確認されて以来、様々な変化を遂げてきました。当初はオンライン銀行の認証情報窃取を主な目的としたオンラインバンキングマルウェアとして認知されていましたが、その後、様々な変更が加えられ、現在においては2014年出現当時とは全く異なる挙動や目的を持ったマルウェアとなっています。 2018年末現在、EMOTETは世界中で積極的に拡散され被害拡大が懸念されており、日本国内も例外ではなく、様々な企業へEMOTETの感染を狙った不正メールが届いている状況にあります。 そうした状況にもかかわらず、少なくとも国内においては、今のところ現在のEMOTETに関する感染から挙動に至るまでのまとまった情報が見当たりません。 そのため、今年11月～12月に実際の国内企業への攻撃で使用されたEMOTETの不正メールを元に、我々が調査した結果と現在のEMOTETの全体像を

エグゼクティブサマリ 聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに 今年の9月4日に聖教新聞社の通販サイトSOKAオンラインストアからクレジットカード情報漏洩の可能性がリリースされました。以下は聖教新聞社から運営委託されているトランスコスモス株式会社のリリースです。 「ＳＯＫＡオンラインストア」の件 このたび、弊社が聖教新聞社様より運営を委託されている「ＳＯＫＡオンラインストア」において、クレジットカード情報を入力して商品をご注文いただいた一部のお客さまのクレジットカード情報が、第三者によって不正に取得された可能性があることが発覚い たしました。 http

2018年8月30日、クラウドストレージサービス「Dropbox」を展開するDropbox Japanは、グローバルのストレージインフラやネットワークについての説明会を実施。AWSにあったシステムを自社データセンターに移した背景やそのメリットなどをDropbox Japanの保坂大輔氏が説明した。 エクサバイトに向け加速度に増え続ける超巨大システム Dropboxを支えるテクノロジーについて説明した保坂氏は、まずDropboxのサービスのスケール感について説明した。Dropboxが展開されている国は現在180以上で、登録ユーザー数も5億人以上になる。このうち1100万におよぶ有料ユーザーの80％以上はDropboxを業務で利用しており、個人向けサービスのイメージからは脱却しつつある。実際、日本でも関西大学やアディダスなどが万単位のアカウント数で運用しているという。 顧客データも1エクサバイ

A History of system-level offensive security researches: How is your system compromised by nation state hacking, APT attack はじめに 企業や個人に対するサイバー攻撃の頻度は年々増加の一途を辿っているが、これらはskiddyによる悪戯程度の物から、企業を標的とした高度な標的型攻撃、あるいは政府による諜報活動に至るまで多岐にわたっている。 特に大規模な組織や政府による綿密に練られたサイバー攻撃は、確実に目的を果たすために高度な手段が講じられる事が多い。 本記事では高度標的型攻撃や政府による諜報活動で用いられる手法の一つとして、"システムソフトウェアに対する攻撃"について紹介する。 これはオペレーティングシステム (OS) や仮想マシン、ファームウェアといった基盤システムを

Pythonは、習得が容易で、より大きく複雑なアプリケーションの開発にすぐに適用していけることから、コンピューティング環境に広く普及し、勢いを強めています。ただ、あまりに明瞭で親しみやすい言語なので、ソフトウェアエンジニアやシステムアドミニストレータが警戒を解いてしまい、セキュリティに重大な影響を及ぼすコーディングミスを誘発する可能性はあるかもしれません。主に、初めてPythonを使う人を対象とするこの記事では、この言語のセキュリティ関連のクセに触れます。ベテラン開発者にとってもその特異性を意識するきっかけになればと思います。 入力関数 Python 2に多数存在するビルトイン関数の中で、 input はセキュリティの面で完全に難点です。この関数をひとたび呼び出すと、標準入力から読み込んだものが即座にPythonコードとして評価されます。 $ python2 >>> input() dir

――　ファンを受け入れるにあたって、地域での温度差もあると聞きます。はじめから、意識してファンをお迎えするという方針があったのでしょうか？ 松本　わたしも商工会のメンバーもみなそうだと思うのですが、地域よりも、訪れた人がどれだけ楽しんでくれるかだと思いますので、経済効果を期待してグッズも少し利益が乗るよう高くしたりとかではなく、ファンが適正価格で買ってくれるものに極力近づけたい。利益を薄くしてでもなるべく手にとってもらえるように。 そしてイベントを開催するときも入場料は設定せず、とにかく参加は無料、気軽に来て楽しんでもらおうというのが、まず意識としてはあったかなと思いますね。 ――　人が沢山来ることで困るという部分も必ず出てくると思います。たとえば警備のコストとか。徳島のマチ★アソビですと、ボランティアの人たちがかなり支えてくれていたりしますが。地元の協力・理解をどのように取り付けたのか、

輸送コンテナ 海上コンテナ - インターモーダル輸送に用いられるISOコンテナ。 日本における内航コンテナの解説については、日本のコンテナ輸送#内航コンテナを参照。 鉄道コンテナ - 日本における鉄道コンテナの解説については、日本の鉄道コンテナを参照。

2018年4月25日をもちまして、 『CodeIQ』のプログラミング腕試しサービス、年収確約スカウトサービスは、 ITエンジニアのための年収確約スカウトサービス『moffers by CodeIQ』https://moffers.jp/ へ一本化いたしました。 これまで多くのITエンジニアの方に『CodeIQ』をご利用いただきまして、 改めて心より深く御礼申し上げます。 また、エンジニアのためのWebマガジン「CodeIQ MAGAZINE」は、 リクナビNEXTジャーナル( https://next.rikunabi.com/journal/ )に一部の記事の移行を予定しております。 今後は『moffers by CodeIQ』にて、 ITエンジニアの皆様のより良い転職をサポートするために、より一層努めてまいりますので、 引き続きご愛顧のほど何卒よろしくお願い申し上げます。 また、Cod

２月１日～３月１８日は「サイバーセキュリティ月間」です。 普及啓発活動へご協力ください。 不審なメールによる情報漏えい被害や個人情報の流出など、生活に影響を及ぼすサイバーセキュリティに関する問題が多数報じられています。 誰もが安心してITの恩恵を享受するためには、国民一人ひとりがセキュリティについての関心を高め、これらの問題に対応していく必要があります。 このため、政府では、サイバーセキュリティに関する普及啓発強化のため、２月１日から３月１８日までを「サイバーセキュリティ月間」とし、国民の皆様にサイバーセキュリティについての関心を高め、理解を深めていただくため、サイバーセキュリティに関する様々な取組を集中的に行っていきます。

Tweet 先週公開された glibc の脆弱性について、管理されているサーバーへの影響の有無を気にされている方が多いと思います。そこで緊急コラムとして、脆弱性の見つかった関数が使われているかどうかを調査する方法について紹介します。 この脆弱性について調査するにあたり、 ステップ1： 脆弱性の見つかった関数を呼び出している可能性があるかどうか？ ステップ2： 脆弱性の見つかった関数を呼び出している場合、脆弱性を攻撃するために任意の値を攻撃者が渡すことができるかどうか？ ステップ3： 任意の値を攻撃者が渡すことができる場合、どのような被害が生じうるか？ という3つのステップを考える必要があります。 ステップ1に関しては、 ライブラリを静的にリンクしたプログラムファイルは、この記事で紹介している方法では調査できない。 glibc 以外のライブラリを経由して呼び出している場合は調査手順が複雑にな

ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog Yahoo! JAPAN 研究所の五味です。 アイデンティティ管理とは、ネット社会における利用者個人やその個人に関わる情報を適切に保護しながら活用する技術の総称です。従来は、AAA（Authentication、Authorization、Auditing、それぞれ、認証、認可、監査）に関わる基盤技術でしたが、近年ではネットワークの発展に伴い、ドメインをまたがる分散システムにおけるデータ連携のための基盤技術と位置づけられてきています。そこで、本稿では、特に、ID連携に関する以下のような話題について説明いたします。 ID連携とは ID連携モデル ID連携の応用 ID連携トラストフレームワーク ID連携トラストフレームワーク アイデア

20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報