楽天証券は10月10日、新たなリアルタイムフィッシング詐欺の発生を確認したとして、利用者に注意喚起した。ユーザーが入力した認証情報をリアルタイムで窃取し、正規サイトへ即座に不正アクセスすることで、多要素認証を突破する手口だった。 今回のケースは、楽天証券を装ったメールやSMSでユーザーを偽サイトへ誘導し、ログインIDやパスワードを入力させ、そこで窃取した情報を用いて攻撃者がリアルタイムで楽天証券の正規サイトにログイン。要求された追加認証（絵文字）の情報も窃取し、偽サイトに表示してユーザーに入力させる。攻撃者はその情報を用いて正規サイトにログインしたという。 楽天証券は、偽サイトは「正規サイトと見た目では判断がつきづらい」ため、ブラウザ上に表示されるURLが「https://www.rakuten-sec.co.jp/」で始まっているかを確認することを呼び掛けている。 また偽サイトではユーザ

こだわりがチラッと見える仕事が好きなんですよね。 そんなの気にしない人や気づかない人も多いのかもしれない、でも気づく人は気づいてるよってやつを見つけた瞬間が楽しいのです。 私はソフトウェアエンジニアとして、「こういう機能があったら便利だな」という小さなこだわりを大切にしてきました。その一つが、検索条件をURLに残すという実装です。 例えばフリーワード検索ならURLの末尾に「?q=hoge」とか入るようにするし、さらに名前で順番を指定しているなら「?q=hoge&sort=name.desc」にするとかですね。 これ何が嬉しいかって条件ごとにブックマークしたりドキュメントに貼った時に便利ですし、Chromeのサイト内検索のショートカットやRaycastなどのランチャーアプリから可変部分だけを入力してサクッと条件付き検索できるんですよね。 こういうのって機能比較の○×書いているような表にはもち

「Pixiv見た後にLINE通話したら、今まで見ていたリンクが勝手に共有される」「原因はiOSのSharePlay」──いま、SNSでこんな“俗説”が広がっている。事実であれば、自分が見ていた恥ずかしいページが勝手に通話先に共有されてしまう恐るべき事態だが、本当にこんなことが起こるのか。LINEヤフーに聞いてみた。 今回広がっている俗説は、「Pixivを見た後にLINEで通話したら、勝手に今まで見ていたリンクが相手に共有される」「原因はiOSのコンテンツ共有機能『SharePlay』なので、同機能をオフにすれば回避できる」というもの。Pixivはイラストや小説の投稿サービスで、“オタク的”なものやR-18のコンテンツが多数投稿されている場でもある。確かに、そのリンクが意図せずシェアされてしまうのであれば大変だ。 しかしここで疑問が発生する。SharePlayがLINEに対応しているという情

ritouです。今日はこの話です。 SSO=一度ログインしたら複数RPに一括でログイン可能みたいなイメージに対して、OIDCでの動きは個々のRPがそれぞれ自分達向けのIDTokenを受け取りそれを信用してログイン状態にするだけ。 https://t.co/R4qNOrcY8h— 👹秋田の猫🐱 (@ritou) 2025年5月9日 ここで扱うSSO（シングルサインオン）とは、一般的に「一度の認証処理で、複数の独立したシステムやサービスへアクセス可能になる仕組み」を指します。 本稿では、このSSOをID連携の主要な実現手段の一つであるOIDC (OpenID Connect) がどのように実現するのかについて解説します。 ID連携を用いないSSOの実現方法：単一セキュリティドメイン内でのアプローチ まずID連携について触れる前に、単一のセキュリティドメイン（ID管理が一元的に行われる範囲）

2010年、米国のテクノロジー誌『WIRED』にて、当時編集長だったクリス・アンダーソンは「The Web is Dead. Long Live the Internet」という挑発的なタイトルの記事を発表した。これは、Webが死に、アプリケーションを中心としたインターネットが新たな主役になっているという主張だった。 アンダーソンはこの中で、かつてHTMLベースのWebページが中心だったインターネット利用の大半が、すでにYouTubeやFacebook、Twitter（現X）、そしてスマートフォンのアプリなど、Webブラウザの外側での活動に移っていると指摘していた。人々はもはやリンクをたどって情報を集めるより、アルゴリズムによってキュレーションされたフィードや、目的別に設計された専用アプリを通じて情報にアクセスしている。それは効率的で、快適で、収益性も高く、多くの人が支持する流れでもあった

udm14.com このサイトのドメイン名にもなっている「&udm=14」とは何かということだが、その前に the disenshittification Konami code というサイト名にも注意する必要がある。 disenshittification とは、ワタシも何度も（その1、その2）取り上げているコリイ・ドクトロウによるオンラインプラットフォームの質低下を指す造語 enshittification（メタクソ化）の対義語である。 そして、Konami code だが、もちろんコナミに由来する言葉で、いわゆる「隠しコマンド」全般を指すフレーズになってるそうな。 つまりは、「メタクソ化に抗う隠しコマンド」、それが「&udm=14」というわけだ。サイトデザインを見れば分かることだが、ここで対象となっているのは Google である。 検索エンジンとしての Google の質低下につい

これは、豆蔵デベロッパーサイトアドベントカレンダー2022第8日目の記事です。 JSON Web Token(JWT)の単語を目にすることがよくあると思いますが、それと一緒に認証と認可や、RSAの署名や暗号化、そしてOpenIDConnectやOAuth2.0までと難しそうな用語とセットで説明されることも多いため、JWTって難しいなぁと思われがちです。しかし、JWT自体はシンプルで分かりやすいものです。そこで今回は素のJWTの説明からJWS、そしてJWT(JWS)を使った認証を段階的に説明していきます。 おな、この記事はJWT全体の仕組みや使い方の理解を目的としているため、以下の説明は行いません。 RSAやHMACなど暗号化やアルゴリズムの細かい説明 JWTを暗号化するJWEとJSONの暗号鍵表現のJWKについて OpenIDConnectとOAuth2.0について 記事は上記のような内容

X(Twitter)で「外部サイトへ誘導を遮断」一部ユーザーで報告相次ぐ…YouTubeやInstargramの投稿が“非表示扱い”に

最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L　で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ

X（旧Twitter）で使われている短縮リンクt.coにおいて、古いものが機能しなくなっています。ユーザーが元々書いたURLは消えたまま、リンクの付かないt.coのURLが表示されるだけになっています。 これにより、古いポスト（旧ツイート）においてURLやドメインに言及していると、それがどこのURLだったのかわからなくなっています。 t.coが機能していない 例えば、以下は2014年9月に投稿したものです。 http://t.co/HNubkqk4Ruのドメイン更新完了ー。 — orefolder (@orefolder) September 19, 2013 「http://t.co/HNubkqk4Ruのドメイン」といってもわからないですよね。これは元々「android-home.netのドメイン」と書いたものです。X（旧Twitter）では本文にURLを入力すると強制的にt.coの短

多機能なウェブサーバーとして2004年に登場したNginxは、2023年6月時点では業界トップシェアとなるほど人気を集めるサーバーです。そんなNginxの設定において、スラッシュを一つ付けるか付けないかの差で大きなセキュリティホールができてしまう問題について、大手パスワードマネージャーやGoogle製のツールの例をとりあげてセキュリティアナリストのダニエル・マツモトさんがブログで解説しています。 Hunting for Nginx Alias Traversals in the wild https://labs.hakaioffsec.com/nginx-alias-traversal/ Nginxの設定には、特定のURLへのアクセスをどう処理するべきかを記述できる「location」というディレクティブが存在しており、URLをサーバー内のファイルに対応させるのによく利用されています。例

情報処理推進機構（IPA）の公式Webサイトリニューアルにおいて、多くのページにリダイレクト設定がなされず問題視されていた件を巡り、IPAは4月3日「ご不便をおかけしまして大変申し訳ありません」と謝罪した。 IPAは3月31日に公式Webサイトの全面リニューアルを実施。モバイル端末からの閲覧を意識したデザイン改修、コンテンツへの導線の改善などを図ったとしていた。その中で多くのページのURLも変更したが、リダイレクト設定がほとんどなく、既存のリンクを開いても「404 Not Found」とのみ表示されることが問題視されていた。 謝罪文によると、リニューアルに際して「安定的なレスポンスの確保を考慮し、リダイレクト対象とするコンテンツを選定した」という。しかし、多くのユーザーがIPAのコンテンツを資料として使っており、その影響について認識が不足していたのが原因の一つとしている。 なぜ「404エラ

情報処理推進機構（IPA）の公式Webサイトリニューアルについて、Twitter上で批判の声が上がっている。新URLへのリダイレクト設定がなく既存のリンクを開いても「404 Not Found」になっているとの報告が相次いでいる他、RSSがなくなって困るというユーザーもいる。 IPAが新サイトを公開したのは3月31日。「ユーザーがコンテンツを探しやすいよう導線を改善した」「スマートフォンやタブレットでの閲覧を想定してマルチデバイス対応をした」としている。 リニューアルによりURLの変更もあったが、新ページへのリダイレクト設定がなく、既存のリンクを開いてもコンテンツが表示されないケースが多発している。 例えばGoogle検索で「情報セキュリティ白書2021」を検索すると、検索結果トップに該当ページが表示されるが、リンクを開いても「お探しのページ・ファイルが見つかりませんでした」とのみ表示され

IPAウェブサイトリニューアルによるリンク切れや不具合について、ご不便をおかけしまして大変申し訳ありません。 IPAは本年3月31日、ユーザーの皆様にIPAウェブサイトについて、より快適にご利用いただけるようリニューアルを行い、スマートフォンやタブレットから閲覧する場合でも適切に表示されるようにマルチデバイス対応を行うとともに、ユーザーが目的のコンテンツを探しやすくするため、掲載内容やサイト構造の見直し等を行い、多くのページのURLも変更することとなりました。 URL変更の対応にあたっては、安定的なレスポンスの確保を考慮し、リダイレクト対象とするコンテンツの選定を行いました。しかし、今回の対応は、多くのユーザーがIPAウェブサイトに掲載されたコンテンツへのリンクを自組織のサイトや資料等で活用していることの影響に関して、認識が不十分でした。頂いた多くのご指摘を重く受け止め、ユーザーの皆様のコ

2005年2月10日 はてなブックマーク β版開始はてなブックマークはブックマークを通じて他の人とつながったり、注目の話題を簡単に探すことができる、国内初のソーシャルブックマークサービスです。 はてな、国内初ソーシャルブックマークサービス「はてなブックマーク」開始 ～ウェブサイトの内容からキーワード抽出し、コミュニティ要素を強化～ - プレスリリース - 株式会社はてな ソーシャルブックマークサービスの草分けは海外の「del.icio.us」で、はてブはいわゆるパクリタイムマシン経営だった。まさか本家よりも長く生き延びることになるとは。 そもそもソーシャルブックマークサービスにおいて「コメント」や「ホッテントリ」的なものは本質ではなく、Webサイトに大勢で「タグ」を付けていくことで検索しやすくする「フォークソノミー」のほうが重要視されていた。 まだ「Web2.0」の華やかなりしとき、「集合

Googleは独自のルールに従って検索結果の表示順位を決めていますが、Googleの広告枠を購入すれば任意のウェブサイトを検索結果の最上部に表示することができます。この広告枠を悪用して人気画像処理ソフト「GIMP」の公式サイトになりすました偽サイトが検索結果の最上部に表示されてしまう事態が発生しました。偽サイトはドメインの見た目までソックリで、インターネットに慣れている人でも見分けることは困難となっています。 Dangerous Google Ad Disguising Itself as www.gimp.org : GIMP https://www.reddit.com/r/GIMP/comments/ygbr4o/dangerous_google_ad_disguising_itself_as/ Dangerous Google Ad Disguising Itself as www

はてブについて、情報検索したりクエリを投げたりして調べてまとめてみた。自分用メモとして書いたもので、極少数の人しか興味を持たない内容かと思うが、読んでいただければ幸い。 公式等[1・2（参照したページURLを最後に記載。以下同様）]で詳細を確かめられず素人の憶測で説明した箇所がいくつもあり、簡潔明瞭でも網羅的でもない解説だがご容赦を。 トップページホットエントリと新着エントリの一覧への導線がある。 URL1. https://b.hatena.ne.jp/ 1a. https://b.hatena.ne.jp/hotentry/{1}（引数に"all"を入力した場合、1のエイリアス） 1b. https://b.hatena.ne.jp/ctop/{1}（カテゴリトップ[3]が過去に存在していた場合、1aにリダイレクト） 1c. https://b.hatena.ne.jp/hotentr