twitterまとめsuin❄️AWSできる方募集中です固定ツイートご覧ください@suinフォローする7Payで残念なパスワードリセットの脆弱性が話題になったが、InstagramでもSMSを使ったアカウント復旧の仕組みを悪用することで、10分以内にどんなアカウントでもハッキングできることが研究者の調査で判明したとのこと。00:32suin❄️AWSできる方募集中です固定ツイートご覧ください@suinフォローする6桁の復旧コードを総当たり攻撃するものだが、Instagramの総当たり対策のレートリミットがIPアドレス単位だったため、IPアドレスを多数並行して使うことで、その対策を迂回できたとのこと。Hashを取り上げて、NTLM認証の仕組みとか解説しつつ、実際に試してもらい、パスワード管理に関するグループディスカッションとかやってみたいんですよね。Takagi@HiromitsuTakagiフォローするSTARTTLSの脆弱性(TLSに切り替える前に改竄される件)は今時のメールサーバでどうなっているのですかね。「しかなく」はないかと。現地に行かずできる方法だったのでは。剛志@matsutakegohan1フォローするマイクロソフトの脆弱性の約70%はC++のメモリ周り。静的解析、ファジング、開発サイクルの改善、コードレビューなどいっぱいやったけど割合は変わらない。メモリセーフな言語を検討した結果Rustがいけてると判断した。Payの不正使用の件。その場で容疑者が確保されたと言うことは、ほぼリアルタイムで検知、対応が行われたということですね。カード会社の監視能力、恐るべし。悪いことはできませんね。正憲@masanorkフォローするアノマリー検知が大活躍だな。新しいセキュリティシステムを1週間で作るよう、社員に指示したそうですが、絶対に無理。“WeChatPayを中国口座なしで使う裏技が塞がれる。07:25tike@tiketiketikekeフォローする日常的に発生する国内Webサイトに対する改ざん事例をブログに纏めてみました。