セキュリティ
DKIM DomainKey Identified Mailの略称。 送信元を偽装したスパムメールへの対策である。 あらかじめ送信元ドメインのDNSサーバに送信元メールサーバの公開鍵を登録しておく。送信元メールサーバはデジタル署名を電子メールのヘッダーに付与して送信を行う。…
DNSサーバから受け取るリソースレコードに対するデジタル署名を利用して、リソースレコードの送信者の正当性とデータの完全性を検証する機能。DNSキャッシュポイズニングへの対策。階層構造の各階層のDNSサーバをDNSSECに対応させる必要がある。
公開鍵を利用する場合は、真正性(公開鍵の発行者がなりすましをされていないこと)が保障されている必要がある。そうした公開鍵の真正性を保証するためにデジタル証明書が利用されており、ブラウザにはルートのデジタル証明書があらかじめ登録されている(下図…
学生の頃、sha1は安全という話だったけどいつのまにか脆弱性がみつかったようで驚いた。 1024bit以下の鍵長の公開鍵(RSA,DSA) 160bitの楕円暗号曲線(ECDSA) ハッシュ関数MD5 ハッシュ関数SHA1
前回の続きです。前回はTCPでしたので、今回はUDPのパケットを対象とします。 パケットの総数 種別 個数 TCPのインバウンド 2320パケット UDPのインバウンド 4197パケット TCPのアウトバウンド 62000305パケット TCPのアウトバウンド 12572パケット ハニーポ…
CCCデータセットを昔解析したものが出てきたので、載せておきます。下のデータ採取に用いたハニーポットの設定は確か以下の通りです。こうしたハニーポットのログの可視化されたものは珍しいかもしれません。 ハニーポットはISPの管理下に設置 OSは仮想環境…
ssh-keygenで公開鍵暗号（RSA DSA 楕円曲線暗号）の鍵を作成してみました。当然ですが、暗号方式により鍵のビット長が異なります。RSAはデフォルトで2048ビット、DSAだと1024ビットのようです。楕円曲線暗号はOpenSSH 5.7以降しかサポートしていません。 楕…
SSHではパスワードで認証を行っていますが、公開鍵を利用することもできます。こちらのほうがより安全でしょう。 全体の流れ 1. 秘密鍵と公開鍵のペアをパスフレーズを用いて作成する。 2. クライアント側に秘密鍵を、サーバ側に公開鍵を保管する。 3. サー…
自分の環境でのパスワードの強度を試験するために、jack the ripperを試してみました。 インストール方法 ソースコードのダウンロードから解凍までは、特に特別な動作は必要ありません。 makeだけやや特殊でした。makeの引数は、makeを引数なしで実行した際…
OpenSSLコマンドで暗号に関するライブラリを利用できます。 ランダムな値の生成 openssl rand [オプション] ビット数で指定したビット数のランダムな値を生成できます。 [root@localhost ~]# openssl rand 32 ｳｭﾟｱY= w･・ﾑ+ﾟﾙﾚ・tﾙ ｴj [root@localhost ~]# o…
某ソースコードのコンパイルに手間取ったのでメモ。 以下が1つめのエラー root@pide-virtual-machine:/tmp# ls openssl-too-open.tar.gz root@pide-virtual-machine:/tmp# tar zxvf openssl-too-open.tar.gz openssl-too-open/ openssl-too-open/Makefile op…
ポートノッキングとは、サーバの閉じたポートにあらかじめ定められた順番でアクセスした場合のみ、サーバにアクセスできるという仕組みです。いわば玄関の鍵を「2重鍵」にすることに相当します。これを用いることで、sshのようなブルーとフォース攻撃を受け…
DROPとREJECTの違いに関して DROPの場合は、パケットを破棄するのみで、送信元への通知は行われません。 Chain INPUT (policy DROP) target prot opt source destination 一方REJECTの場合は、「reject-with icmp-port-unreachable」のように送信元に対して…
ここでは、ポートスキャンの代表的なツールであるnmapの原理・使い方・対策についてまとめてみました。ポートスキャンはセキュリティの基本ですが、とても奥が深いです。nmapの書式は以下の通りです。 nmap [Scan Type...] [Options] {target specification}…
下書き KVMのネットワーク構成もまとめないと…
