→ SHA-1
「SHA1ハッシュってあるだろう？」 放課後、いつものように情報処理室に行くと、高山先輩が嬉しそうな顔でそう言った。 「ええ、SHA1、ありますね」 「SHA1って何桁か覚えているかい？」 「えっと…」 一年下の後輩、岡村が口を開いた。 「50桁くらいはありましたっけ…？」 先輩はパソコンに向かって何かを打ちはじめた。 現在、情報部の部員は三人しかいない。部長の高山先輩と、二年の自分と、後輩の岡村だ。いや、正確に言うと、先輩の学年にはもう少しいたのだが、もうほとんど部室に来ることはなくなってしまった。無理もない、この季節になると先輩たちは受験勉強で忙しくなる。 「例えば、こういうふうに… 適当…
Duo CentralからMeraki DashboardへのSingle Sign-Onを行うための設定手順を整理しました。 Meraki DashboardへのSingle Sign-On 本記事ではIdP (Identity Provider)としてDuo Securityを取り扱います。 なお、Meraki Dashboard側でのRole設計やSingle Sign-Onに必要な設定要素は限定されているため、他のIdPであってもMeraki Dashboard側の設計は根本的には大きくは変わらないと想定されます。 設定対象の範囲 (本記事のスコープ) 設定作業の順番 (作業の依存関係…
Termuxにsshdをインストールして、TeraTermで接続しようとしても認証に失敗してしまう。 ssh-keygenで-m PEMのありなしのどちらの鍵ファイルでもダメ。 logcatで見ると、以下のエラーが記録されている。 09-25 22:03:19.576 20958 20958 I sshd : userauth_pubkey: signature algorithm ssh-rsa not in PubkeyAcceptedAlgorithms これってSHA-1廃止がらみ？ ~ $ pkg show openssh Package: openssh Version: 9.0p…
概要 ハッシュとは、ハッシュ関数と呼ばれる計算式により元データを特定桁数の値に変換すること。 例えば、文字列や画像データなどのファイルをSHA256と呼ばれるハッシュ関数に入力すると、256bitのハッシュ値が出力される。 ハッシュ関数の特徴 入力データにかかわらず必ず決まった桁数のハッシュ値を出力 入力データが異なれば、ハッシュ値は原則異なる。理論上は異なる入力データのハッシュ値が一致してしまう可能性はゼロではない（一致してしまうことを衝突という）。ただし現在主流のSHA256で衝突が発生する確率は「２の１２８乗分の１」であり、普段利用においては実質ゼロと言ってもよい。 ハッシュ値から入力デ…
AWS Site-to-Site VPNを設定した際、AWS側からVPNサンプル設定をダウンロードできます。 AWSと対向するネットワーク機器用に出力するサンプル設定なのですが、中身が英語だし所々修正が必要だし、っと英語が苦手な自分にとってはあまり親切なファイルではありません（汗 本記事では、VPNサンプル設定の日本語化 & ネットワーク機器の表記に合わせて修正をしてみたいと思います。 ・・・日本語化とか翻訳とか言ってますが、Google翻訳様に頼りきっています（汗 目次 目次 検証環境 注意事項 1. AWS側のVPN設定 2. VPNサンプル設定 2.1. VPNサンプル設定のダウンロード…
QUIC 下の図がわかりやすいと思う。 https://datatracker.ietf.org/meeting/98/materials/slides-98-edu-sessf-quic-tutorial/https://datatracker.ietf.org/meeting/98/materials/slides-98-edu-sessf-quic-tutorial/ 参考url https://milestone-of-se.nesuke.com/l7protocol/http/http3-over-quic/#toc7 http2( on TLS1.3)とhttp3( over QU…
前書き .NET MAUIのPipeline Buildについて、.NET Blogに記事が掲載されていたので実際に試してみました。 .NET Blogの記事では、Github ActionsとAzure DevOpsそれぞれで各プラットフォーム(Androd、iOS、Windows、macCatalyst)のBuildのやり方が記載されていますが、ここではひとつずつ取り上げていきたいと思います。(果たして全部書ききれるのだろうか。。) Github Actions初めて使うので、ちょっと説明がくどくなるかもしれません。 試した範囲は、署名されたapkファイルとaabファイルを作るところまでで…
エムスリーエンジニアリンググループ AI・機械学習チームの笹川です。 趣味はバスケと筋トレで、このところはNBAはオフシーズンですが、代わりにユーロバスケが盛り上がっていて、NBAに来ていない良いプレーヤーがたくさんいるんだなーと思いながら見ています。 夜ご飯を催促するためデスク横で待機する犬氏（かわいい） 今回は、パブリッククラウドへの認証に必要な秘密情報をGitLab自体に格納することなく、安全に認証する方法について紹介します。 CI/CDの実行時のパブリッククラウドに対する認証 ナイーブな手法とその問題点 OpenID Connectを用いた認証 Terraformでパブリッククラウド側…
日本国内のシステムでは、いまだに文字コードとしてSJIS(シフトJIS, Shift JIS)が使われているものがある。電文の送受信にあたり、整合性の確認のためにハッシュ値を付与する場合、暗号化ライブラリで文字コードを指定してハッシュを生成する必要がある。 参考 環境情報 Node.jsバージョン 使用ライブラリ TypeScript npm install sha1.ts 実行結果 SJISバイト列のbase64をcrypto-jsに渡すのがポイント 結果検証 SJIS UTF-8 JavaScript npm install sha1.js 実行結果 まとめ - Node.jsでSJIS文…
前回は、Wireshark 4.0.0以降で利用できるようになるssh復号機能を背景に、OpenSSHクライアントのデバッグシンボルがある場合にclient keyを抽出する方法を紹介した。 前回の方法では、関数名でbreakpointを設定したり、client keyをprintするのに変数名を指定したりできるようにOpenSSHをデバッグビルド(-gオプションでコンパイル)する必要があった。 sshクライアント環境ごとにOpenSSHをデバッグビルドするのは実用性にやや難があるので、今回は、より汎用的な方法としてgdbを使ってUbuntuにバンドルされているsshコマンドからclient …
TL;DR ファイルを見る 「Build ID」とは 「debuginfo」 とは debuginfoとBuild IDの関係 「debuginfoの素早い検証」 「ダンプに対応するバイナリの発見」 複数バージョンのdebuginfoをシステムへ導入する /usr/lib/.build-id の通常rpmへの移動 Build IDの応用 Red Hatの森若です。 rpmパッケージに含まれるファイル一覧を rpm -ql glibc のようにして表示すると、/usr/lib/.build-id ディレクトリ以下に多数のファイルがあることに気付きます。 「このファイルは何ですか?」 という素朴な…
私はお仕事では AWS を使っています。 EC2 で立てた仮想マシンを操作する際には、SSH 鍵が必要です*1。 今回は、その鍵の検証でハマったという話。 *1:Linux マシンは言うに及ばず、Windows マシンでも、管理者のパスワードを取得する際などに使用します
TL;DR OpenSSHをデバッグビルドできる場合、gdbでb kexgen.c:kex_gen_clientした後にfinしたタイミングでkex構造体にclient keyデータが入っている Wiresharkのssh key log formatで鍵を記録するためのgdbコマンドファイルを作成した デバッグシンボルがない場合は、ssh -vで実行したときにwrite(2, "debug1: expecting SSH2_MSG_KEX_ECDH_REPLY", 43)しているところの呼び出し元がkexgen.cのkex_gen_client()なので、同様に関数の終わりでkex構造体を読…
家にあるNECのIX2105にUbuntu22.04が入ったノートPCからssh(OpenSSH)を利用してアクセスしようとしたら Unable to negotiate with $IPADDR port $PORT: no matching host key type found. Their offer: ssh-rsaと言われるようになりアクセスできなくなった。 どうやらOSアップデート(20.04→22.04)に伴うOpenSSHのアップデートで安全性が低いRSA/SHA1接続がデフォルト無効化されるようになったらしく、そのためネゴシエーションでIX側から提示されたssh-rsaによ…
9/3 - 9/4という日程で開催された。ひとりチーム( 'ᾥ' )で出て10位🍰 今回は裏番組としてBalsn CTFが開催されていたからかはしらんけど、上位チームにソロのチームが多くて、私が把握しているだけでも、上位15チームのうちなんと私を含めた9チームがソロだった。世の中にはオールラウンダーがいっぱいいてこわい。 InterKosenCTFという名前だった頃から問題のクオリティは高かったけれども、さらに面白くなっていてとても楽しめた。が、今年はWeb問を全完できなかったのが大変悔しい。残っていたのはWebのImageSurfingという php://filter を最大限活用する問題で…
今年もCakeCTF 2022が開催されました。 今回はちょっと難易度を下げるぞう🐘(ﾊﾟｵｰﾝ!)と思って問題を作りました。 特にpwn,revあたりが簡単になったと思います。 他のジャンルはあんまり変わってない疑惑があります。 とはいえ、自明問題は出ません出しません出させません。非自明三原則。 解法スクリプトや問題のソースコードなどはこちらをご覧ください。 github.com フルツキーの開催記： furutsuki.hatenablog.com 毎年恒例、運営とのお約束： writeupは読むだけでなく、手を動かして復習しましょう。 さらば道は開かれん。 開催記 準備 運営中 終了後 …
itchyny.hatenablog.com
www.itmedia.co.jp
www.slideshare.net
security.googleblog.com
postd.cc
atmarkit.itmedia.co.jp
blog.ohgaki.net
hogehoge.tk
knowledge.sakura.ad.jp
