■23/4/23 9:12PM
Bay Bay Bay
ebayはSellerからオファーがあり値引きしてくる。破壊力あるな。ただ購入が面倒だった。
ebayでの問題１）日本には送ってくれない場合がある２）日本に送ってくれるが住所が日本語だと売主でキャンセルされる決済での問題３）クレカ会社で支払いを止められている場合がある４）Paypalで各種証明書が必要で止められている場合がある（クレカ認証も要るはず５）google payでの決済ができない（クレカ側で止められているのでは？↓
対処
↓１）米国転送住所 shipito.com が使える オレゴン倉庫は消費税が掛からないが有料で月10ドル calの10%弱の消費税が掛からず送料も安くなるので一時契約する ebayに米国住所を登録するには米国電話番号が必要 skypeで毎月300円で発行ができるので一時契約する(MSのoutlookメールID) shipito.comに送付されたら日本に転送依頼をする２）ebayの送付先住所（米国）は英語にする（日本に送付可ならコレなくてもいい） 念のため日本の個人情報住所も英語にする（日本に送付可でもココは英語がいいかも） 念のためebayの言語設定を英語、場所を米国にする（上か下ナビにあるはず） その後に購入・決済手続きする方がいい３）クレカサイトのFAQで支払いできない時等で検索して対処４）Paypalは各種証明書を登録する。クレカ認証は確か少額課金で検証されるはず５）知らん
shipitoで送料見積もると安かったが、実際に荷物が届くと梱包が大きくかなり高い
米国内転送でshipitoでまとめて荷物一つで送ろうと思ったが、直接日本に送ってくれる相手なら直接の方が安いかもしれず良く考えよ解約すること shipito $10 / skype us phone num 300yen
＝＝＝＝＝＝＝＝＝
流せるトイレブラシの使い方に「天才かよ」 真似したくなるトイレの掃除術 – grape [グレイプ] (grapee.jp)
Comment (0)
■23/3/15 9:27PM
GMT(Greenwich Mean Time)
[Click for image]
■セイコーPROSPEX SPEEDTIMER Solar Chronograph SBDL097（ペプシ）セイコー プロスペックス SPEEDTIMER SBDL097 | セイコーウオッチ (seikowatches.com)腕時計のベルト調整方法（Cリング式） - YouTube
Cリングが内側下側に入っており無くし易いので気を付ける
6時方向を短くした方がバランスが良い
バックル微調整はバネ棒なので縮めてズラす（バックルから外さない方が面倒がない）
クロノグラフはストップウィッチで秒針が12時のままが正しい
スプリットセコンド付
上ボタンでスタート、下ボタンでラップ、下ボタンで続き
上ボタンでストップ、下ボタンでリセット
FとEでソーラー充電上体を表示
竜頭1段出しで日付、2段目で時刻調整
ソーラ充電電池の寿命は10年とメーカで謳われている、交換は三～四千円で、機械かクォーツの方がいい？
■セイコー5 SPORTS SKX Sports Style GMT SSK001K1SBSC001の海外モデルでブレスレットの中3連がミラー艶出し
各部の名称と主なはたらき (seikowatches.com)
ベルト調整はCリング無しの割ピン仕様
午後8時から午前4時は日付の調整を行わないこと（朝昼夕方に合わせる、反時計回りは駄目）
竜頭1段目にして反時計回りで前日の日付にセットし、 竜頭2段目にして時計回りで時刻合わせ 竜頭0段目：ぜんまい巻き上げ（時計回り、回しすぎない方がいいらしい） 竜頭1段目：日付合わせ（反時計回り）・GMT24時針合わせ（時計回り） 竜頭2段目：時刻合わせ
日本時間の24時間針として使う場合
ベゼルを時差分ずらすと2か国の時刻が分かる
GMT針は24時間針で日本時間で、ベゼルを9時始まりにしてUTCの設定が良い +0900 JST9:00のときUTC0:00、UTCだけどcoordinated universal time
デュアルタイム針として使う場合
ベゼルを時差分ずらすと3か国の時刻が分かる（日本時間の長短針/盤面の24時間/ベゼルの24時間）
機械式は面倒、嵌めていないと止まる、時間がズレる、でもソコがカワイイかも
クォーツ＋ソーラは100倍便利だが、機械の相棒一本がいいかもな
伝統のUI/ユーザビリティとか、機能美とか様式美に行きつく
[Click for image]
■セイコーNH35A サブマリーナスピードタイマー、GMTとくれば、次はサブマリーナでしょ。ベゼルが酸素ボンベの量を表す、潜水開始時に分針をベゼルの0を合わせると何分経ったか分かる、ベゼルは逆回転しないので誤って廻っても分数が加算されるだけ
時間合わせは5Sportsと同じ、ねじ込み式リューズで先に緩める
ブレスレットのネジは精密ドライバ1.4mmが良かった、小さいとナメるよ
グライドロック：ブレスレットの微調整は動く方をパキっと持上げて好きな位置迄スライドさせて押し込む
フルスペック!!
Superior grade 904 stainless steel construction Sapphire crystal with clear anti reflective undercoat Ceramic bezel insert Solid link bracelet with screw pins and solid end links Case size is 40mm, lug width 20mm
■セイコー5 SPORTS Skz209 7S36-01E0（Blue atlas Landshark）トリッキーなガジェットでヤバいな。回転式コンパスチャプターリング(方位計)、200m water resistant、7S36自動巻き、デイデイト表示、回転式ダイバーズベゼル、ねじ込み式リューズ
方位計の使い方１）時計を水平にして時針を太陽の方向に合せる。この時、時針の指す方向と、12時の中間の方向が南２）回転ベゼル(方位計)を回しSを南の方角に合せると、おおよその全方位がでる
※緯度や季節によってはズレが生じることがある
日付は「午前0時」ごろ、曜日は「午前4時」ごろ送るようになっている
午後8時から午前4時は日付の調整を行わないこと（朝昼夕方に合わせる、反時計回りは駄目）
竜頭1段目にして反時計回りで前日の日付、時計回りで前日の曜日にセットし、 竜頭2段目にして時計回りで時刻合わせ 竜頭0段目：ぜんまい巻き上げがない
ベゼルが回らないとき（そもそも反時計回りにしか回らない） アルカリ電解水を入れ何度かやって汚れを取る（不要な部分に浸み込まないように）
シリコンスプレーを吹く（ベゼルに吹くと若干色が戻り艶がでる）
SEIKO SKX ブラックボーイのベゼル外して掃除&ブレス交換します！ - YouTube
セロテープをコジリの器具の方に
時計本体にマスキングテープ
こじる場所がある場合もある
[Click for image]残るはエクスプローラー/デイトかくらいか、知らんけど、圧倒的にレディーがいいなロレックスデイトジャスト、28mmで濃縮されてる感じで、39/36と28でお揃いとかええけどな。バンド種類の名前：Oyster/Presidential/Jubilee
[Click for image]
■カシオDATA BANK DBC-611
QW-3228 (casio.jp)説明書
左側上Aボタンでモード切替：データバンク＞計算＞アラーム＞ストップウォッチ＞DT=デュアルタイム
右側下Cボタン：操作音ONOFF
右側上Lボタン：ライト点灯
戻る：÷、進む：＋
アラーム5つと時報がセットできる、Aボタンでセット、鳴るセットでAL-1～5が表示
時報セットでSIGが表示、Cボタンでアラーム時報ONOFF
■カシオ ワールドタイム AE-1200WH-1AV
QW-3198_3299 (casio.jp)説明書
■MOD
SEIKO 5 .club
DLW MODS - Seiko Watch Modification Parts (dlwwatches.com)
SeikoMods: Seiko Mod Parts & Watch Mod Parts UK
Seiko Mod Parts | Watch-Modz
Comment (0)
■23/2/11 1:46AM
HSTS/CORS/CSPOAuth/OpenID/SAML/XSS/CSRF/JSOP/SSO/SSL/SVG/JWT
=========================
2023-02-11
フロントエンド開発のためのセキュリティ入門 - Speaker Deck
HTTPとHTTPSが混ざっているwebサイトはHSTS(http strict transport securityヘッダ)でHTTPS強制できる JSのfetch,xhr/iframe/canvas/WebStorage,IndexedDBでクロスオリジンは危険 Access-Control-Allow-OriginレスポンスヘッダでCORS(cross origin resource sharing)許可を判定できる CSP(Content-Security-Policy）レスポンスヘッダあるはmetaタグで許可するJSを判定できる
SVG
ChatGPTにSVGでお絵描きさせる｜temoki / Tomoki Kobayashi (note.com)
タグで図が書ける
JWT (JSON WEB TOKEN?)
JWTセキュリティ入門 - Speaker Deck
=========================
2022-04-06
SAML SSOのログイン状態を保持する認証プロバイダー(IdP)を使い各アプリ(ServiceProvider)でSSOを実現する SSOの仕組みにはエージェント方式、リバースプロキシ方式、代理認証方式など ユーザはWebサービスにアクセス WebサービスからSSO認証プロバイダーサーバにSAML認証要求をPostする SSO認証プロバイダーサーバでSAML認証を解析、ユーザに認証を転送 ユーザはそれでWebサービスにログインする
SAMLはログイン時にユーザー情報をチェック、OAuthはユーザーの情報を登録OAuthはアプリケーションを連動させるAPIで有効なアクセストークンかを見る アクセストークンには「いつ」「どこで」「なんのために」作られたのか分からないOpenIDはIDトークンを使い「いつ」「どこで」「なんのために」作られたのか分かる
OAuth 2.0、OpenID Connect、SAMLを比較OAuth 2.0：新しいアプリケーションに登録して、新しい連絡先をFacebookや携帯電話の連絡先から自動的に取得することに同意した場合は、おそらくOAuth 2.0が使われています。この標準は、安全な委任アクセスを提供します。つまり、ユーザーが認証情報を共有しなくても、アプリケーションがユーザーに代わってアクションを起こしたり、サーバーからリソースにアクセスしたりすることができます。これは、アイデンティティプロバイダー（IdP）がユーザーの承認を得て、サードパーティのアプリケーションにトークンを発行できるようにすることで実現されます。
OpenID Connect：Googleを使ってYouTubeなどのアプリケーションにサインインしたり、Facebookを使ってオンラインショッピングのカートにログインしたりする場合に使用されるのが、この認証オプションです。OpenID Connectは、組織がユーザーを認証するために使用するオープンスタンダードです。IdPはこれを利用して、ユーザーがIdPにサインインした後、他のWebサイトやアプリにアクセスする際に、ログインしたりサインイン情報を共有したりする必要がないようにします。
SAML：SAML認証は、多くの場合に仕事環境で使用されます。たとえば、企業のイントラネットやIdPにログインした後、Salesforce、Box、Workdayなどの多数の追加サービスに、認証情報を再入力せずにアクセスできるようになります。SAMLは、IdPとサービスプロバイダーの間で認証・認可データを交換するためのXMLベースの標準で、ユーザーのアイデンティティとアクセス許可を検証し、サービスへのアクセスの許可/拒否を決定します。OAuth、OpenID Connect、SAMLの違いとは？ | Okta
Oath: idpがトークンを発行、Webサイト間でユーザを認識し3rdからでも個人情報を使えるようになるOpenID(OIDC): idpとJWT(トークン)で認証するOauth系のSSO、Oauthの拡張でログインが3rdからもできるようになるSAML: idpで各アプリやAD間をXMLメッセージにより認証管理しSSOを実現 OpenIDとSAMLが同じような機能 SAMLはユーザ固有の傾向で大企業SSOが多い、OpenIDはアプリ固有の傾向でWebサイトやモバイルアプリが多い SAMLよりOIDCの方が新しくSPAやスマホと親和性が高い SaaSとしてOpenIDはOktaのidp、SAMLはPingFederateのidpがメジャー
=========================
2016-01-03
■XSS対策、CSRF対策、脆弱性チェック
情報処理推進機構にチェックリスト有
https://www.ipa.go.jp/security/vuln/websecurity.htmlXSS対策
フォーム送信後の確認画面ではHTMLエスケープ等でサニタイズされた内容の結果を表示
DBへのクエリについてはプレースホルダやエスケープ等でSQLインジェクションを防ぐ
target="_blank"はXSSになるので危ない、rel="noopener noreferrer"を付ける
https://b.hatena.ne.jp/entry/s/webtan.impress.co.jp/e/2020/03/13/35510
https://laboradian.com/test-window-opener/
CSRF対策
前ページでhidden値を入れる
他
クッキーに具体的なものは入れない、CookieにHttpOnly属性、HTTPS通信ではsecure属性
エラーメッセージを表示しない
不要なファイルは削除
XMLの外部実態参照は禁止、サーバ上でコードが実行される
→libxml_disable_entity_loader(true)で止める、xmlをアップロードさせない/使用しない、JSON使う
PDFからHTTPリクエストが発行される
→PDFをアップロードさせない
------
//SQLインジェクション対策
\ " ' を\エスケープ
$sql = "UPDATE users SET name='.mysql_real_escape_string($name).'WHERE id='.mysql_real_escape_string ($id).'";
//クロスサイトスクリプティング対策
表示時には<>&"をメタ文字へ変換
echo htmlspecialchars($_GET['username'], ENT_QUOTES);
$ent = htmlentities($ent, ENT_QUOTES, "UTF-8"); //100個の文字を変換
//クロスサイトスクリプティング対策
別サイトからのポストを弾く
refferを送信しないリクエストもある（別サイトのリファラを弾き、nullもしくは適切ページからを許可する）
セッションIDで判断する
//DOS対策
2重ポスト
IPと日付で2重ポストを防ぐ（同IPのポストがx秒以内を弾く）
========
■JSONP
scriptタグを使用してクロスドメインなデータを取得する仕組みのことである。
HTMLのscriptタグ、JavaScript（関数）、JSONを組み合わせて実現される
GoogleAnalyticsのクッキーは1stパーティでサイト側がオーナでありGoogleがオーナーではない
サイト側のJSでクッキーが作成されるようなっている
クッキーが送信される相手はどこか？が重要でGoogleでなくサイト側に送信される
アクセス履歴は別途データをGoogleに送信しており、クッキーはセッション管理に使用される
■SSO
色々な方法がある、SAMLや、サイトにエージェントを組み込み＋SSO認証サーバ等
ロジックを確認しないと詳しくは分からない
=========
■SSL【図解】よく分かるデジタル証明書(SSL証明書)の仕組み 〜https通信フロー,発行手順,CSR,自己署名(オレオレ)証明書,ルート証明書,中間証明書の必要性や扱いについて〜 | SEの道標 (nesuke.com)デジタル証明書の仕組み (infraexpert.com)
認証局とは | GMOグローバルサインカレッジ (globalsign.com)
サーバでRSA秘密鍵とCSRを生成し公開鍵を認証局(CA)登録CAはサーバに証明書(署名)を発行＝＝＝＝クライアントが接続要求サーバが証明書(署名とRSA公開鍵を含む)を送るクライアントが証明書を検証(
どっち？
１）署名をルート証明書のチェーン(RSA公開鍵)で複合化しドメインを確認
該当のルート証明書(RSA公開鍵)がブラウザにないと該当CAに要求？
CRLやOCSPで失効について問合せができるようだがRSA公開鍵の要求は出来なさそう （ルート証明書はブラウザにある結局オレオレ証明書に違いない：厳密な審査の上で組込まれている）
２）クライアントが公開鍵をサーバに送りRSA秘密鍵で暗号化し送り返すとクライアントが複合化してRSA秘密鍵が正しい事を確認
)クライアントが共通鍵（セッションキー）を生成し公開鍵で暗号化し送るサーバが秘密鍵で共通鍵を複合
以降共通鍵暗号で通信 ※ホンマか？？
＝＝＝＝
ホスト（ドメイン）を持って接続要求をし、暗号化通信後にパスやクエリパラメータを送るので、詳細は暗号化され守られている
Comment (0)
Navi: 1 | 2 | 3 | 4 >
-Home
-Column [125]
-Europe [9]
-Gadget [74]
-Web [120]
-Bike [3]
@/// BANGBOO BLOG ///