Facebookの友達検索ツールってあやしくなくなくなーい？ - r-weblife
ちょっと古いんですが、こんな記事がありました。 Facebook、ナワバリ荒らしとしてPower.comを訴える | TechCrunch Japan また、Power.comがサーバにユーザーのログイン・データを保存していること、Facebookの独自情報（ユーザー情報）をスクレイピングしていることなどを特に問題視している。 ある意味で、これは昨年5月にFacebookがGoogleのFriend Connectをブロックしたのと同様のケースだ。 サードパーティーのサービスがFacebookにアクセスしたいなら、Facebookが望む方法でアクセスしなければならない ―APIあるいはFacebookConnectを使わねばならないというのがFacebookの方針だ。 たとえユーザー自身が承認したとしても、それ以外の方法でのFacebookに対するアクセスには厳しい対応がなされることになる
マスターパスワードとWand解析ソフトについて - by edvakf in hatena
この前から何度もネタにしてきたので完結させておく。 OperaのWandを解析するソフト (ソースあり) - by edvakf in hatena 野良OperaとWand解析ソフトについて - by edvakf in hatena さらっとまとめておくと、最初の記事ではOperaのWand (認証管理) は解読するソフトが出回っているということ、2つめの記事は、もし純正以外のOperaや外部ソフトを使う場合は自己責任ですること、という警告というか啓蒙だった。 この件についてフォーラムで聞いてみたところ、Operaフォーラムの「いつものメンバー」(=Operaのカスタマイズなどに異常に詳しい人達) から回答があった。 Is wand unsafe? - Security and privacy in Opera - Opera Community 要点をまとめると、 OperaのWan
最低限知っておくべきwebサイトのセキュリティ - zenpouの日記
Webサイトを構築する上で新人向けの説明用に必要な前提知識をまとめる。 以前同じタイトルで書いた事があるけど、今回はもっと初歩から解説します。 普通のセキュリティといえば、ドアの戸締りとかガスの元栓を締めたりする事ですが Webサイトのセキュリティといえば、Webサイトのサービスを災害から守ったり、 悪意のある利用者からの不正な利用や、誤操作によるデータの破壊や流出等から 守る事です。 Webサービスでは以下の様な箇所のセキュリティを意識する必要があります。 Webサイトのアプリケーション アプリケーションを設置しているサーバ サーバを設置している場所 サーバをネットワークに接続するインフラ環境 サーバやアプリケーションを保守する管理者の端末 利用者のブラウザ 今回は、Webサービスについて主に解説しますので、それ以外の項目について先に簡単に説明します。 アプリケーションを設置しているサー
XSS対策:JavaScriptのエスケープ(その2) - ockeghem's blog
5/11の日記XSS対策:JavaScriptなどのエスケープ - ockeghem(徳丸浩)の日記に対する金床さんのコメントに触発されて、JavaScriptのエスケープについて検討してみよう。ただし、現実のアプリケーション開発においては、私はJavaScriptの動的生成を推奨していないが、これはエスケープ処理をどのように考えるかと言うレッスンのつもりで検討することにする。 金床さんのコメントで紹介されたリンクには、以下のようなガイドライン案が提案されている。 JavaScriptの文字列でのエスケープ手順としては、以下が今のところ正解っぽい感じです。 1. 「\」を「\\」に置換する 2. 「"」を「\"」に置換する 3. 「'」を「\'」に置換する 4. 「/」を「\/」に置換する 5. 「<」を「\x3c」に置換する 6. 「>」を「\x3e」に置換する 7. 「0x0D（CR)
XSS対策:JavaScriptなどのエスケープ - ockeghem's blog
昨日の日記に対して、id:ikepyonさんからトラックバックを頂戴した。内容はそちら(Tipsと考え方とXSS対策)を読んでいただくとして、興味深いテーマなので少し突っ込んでみたい。 # 日によって「です・ます」で書いたり、「だ・である」で書いているのは気分の問題なので、あまり気にしないでいただきたい Tipsだけでなく、物事の本質を見極め、何が危険で、何が安全なのかということを考える必要があると思う。 昨日の記事は、(一般的な)XSS対策として、どの文字をエスケープするのが「本質的」だったかを考えたかったのであって、あれをTipsととらえると確かに失敗する。 JavaScriptのスクリプトなどが入っている場合も昨日と同じ方法論で考えることは可能である。まずはこれを検討してみよう。 スクリプトがonXXXのイベントハンドラとして記述されている場合 この場合は、HTMLタグの属性値として
TinyURL はリンク先を開く前に URL を確認できる
■ TinyURL はリンク先を開く前に URL を確認できる 人気のTwitterにセキュリティ問題、研究者が指摘 に URL 短縮サービスの事が書いてありましたが、だいたい TinyURL ですよね。これは私も気になってたので、ページ内に TinyURL があったら元の URL に戻す Greasemonkey を作ろうと思ったんですが、HEAD リクエストの返答がリダイレクト先のサイトの情報になってしまって、なんかめんどくさくなったので飽きました。 それで、TinyURL の仕様とか確認している時に気づいたんですが、2ch で言う所の ime.nu みたいな確認用のページを挟み込む設定があるようです。とりあえず、当面はこれでしのぐと良いでしょう。 以下からセッティング出来ます。 http://tinyurl.com/preview.php NEW って書いてあるから、まだ新しい機能な
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
おさかなラボ - CSRF対策法と効果
自分でもう一度整理するために、他のサイトに倣って現在挙げられているCSRF対策法とその効果を列挙してみる。ざっと書いたので多分ツッコミどころ満載だと思うがとりあえず公開。現在思いつく最善解は一番下に書いた。あとは順不同。 POSTを用いる 推奨: とりあえず 効果: あり 回避法: あり(Javascriptによる自動Submitなど) 実装: 簡易 副作用: なし 確かにPOSTでのCSRFを破る手法は存在するが、だからといってこの対策に全く効果がないわけではない。完了画面への直接リンクでのCSRFの発生は抑制できる。実装が簡単な上、副作用が特にないので実装しておいて別に損はない。 リファラ(Referer: ヘッダ)をチェックする 推奨: ケースバイケース 効果: 大 回避法: 特になし 実装: やや難(コードに汎用性を持たせるのが難しい) 副作用: ブラウザ
クロスドメインでのデータ読み込みを防止するJavaScript ? - snippets from shinichitomita’s journal
GMailのコンタクトリスト漏洩のエントリのついでに。 JSONデータをscriptタグにのせて配信するサービス（JSONPなど）で、限られたサイトのみにしかそのデータを配信しないようにするためには、クライアントが送出してくるリファラ情報を使ってサービスコンシューマとなっているサイトを特定してアクセス制御する方法がある。 この方法はおそらく大部分のクライアント（ブラウザ）に対しては有効で、例えば実際にGoogle MapsなどもそれとAppKeyを組み合わせてサイトを判別しているっぽいのだけど、意図的にリファラ送出を切っているブラウザであったり、あるいはプロキシプログラムなどが自動的にリファラヘッダを除去してしまうようなクライアント環境に対しては無効になってしまう。 ということで、そんなクライアントでもなんとかならないだろうかと考えていたときにちょっと思いついた、もしかしたらこの方法なら許
パスワードジェネレータ - JavaScript
Password Generator パスワードをランダムに生成するお手軽パスワードジェネレータ NN4+, IE4+, Opera 使用する文字 A-Z オー ( O ) を使う アイ ( I ) を使う a-z エル ( l ) を使う 0-9 ゼロ ( 0 ) を使う イチ ( 1 ) を使う あらゆる記号 !"#$%&'()-=^~|@`[{;+:*]},<.>/?\_ 任意の文字 入力文字に空白文字を見つけたら取り除く 生成する文字数 文字 生成 結果 [PageTop] [Back] [Home] 更新履歴 2005-2-24 スクリプトを全て書き直し 複数生成できるように変更 空白文字を取り除くチェックを追加 使わない文字指定を追加 200x 初版公開 [PageTop] [Back] [Home] Copyright(C) 2002-2005 kerry.
suとsudo (Fuktommyの場合)
suとsudo (Fuktommyの場合) ウノウラボ Unoh Labs: 専用サーバを構築するときにまず行う４つの設定 odz buffer - sudo mputの日記。 - , rootのパスワードは潰さないほうがいいと思う件 あたりの話題。 前提は僕が1人で管理するサーバということです。 複数人で管理する場合、 rootのパスワードを共有するのがなんとなく気持ち悪いです。 そういう意味ではsuを禁止して sudo -s を使うようにするのも意味があるとは思います。 しかしここでは僕1人で管理するということで話します。 普通の作業は一般ユーザ、管理の作業はrootと使い分けます。 気持ちを切り替えるためにsuコマンドを使って、 rootのパスワードを入力するようにします。 管理作業でも定型的なもの、 例えばDebianなら apt-get update; apt-get upgra
sudo
ref:ウノウラボ Unoh Labs: 専用サーバを構築するときにまず行う４つの設定 む。 /etc/sudoers の編集には visudo を使いましょう。文法チェックもしてくれる /etc/shadow の編集には sudo vipw -s としましょう。まぁインストール直後だと問題ないだろうけど su を禁止するのはいいけど、この設定だと sudo -u user -s とか、sudo sh -c su とやってしまえば通過できてしまう。まぁ、su を禁止することで類似する行為をするな、というメッセージにはなるので、まったくの無意味だとは言わないが。sudo で実行したコマンドはログに残るし つうか、半端に一部のユーザに su 出来るようにするのは変でないかい？postgres の権限で実行したいなら % sudo -u postgress commandsで十分。root と
ウノウラボ Unoh Labs: 専用サーバを構築するときにまず行う４つの設定
こんばんは、最近寒い夜が続いていて自転車通勤がつらくなってきた naoya です。 ウノウでは、フォト蔵や社内システムなどは、すべて専用サーバを構築して運用をしています。 今日は、専用サーバを構築するときに、僕がウノウで学んだ専用サーバでまず行う４つの設定を紹介します。 なお、今回の設定はすべて Fedora Core 5 をもとにしています。 (1) sudo を使えるようにする sudo コマンドを使えるようにします。sudo コマンドは、別のユーザとしてコマンドを実行できるコマンドです。 sudo コマンドを使えるようにするには、/etc/sudoers に sudo を許可するグループを追加します。次の例は、unoh グループを追加する例です。 %unoh ALL = (ALL) ALL, !/bin/su, /bin/su postgres, /bin/su * postgres
Blog Archive - Incompleteness
The blog is about general web development. (Atom feed) MozBlog contains Mozilla stuff - i.e stuff for planet (Atom feed). See also the Archives If it's a choice between incomplete or wrong, side with Gödel. About I'm Joe Walker. I work for Mozilla making developer tools better i.e. creating tomorrow's Firebug. See also joewalker on Github and @joewalker on Twitter, and 103130341946168853745 on Goo
Ajaxian » The safety of JSON
Enterprise Strategy Group: Go-to-market Expertise to Help You Win
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google Code Archive - Long-term storage for Google Code Project Hosting.
Opera Widgets security model - Opera Developer Community
JavaScript かも日記: 【Ajax】Basic認証ページから読み込む
mputの日記。 - , rootのパスワードは潰さないほうがいいと思う件
Kawai Food | Mood Twisting Taste