2019/06/04 『体系的に学ぶ安全なWebアプリケーションの作り方第2版 脆弱性が生まれる原理と対策の実践』応用講座 (徳丸本応用講座) - Qiita
はい。 6月3日に基礎講座、4日に応用講座があったのですが、さすがに二日はつらかったので応用講座だけ受けてきました。 受講者は20名弱。 以下は講義の概要です。 リンクなどは私が適当に補足しています。 撮影や資料転載は禁止だったので、文字だけです。 講義概要 Webセキュリティの基礎 受動的攻撃と同一オリジンポリシー 能動的攻撃とは、攻撃者がサーバに対して直接攻撃する手法。SQLインジェクションなど。 受動的攻撃は、サーバを利用して、Webサイトの利用者への罠を仕掛ける攻撃。XSSなど。 受動的攻撃を防ぐ機能のひとつが、同一オリジンポリシー。 JavaScriptは、同一オリジンのデータしか読むことはできない。 同一オリジンとは、 ・FQDNが同じ ・スキーム(http/https)が同じ ・ポート番号が同じ iframeやimgなどで別サイトのデータを画面に表示することはできる。 ただし
クラウドを支えるこれからの暗号技術
『クラウドを支えるこれからの暗号技術』 本書は公開鍵暗号に続く、新しい暗号技術を紹介します。 対象読者 『暗号技術入門』（結城浩）を読んで最先端暗号理論はどうなってるのだろうと興味を持った方 「入門書に載っているRSA暗号は安全ではないので使ってはいけない」ということを知らない方 Hash(secret key||message)で認証してはいけない理由（SHA-2とSHA-3の違い）を知りたい方 楕円曲線暗号の楕円曲線を直感的に把握したい方 最近ちょいちょい聞く「準同型暗号」って何だろうと思っている方 楕円曲線といえばy2 = x3 + ax + bという式が唐突に出てくるけど何故なのと疑問に思った方 EdDSAって何? ECDSAの書き間違い?と思ったらEdwards曲線が出てきて、それ何だろうと思った方 暗号で使われる数学の話をきちんと理解したい方 などなど。 購入 秀和システム 正
安全なWebアプリケーションの作り方改訂のお知らせ
徳丸本こと、「体系的に学ぶ 安全なWebアプリケーションの作り方」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。 ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、Web APIやJavaScriptのセキュリティ等がほとんど書かれていないことが課題となっていました。 そこで、版元のSBクリエイティブと相談して、この度改訂することにいたしました。3月末脱稿、6月頃発売の見込みです。 改訂にあたり、以下を考えています。 Web APIとJavaScriptに関する説明を4章に追加 XHR2対応に向けてCORSの説明を3章に追加 携帯電話の章は丸ごと削除して、別の内
上野宣さんにきく、こんなにもめんどうくさいWebセキュリティの世界
―まずは『めんどうくさいWebセキュリティ』について、簡単に説明お願いします。 ひとことでいうと、はせがわようすけを目指す人向け、でしょうか。 ―その回答も掲載しますが、真面目な答えもお願いします。 はい。一番のターゲットはWebセキュリティの研究をしたいという人たちですね。 ―Webセキュリティを研究したいひと…何人くらいいるんでしょうか。 1000人もいたら、世の中がもっと良くなっている人なので、本当にいるのは100人くらいかな。でも、この本で1000人くらいにしたいですね。 ―Webセキュリティを研究する人がもっと増えるべき？ というか、Webの開発に携わる人は、セキュリティとは切っても切れない縁がある。あと、ちょっとセキュリティに興味があるんだけど…っていう人にも読んでもらいたいなァ。 ―ターゲットが増えてきましたね。 この本、セキュリティの本なのにおもしろいんですよ。 ―最初の章
もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
電子書籍フォーマットの本命、「EPUB」をいまのうちに理解しておく
Publickeyでは、現在策定中の電子書籍フォーマット「EPUB 3」の動向について積極的に伝えていますが、ここでちょっと立ち止まって、EPUB 3とは何か？ という基本的な情報について簡単にまとめておこうと思います。 EPUBの仕様はオープンかつフリー EPUBとは、「電子出版」を意味する「Electronic Publication」からとった名称といわれていて、International Digital Publishing Forum（IDPF、国際電子出版フォーラム）が策定をすすめている電子書籍のファイルフォーマットです。ちなみにEPUBは「イーパブ」と読みます（EPUB 3はイーパブスリー）。また、表記は「ePub」と表記されることもありますが、最近は「EPUB」とすべて大文字で表記されることが多いようです（仕様書などでは「EPUB」と表記されています）。 イースト株式会社の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Amazon.co.jp: 新版暗号技術入門 秘密の国のアリス: 結城浩: 本
Amazon.co.jp: 原子炉時限爆弾: 広瀬隆: 本
Amazon.co.jp: 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践: 徳丸浩: 本