HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
webセキュリティ4天王同士のいがみ合いは日本の損失
言わずと知れた日本が誇るwebセキュリティ4天王がいる。我々が快適にネットサーフィンできるのは彼らのお陰と言っても過言ではない。 ひろみちゅmalaはまちやhasegawayosuke このうち、ひろみちゅとmalaの仲があまり芳しく無いということは薄々皆さんも感じていただろうが、いよいよ本格的に抗争が顕在化してきて大変に憂慮すべき事案であるのでここで周知徹底しておきたい。 ライブドア社員malaが高木浩光の定置網に引っかかりtwitter民にフルボッコにされるの図 http://togetter.com/li/326127 高木浩光さんへ、しっかりしてください 最速転職研究会 http://d.hatena.ne.jp/mala/20120830/1346309790 ますます膨張するwebセキュリティの危機に対し技術者としてピュアな態度で臨むという共通点を持ち合わせる四天王。 それ故
上野宣さんにきく、こんなにもめんどうくさいWebセキュリティの世界
―まずは『めんどうくさいWebセキュリティ』について、簡単に説明お願いします。 ひとことでいうと、はせがわようすけを目指す人向け、でしょうか。 ―その回答も掲載しますが、真面目な答えもお願いします。 はい。一番のターゲットはWebセキュリティの研究をしたいという人たちですね。 ―Webセキュリティを研究したいひと…何人くらいいるんでしょうか。 1000人もいたら、世の中がもっと良くなっている人なので、本当にいるのは100人くらいかな。でも、この本で1000人くらいにしたいですね。 ―Webセキュリティを研究する人がもっと増えるべき？ というか、Webの開発に携わる人は、セキュリティとは切っても切れない縁がある。あと、ちょっとセキュリティに興味があるんだけど…っていう人にも読んでもらいたいなァ。 ―ターゲットが増えてきましたね。 この本、セキュリティの本なのにおもしろいんですよ。 ―最初の章
[デブサミ2012]趣味と実益の脆弱性発見
1. Finding Vulnerabilities For Fun And Profit 趣味と実益の脆弱性発見 Feb 16 2012 Yosuke HASEGAWA 2. 自己紹介 はせがわようすけ ネットエージェント株式会社 研究開発部 株式会社セキュアスカイ・テクノロジー 技術顧問 Microsoft MVP for Consumer Security Oct 2005 - http://utf-8.jp/ 難読化JavaScript書いてます Developers Summit 2012 NetAgent http://www.netagent.co.jp/ 4. 記号JavaScript JS without alnum $=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:+ +$,$_$$:
![[デブサミ2012]趣味と実益の脆弱性発見](https://cdn-ak-scissors.b.st-hatena.com/image/square/015ac7c0c6da545a8500c8b3b7ff71205daa1e44/height=288;version=1;width=512/https%3A%2F%2Fcdn.slidesharecdn.com%2Fss_thumbnails%2Fdevsumi-hasegawa-120216203637-phpapp01-thumbnail.jpg%3Fwidth%3D640%26height%3D640%26fit%3Dbounds)
ハッカーはこうして生まれた…ハッキングの歴史 : らばQ
ハッカーはこうして生まれた…ハッキングの歴史 ハッキングやハッカーという言葉が使われるようになってかなり経ちましたが、未だ定義されている本来の意味（深い技術的知識を持つなど）だけではなく、特に日本ではクラッカーに相当する不正利用者や犯罪者の意味で使われることが多いようです。 ここでは犯罪の有無を問わず、技術的にセキュリティをかいくぐりコンピューターに侵入する意味を含んだハッキングの歴史をご紹介します。 1960年代 初めてコンピューターがハッキングされたのはマサチューセッツ工科大学（MIT）。もともとは鉄道模型のスピードをあげる改造のことをhackと呼ばれていて、そこからソフトウェア改造（コンピュータの処理速度を向上する目的）の呼び名としても使われるようになりました。この年代ではまだハッキングというよりはフリーキングという、電話回線網の不正使用（電話のタダ掛け）が主だったようです。 197
［ニッチ］E4Xで攻撃できる？ できない？
［ニッチ］E4Xで攻撃できる？ できない？：教科書に載らないWebアプリケーションセキュリティ（6）（1/3 ページ） XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます （編集部） ECMAScriptでXMLを扱う“E4X” 皆さんこんにちは、はせがわようすけです。今回は、Mozilla Firefoxでクロスドメイン制約を回避する方法の一例として、E4Xという機能を利用した攻撃方法を紹介します。 E4Xとは、「ECMAScript for XML」の略であり、JavaScriptやActionScriptなどのECMAScript処理系において、XMLをネイティブ機能として扱うための仕様です。 現在、FirefoxのJa
FirefoxのWeb Workersにおける脆弱性について
2010/07/23 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 FirefoxのWeb Workersにおける脆弱性について みなさん、こんにちは。ネットエージェント株式会社 研究開発部の長谷川です。 今週の水曜日に Mozilla Firefox 3.6.7 がリリースされましたが、このバージョンには私が発見した脆弱性(*1)の修正が含まれています。今日はその内容について説明したいと思います。 (*1) MFSA 2010-42: Web ワーカーの importScripts を通じたクロスサイトデータ漏えい ----- ■概要 Mozilla Firefox 3.6.4 および 3.6.6 において、Web Workers と
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://atnd.org/events/25689
Potential XSS against sites using Shift-JIS
ちょっと難しい目のXSSの練習問題を作りました。 - 葉っぱ日記
セキュリティ＆プログラミングキャンプのCTFで出題したXSS問題 - 葉っぱ日記
HTML5 Security Cheatsheet