もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
404 Blog Not Found:これで最低限! - 書評 - 体系的に学ぶ 安全なWebアプリケーションの作り方
2011年10月05日22:30 カテゴリ書評/画評/品評iTech これで最低限! - 書評 - 体系的に学ぶ 安全なWebアプリケーションの作り方 ソフトバンククリエイティブ友保様より献本御礼。 体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践 徳丸浩 [電子版@bookpub.jp] 初出2011.02.24; 2011.10.05 電子版へのリンクを追加 こういう本を待っていた。Web制作に関わる全ての人、必携。 と同時に言っておきたいのは、安全なWebアプリケーションを作るにあたって、本書の内容はあくまで必要条件であって充分条件ではないということ。原理的に。 なぜか。 あなたのWebサイトで何が出来てはならないかは、あなたにしか決められないからだ。 本書「体系的に学ぶ 安全なWebアプリケーションの作り方」は、副題に「脆弱性が生まれる原理と対策
Ad Innovator: eBookリーダーのプライバシーガイド
ネット・モバイル時代の個人の自由を守ることを目的とした団体Electronic Frontier Foundationが、KindleやSony Reader、Barns & NobleのNookなどeBookリーダーに関してのプライバシーガイドラインを公開した。「何を読んでいるかをモニターできる」でGoogle Books、KindleはYes、「本の検索内容を保存できる」でGoogle Books、Kindle、NookでYesとなっており、「当局などとそれらの情報を共有できる」という項目では各社がどのようなスタンスかを比べている。 ソース：Electronic Frontier Foundation;An E-Book Buyer's Guide to Privacy December 23, 2009 in Technology | Permalink TrackBack Trac
PHP逆引きレシピは概ね良いが、SQLインジェクションに関しては残念なことに - ockeghem's blog
404方面でも絶賛されていたPHP逆引きレシピを購入した。本書はとても丁寧な仕事で素晴らしいと思ったが、セキュリティに関しては若干残念な思いをしたので、それを書こうと思う。 目次は以下のようになっている。 第1章 準備 第2章 PHPの基本構文 第3章 PHPの基本テクニック 第4章 ファイルとディレクトリ 第5章 PEARとSmarty 第6章 Webプログラミング 第7章 クラスとオブジェクト 第8章 セキュリティ 8.1 セキュリティ対策の基本 8.2 PHPの設定 8.3 セキュリティ対策 第9章 トラブルシューティング 第10章 アプリケーション編 PHP逆引きレシピ オフィシャルサポート 本書は、タイトルの示すように、コレコレしたいという目的ごとにPHPでの書き方が書かれている。よくある逆引き辞典タイプの本だが、類書に比べて丁寧に書かれている印象を受けた。私が感心したのは、PH
ハッカーな知り合い - hiroyukikojimaの日記
「ブラッディ・マンディ」というテレビドラマを毎回見ている。日本の警察が間抜けすぎるのを除けば、とても面白い作品だと思う。とりわけ、三浦くんが演じている高校生ハッカーがかっこいい。いや、ハッカーはかっこよくてはいけないのだが、でもかっこいい。 これは、マンガ原作らしくマンガを読んでいないのでなんともいえないが、クリフォード・ストール『カッコウはコンピュータに卵を産む』草思社をネタ本にしているのかな、と推察される。 カッコウはコンピュータに卵を産む〈上〉 作者: クリフォード・ストール,Clifford Stoll,池央耿出版社/メーカー: 草思社発売日: 1991/09/30メディア: 単行本購入: 37人 クリック: 582回この商品を含むブログ (72件) を見るこれは、実際のハッカー事件で、著者のストールが凶悪ハッカーをつかまえた顛末を描いたノンフィクションで、非常にエクサイティングな
書籍「はじめてのPHPプログラミング基本編5.3対応」にSQLインジェクション脆弱性 - 徳丸浩の日記(2008-10-29)
id:hasegawayosuke氏にそそのかされるような格好で、「はじめてのPHPプログラミング基本編5.3対応」という書籍を購入した。 本書は、ウノウ株式会社の下岡秀幸氏、中村悟氏の共著なので、現役バリバリのPHP開発者が執筆しているということ、下記のようにセキュリティのことも少しは記述されているらしいという期待から購入したものだ。 目次から抜粋引用 07-07 Webアプリケーションのセキュリティ [セキュリティ] 08-04 データベースのセキュリティ [SQLインジェクション] 09-13 セキュリティ対策 [セキュリティ] 本書をざっと眺めた印象は、「ゆるいなぁ」というものであるが、その「ゆるさ」のゆえんはおいおい報告するとして、その経過で致命的な脆弱性を発見したので報告する。 問題の報告 それは、本書P280に登場する「SQLインジェクション対策用の関数(dbescape)」
徳丸浩の日記 - 書籍「PHP×携帯サイト デベロッパーズバイブル」の脆弱性
_書籍「PHP×携帯サイト デベロッパーズバイブル」の脆弱性 「PHP×携帯サイト デベロッパーズバイブル」という携帯サイト開発のノウハウを解説した書籍が今月初頭に発売され、話題になっている。Amazonの「インターネット・Web開発」カテゴリで1位ということで、たいしたものだ。私も発売前から予約して購入した。 私がこの書籍を購入した動機は大きく二つある。一つは、携帯サイトの最新の開発ノウハウをまとめた書籍に対する期待をしていたということ。もう一つは、セキュリティに対する記述がどの程度あるのかを見てみたいというものだった。 このうち、前者については、期待は叶えられた。非常に盛りだくさんのテーマが手際よくまとめられていて、かつ読みやすい。あまり原理・理屈のことは書いていないが、開発現場では、コピペの情報源として重宝されることだろう。 しかし、問題はセキュリティについての記述である。 本社のサ
Passion For The Future: 量子暗号 絶対に盗聴されない暗号をつくる
量子暗号 絶対に盗聴されない暗号をつくる スポンサード リンク ・量子暗号 絶対に盗聴されない暗号をつくる これまでに使われている暗号技術は、どんなに高度なものであっても、原理的には第三者が解読することができる暗号である。現在、インターネットなどでも使われている暗号技術は、非常に高度なものであるとはいえ、コンピュータを使って天文学的な時間の計算ができるなら、いつか解読できる。人間にとって意味のある時間で解読できないから、安心というだけである。 量子暗号は原理的に解読や盗聴することができない暗号である。電子や光子のような超微細な粒子のレベルでは、なにか観測するということは、対象に対して光子などをぶつけることである。必然的に観測するということは対象の状態に影響を与えてしまうことになる。この不確定性原理を通信に応用するのが量子暗号である。 「量子の状態にある信号は、測定すると必ず痕跡が残る。それ
書評 - セキュリティはなぜやぶられたのか : 404 Blog Not Found
2007年02月16日20:00 カテゴリ書評/画評/品評 書評 - セキュリティはなぜやぶられたのか 日経BPより献本。一気に読了。 セキュリティはなぜやぶられたのか B. Schneier / 井口耕二訳 [原著:Beyond Fear: Thinking Sensibly About Security in an Uncertain World] 大変な力作。 本書「セキュリティはなぜやぶられたのか」は、コンピューターセキュリティの専門家が、一般的なセキュリティについて書いた本である。そう。セキュリティというのは専門家のものではなく、人間のものですらない。生きとし生けるものすべてのものなのだ。 目次 第一部 賢明なセキュリティ 第1章 トレードオフのないセキュリティはない 第2章 トレードオフは主観的である 第3章 力関係と思惑がセキュリティトレードオフを左右する 第二部 セキュリテ
Passion For The Future: プロファイリング・ビジネス~米国「諜報産業」の最強戦略
プロファイリング・ビジネス~米国「諜報産業」の最強戦略 スポンサード リンク ・プロファイリング・ビジネス~米国「諜報産業」の最強戦略 とても興味深い現実が書かれている。 9.11同時多発テロ以降の米国で、急成長している民間の「諜報」産業の実態に肉薄したレポート。主役はこんな企業たちである。企業ごとにひとつの章で語られており、新しいがグレーゾーンのニーズに目を付けた経営者のベンチャー物語としても面白く読める。 ・Acxiom Corporation http://www.acxiom.com/ ・ChoicePoint http://www.choicepoint.net/ ・LexisNexis http://www.lexisnexis.com/ ・Seisint, Inc. http://www2.seisint.com/ ・Identix http://www.visionics.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
これはえがい人の脆弱性
http://www.tokyo-np.co.jp/article/national/news/CK2008071302000105.html