見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました
見ているサイト上に露出している機密情報(APIトークン、IPアドレスなど)を見つけるブラウザ拡張を作りました SecretlintというAPIトークンなどの機密情報がファイル内に含まれているかをチェックできるツールを書いています。 Secretlintはコマンドラインツールとして動くので、主にCIやGitのpre-commit hookを利用して、リポジトリに機密情報が入るのを防止できます。 SecretlintでAPIトークンや秘密鍵などのコミットを防止する | Web Scratch 一方で、実際のウェブサービスなどは機密情報がファイルにハードコードされているわけではなく(Secrelint自体がこういうハードコードを防ぐツールです)、環境変数やDatabaseに保存していると思います。 このような場合にも、コードのミスなどによって公開するべきではない情報(秘密鍵、APIトークン、Sl
Chrome 80 クッキーのSameSite属性対応のややこしい注意点2つ - こもろぐ @tenkoma
2020年2月4日に Chrome 80 がリリースされました。 このバージョンでは既存のWebアプリケーションの振る舞いに大きな影響を与える変更として、クッキーのSameSite属性の既定値が変わるというのがあります。 ただし、振る舞いの変更は、2月18日以降に予定されています。(正確には「2月17日の週でアメリカ合衆国大統領の日を除く」) Enforcement rollout for Chrome 80 Stable: The SameSite-by-default and SameSite=None-requires-Secure behaviors will begin rolling out to Chrome 80 Stable for an initial limited population starting the week of February 17, 2020,
Chrome 80が密かに呼び寄せる地獄 ～ SameSite属性のデフォルト変更を調べてみた - Qiita
Chrome 79以下や他ブラウザのデフォルト値。 Chrome 80からこの値を設定する場合、Secure属性も必須となる。 Aサイトに対し、Bサイトからどのようなリクエストがあっても、発行したサイトでCookieヘッダーに含める (Cookieを使用する) 図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないため
Chrome拡張機能のCodeception Test Toolsを試す
Chrome拡張機能のCodeception Test Toolsを試す Published: 2017年8月13日 by tomsato ■ Codeception TestTools Codeception TestToolsはChromeの拡張機能である ブラウザの操作だけで受け入れテスト(Acceptance test)のソースを自動で書き起こすことができる 出来上がったソースコードを元に受け入れテストを拡充していくことができる 使い方 導入 Chrome TestToolsよりChromeの拡張機能を導入する 開く Chromeのデベロッパーツールを開く 「Codeception TestTools」タブがあるのでそれを開く アクション 画面上で右クリックを押すと「Codeception Test Tools」という項目がある 項目 説明 Am on page テストの開始のパス
文書校正ツール textlint の Chrome 拡張を作った - もなでぃっく
以前、プラグインで拡張可能な文章校正ツール textlint で小説の作法を検証するための規則を作ったのですが、textlint はコマンドラインツールであるために利用するまでのハードルが高い状況でした。 Sublime Text や Atom などのプログラマ向けエディタを利用していれば、textlint のプラグインが使えたりするのですが、今回はより簡単に利用できるように Chrome の拡張機能として textlint をブラウザ上で使えるようにしてみました。 インストールはこちら: 【Chrome ウェブストア】 textlint: 文章チェッカー インストールすると、ページ内の編集領域で文章入力中にリアルタイムで校正してくれるようになります。（もちろん ON/OFF できます） textlint に最近追加された自動修正機能にも対応しているので、ボタン一発で自動で修正されたりしま
便利だけど気をつけないと危ないChrome Remote Desktop - Tetsu=TaLowの雑記（はてブロ版）
Windowsデスクトップに遠隔でアクセスしたくなる事がありますが、皆さんどうされてますか？ 昔から定番はVNCを使うことでした。個人的にも昔はRealVNCやUltraVNCを使っていましたが、VNCは画質もイマイチですし音声も転送できないのでもう少しマシな方法が欲しいところです。 Windowsの場合、純正のプロトコルであるRDPを用いた「リモートデスクトップ接続」なら音声も転送できますし画質も綺麗です。ですが、これを利用しようとすると、遠隔操作される側が(Homeやwith Bingでなく)Professionalなど上位のエディションである必要がありました。ところが最近、HomeエディションのWindowsでもRDPによるリモートデスクトップ接続を可能にするRDPWrapなんてものが現れました。個人的にも最近は専らこれに頼っています。Windows 8.1 with BingやWi
「Chrome」と「Safari」にアドレスバーの偽装が可能になるバグ
Googleは「Android」版「Chrome」ブラウザのバグへのパッチをリリースした。攻撃者がこのバグを悪用すれば、ユーザーが実際に訪問しているウェブサイトとは別のサイトにアクセスしているように見せかけることが可能だった。 このバグは、Rafay Baloch氏によって2月に発見され、修正後の米国時間5月18日に発表された。ブラウザのアドレスバーの偽装を可能にするバグで、被害者はそれだけで詐欺目的の電子メールやテキストメッセージを信用し、ユーザー名とパスワードを入力してしまうことがある。 このバグは4月前半と後半にパッチがリリースされた。影響を受けたのは「Android 4.4 KitKat」と「Android 5.0 Lollipop」だ。 この不具合について詳しく伝えたRapid7はユーザーに対し、通信事業者か携帯端末メーカーに問い合わせてパッチの適用を受けているか確認するよう呼び
反グーグル団体「Focus on the User」による新ツール、「Chrome Web Store」で入手可能に
反競争的とされるGoogleの慣行に対抗して結成された団体「Focus on the User」は先週、Googleのブラウザ「Chrome」と連携するソフトウェアツールを公開した。このソフトウェアは、Google独自のアルゴリズムを利用することにより、ユーザーがChromeを使用しているときに、より多くのサードパーティーサイトを検索結果の上位に表示する。Focus on the Userは、Googleが検索結果においてサイトを公平に表示しようと積極的に取り組んでいないと主張している。 このツールが今週に入り、Googleの「Chrome Web Store」からダウンロード可能なアプリとして利用できるようになった。ソフトウェアを同ストア上で配布するためには、Googleが承認する必要があった。 Focus on the Userは、欧州連合（EU）におけるGoogleの検索結果の表示方
Library Detector - あのサイトはどのJavaScriptライブラリを使っているか MOONGIFT
Webシステムを開発していると他のサイトがどういった仕組みで動いているか気になったりしますよね。HTMLソースやURLからどんなプログラミング言語で、どんなフレームワークか知ったりするのは面白いです。 サーバサイドは実際のところは分からないのですが、フロントエンドは分かります。ということで入れてみたいのがLibrary Detectorです。 Library Detectorの使い方 Library DetectorはGoogle Chrome機能拡張としてリリースされています。 インストール後、任意のWebサイトを見ると使われているライブラリがチェックできるようになります。 Yahoo! JapanはYUI 2を使っているようです。 Yahoo! ニュースはjQueryです。 jQueryはさすがにjQueryを使っていますが、さらにModernizrも使っています。 Backbone.
Privacy Badger
Privacy Badger is a browser extension that automatically learns to block invisible trackers. What is Privacy Badger? Privacy Badger is a browser extension that stops advertisers and other third-party trackers from secretly tracking where you go and what pages you look at on the web. If an advertiser seems to be tracking you across multiple websites without your permission, Privacy Badger automatic
「本当は怖いChrome拡張」がなぜ本当にやばいのか。野良よりストアに気をつけよう - いろいろ研究所
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録といった記事が話題になってました。 ではなぜChrome拡張が本当にやばいのか、上の記事では野良(ストアなしで自分でDLして取り込む)の拡張について説明されているようです。 この記事のブコメでこういったブコメがありました。 詳しくないんでよくわかんないんですけどこれって野良アプリ（拡張）ってことでいいのかな？公式のサイトにあるやつなら事前にチェックが入っていて一応は安全って認識でいいの？よくわからん。 その答えは ストアの拡張もやばい、というかそっちのほうがやばい 「ストアにあるやつならGoogleが審査してるから安全じゃねーの？」という思いがあると思います。 Chromeのストアでは一番最初に、おそらくいたづらで登録されないようにという措置かもしれませんが、初回のアプリ登録だけ5ドル支払わないとデベロッパー
本当は怖いChrome拡張機能（作ってみたら確かにヤバかった） - DRYな備忘録
otiai10です。最近はフロントエンドのTypeScriptを書くお仕事をしています。個人的に艦これウィジェットやtwickというChrome拡張を作ってたりもします。先に言っておきますが、これらはどちらもGithubでソースコードを公開しており、悪いことしようが無いです。 端的に言うと、Chrome拡張はヤバいです。何でもできちゃう。 どんくらいヤバいか知ってもらうためにどうしようか考えた結果、ヤバいChrome拡張を作りました。30分かかんなかったです。 https://github.com/otiai10/chrome-twitter-hijack-sample （「レポジトリをforkして悪用する人間が出てくるかもしれない」とのご指摘を頂いたので、これを削除します） git cloneしてchrome://extensionsからパッケージ化されていない拡張機能を読み込むでこのr
Google Chromeに保存したパスワードが丸見えに、開発者が問題指摘
例えば職場でユーザーが席を外している間に他人が操作するなど、PCに物理的にアクセスできれば誰でもChromeに保存されたパスワードをのぞき見ることができてしまう。 米GoogleのWebブラウザ「Chrome」に保存されたパスワードは、設定ページを通じて誰でも簡単に平文で見ることができてしまう――。ソフトウェア開発者が自身のブログでそんな実態を報告し、Googleのパスワードセキュリティ対策の甘さを指摘している。 ソフトウェア開発者のエリオット・ケンバー氏は8月6日、「Chromeのあり得ないパスワードセキュリティ戦略」というタイトルのブログでこの実態を紹介した。 同氏はWebブラウザをAppleのSafariからChromeに切り替えて使っている過程で、Chromeの設定ページから保存したパスワードの一覧を表示すると、この画面にパスワードの「表示」ボタンが現れることを発見した。このボタン
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Elegantt
Навигатор Онлайн Обучения – помогаем разобраться в многообразии онлайн курсов и профессий
GitHub - ovity/octotree: GitHub on steroids
FuelPHPでブラウザデバッグできるPackageを公開しました - Qiita
Window Size - Chrome Web Store
Resolution Test
GitHub - neaplus/fuel-chromelogger: FuelPHP to Chrome console logging package
