[B! security][web] bluespearのブックマーク

情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方

「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。「安全なウェブサイトの作り方」改訂第7版の内容第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション、OSコマンド・インジェクションやクロスサイト・スクリプティング等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す

bluespear 2010/01/21

web
security

リンク

高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合

■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日（略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。（略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。（略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ

bluespear 2009/08/03

リンク

高木浩光＠自宅の日記 - Googleドキュメントの「招待メール」の危険

■ Googleドキュメントの「招待メール」の危険ことの始まり先々週の話。1月23日に次の記事が出ていた。『Google Docs』の設定にご用心：知らないうちに書き換えも？, WIRED VISION, 2009年1月23日この記事の趣旨は、「Googleスプレッドシート」の共有設定の画面の説明文「Let people edit without signing in」が誤解を招くために、誤って、誰にでも閲覧や編集を許す設定にしてしまいかねないという話である。この画面は、日本語表示では図1の表記となっている。 WIRED VISIONの記事の言い分では、「people」が上の招待メール送信先の人々のことを指すように読めて、下の「プライバシー」設定も変更しないといけないように誤解してしまうという。そもそも、この機能の意図されている動作はどういうものか。私も試しているうちに一時混乱し

bluespear 2009/02/02

リンク

高木浩光＠自宅の日記 - 旧はてなブックマークで社内情報が漏洩していた可能性

■ 旧はてなブックマークで社内情報が漏洩していた可能性昨年11月上旬に、はてなブックマークでプライベートアドレスが登録されていることが話題になっていた。はてなブックマーク - はてなブックマーク - http://192.168. たとえば次などがそれだ。 http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.1/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.2/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.3/ http://b.hatena.ne.jp/entrylist?sort=eid&url=http://192.168.0.4/ http://b.