Cookieにかわる Sec-HTTP-State ヘッダの提案 - ASnoKaze blog
20190424 追記 IETFに提案仕様が提出されました https://tools.ietf.org/html/draft-west-http-state-tokens-00 Cookieの様々な問題を解決するために、Webセキュリティー界隈で活躍されるMike West氏から「Tightening HTTP State Management」というCookieに変わるHTTPにおいてステートを扱う仕組みが提案されています。 現在はIETFのHTTPbis WGのMLに投稿されただけで仕様が正式にinternet-draftとして提出されたものではありません。まだまだどうなるかは全然わからない状態です。 この提案では、現在のCookieはセキュリティと非効率性とプライバシーの問題があると言っています。 現在のcookieは、Same-Origin-Policyとは異なりオリジンを超えて
Token Storage
Key Concepts How you decide to store your token is crucial to defending your application against malicious attacks. Review scenarios for each application type. Decide which method best supports your technology. Securing SPAs that make API calls come with their own set of concerns. You'll need to ensure that tokens and other sensitive data are not vulnerable to cross-site scripting (XSS) and can't
Where to Store JWTs - Cookies vs HTML5 Web Storage | Stormpath
The Stormpath API shut down on August 17, 2017. Thank you to all the developers who have used Stormpath. Update 5/12/2016: Building a Java application? JJWT is a Java library providing end-to-end JWT creation and verification, developed by our very own Les Hazlewood. Forever free and open-source (Apache License, Version 2.0), JJWT is simple to use and understand. It was designed with a builder-foc
Railsエンジニアが安心して新年を迎える方法 - Qiita
この記事は ドワンゴ Advent Calendar 2014 20日目の記事です 新しい年を迎える準備 もうあと10日もしたら新年です。 みなさん新年を迎える準備はできているでしょうか? ん? その前に大事なイベント? コミケのことかな??? 正月の準備といえば、家を大掃除し、しめ飾りや門松を飾り、餅を撞き、おせちを作り、色々ありますが、 これはすべて神様を迎え入れるための準備なんですね。 年神様という、元日に各家に訪れ、一年の実りと幸せをもたらしてくれるありがたい神様です。 年神様を心から歓迎し、失礼ないようおもてなしすれば、次の一年の幸福と繁栄とマネタイズは約束されたも同然です。 さて、今年は、Railsエンジニアが年神様をお迎えするにあたって、 その前に供物を捧げ荒ぶる現世神の怒りを鎮めなければなりません。 すなわち、今年のうちに secure属性がついたcookie を現世神にお
Cookies on Rails
Let's see how session data is handled in Rails 3.2 . If you generate a Rails application in 3.2 then ,by default, you will see a file at config/initializers/session_store.rb. The contents of this file is something like this. 1Demo::Application.config.session_store :cookie_store, key: '_demo_session'Copy As we can see _demo_session is used as the key to store cookie data. A single site can have coo
Ruby on Railsにcookie保存関連の脆弱性、2000サイトで放置状態
Ruby on Railsの「CookieStore」では、ユーザーのセッションハッシュが暗号化されない状態でクライアントサイドのcookieに保存されていた。 オープンソースのWebアプリケーション開発フレームワーク「Ruby on Rails」にユーザーのcookie保存に関する脆弱性が指摘され、大手サイトを含む2000あまりのWebサイトで問題が放置されているという。セキュリティ企業Kaspersky Labのニュースサービス「Threatpost」が11月26日に伝えた。 この脆弱性はセキュリティ研究者のG・S・マクナマラ氏が9月に指摘したもので、Ruby on Railsのデフォルトのcookie保存メカニズム「CookieStore」の問題に起因する。4.0以前のバージョンでは、各ユーザーのセッションハッシュが暗号化されない状態でクライアントサイドのcookieに保存され、各c
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
ＩＥでクッキー書き込みできない件
,. -‐””'””¨¨¨ヽ (.＿＿_,,,… -ｧァﾌ| あ…ありのまま 今 起こった事を話すぜ！ |i i| }! }} /／| |l､{ j} /,,ｨ//｜ 『InternetExplorerで開発中サイトの管理画面にログインしようと i|:!ヾ､_ﾉ／ u {:}//ﾍ 思ったらいつのまにかログイン画面に飛ばれされていた』 |ﾘ u’ } ,ﾉ _,!V,ﾊ | ／´fト､_{ﾙ{,ィ’ｅﾗ , ﾀ人 な… 何を言ってるのか わからねーと思うが /’ ヾ|宀| {´,)⌒`/ |<ヽﾄiゝ おれも何をされたのかわからなかった… ,ﾞ ／ )ヽ iLﾚ u’ | | ヾｌﾄﾊ〉 |／_／ ﾊ !ニ⊇ ’／:} V:::::ヽ 頭がどうにかなりそうだった… /／ 二二二7’
Rails SessionにCookieStore使った時の問題点 - OAuth.jp
今日 @mad_p さんからRT来てたこのツイートに関して、ちょっと調べたのでまとめときます。 Security Issue in Ruby on Rails Could Expose Cookies http://t.co/JlsXVEn4rZ — Ruby on Rails News (@RubyonRailsNews) September 25, 2013 前提条件 Railsではデフォルトでsessionをcookieにのみ保存して、DBなりmemcacheなりのserver-side storageには何も保存しません。 これがCookieStoreとか呼ばれてるやつです。 この場合のsession cookieは、Railsのsession object (Hash object) をMarshal.dumpしてそれに署名を付けたtokenです。 rails 4では署名付ける代
グーグル、サードパーティークッキーに代わる「AdID」を計画か
サードパーティークッキーの蔓延を快く思っていない人は多い。それはGoogleも同じだ。同社は、オンライン広告からサードパーティークッキーを排除する「AdID」という計画を構想している。 USA Todayの報道によると、この提案は1200億ドル規模のオンライン広告業界を根底から揺るがし、同時に、どの広告が表示されるかについてユーザーやGoogleがよりコントロールできるようにするものだという。 USA Todayの記事（本計画に「精通」しているがメディアに話すことは認められていないGoogleの匿名情報筋1人の話に基づく）によると、AdIDによって、Googleのオンライン広告事業が大幅に拡大する可能性があるという。Googleは現在、全世界のオンライン広告売上高の約3分の1を掌握している。 匿名情報筋はUSA Todayに対し、「AdIDは、基本的なガイドラインに同意した広告主と広告ネッ
クロスドメインでcookie書き込む方法 +クロスブラウザで - webネタ
あるサイトから別ドメインのクッキーを書き込む。こういうクッキーは、サードパーティクッキーと呼ばれる。FirefoxとChromeはデフォルトでサードパーティクッキーが書き込めるようになっているが、IEとSafariが問題になる。IEはコンパクトポリシーというものを設定すればいけるが、Safariは出来ない。Safariはデフォルトで”知らないとサイトや広告のみCookieをブロック”となっている。でも、GoogleAdsenseとかは書き込めている。なので調べた。 目的 localhostにアクセスしたときsample.comのクッキーを書き込みたい。 もちろんクロスブラウザで。 (sample.comはhosts書き換えやるといい) ポリシーの設定 (P3P) (以下IE対策用) webサイトで個人情報などを取り扱う場合、ブラウザで設定されたポリシー設定とアクセスしているサイトのポリシー
アプリケーション・サーバのセッションの保存先の話 - プログラマでありたい
Webシステムの方式設計をする際に、わりと悩むのがアプリケーション・サーバのセッション（session）の保存先です。アプリケーションサーバとは、TomcatやJBoss,IISやRuby on Railsなどで利用するUnicornやPassengerなどです。そもそもHTTPの基本仕様がステートレスな為、状態を保持する為にはどこかに状態を保持する必要があります。その解決策がセッションになります。そこでセッションの保存戦略を考える必要があるのですが、アプリケーションサーバやサイトの用途や性格、扱うデータの気密性・重要性によっても変わってきます。 それ以前にセッションの保存先のことの呼び方の定番が何かすら解らなかったりします。セッション・ストアとかセッション・ストレージとか、はたまたセッション・マネージャーとか。今回は、セッション・ストアで統一します。 主なセッションストアの種類と保存戦略
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Varnish VCL check if cookie does not exist
CookieのDomain属性は *指定しない* が一番安全
GitHub - mainmatter/ember-cookies: Cookies abstraction for Ember.js that works both in the browser as well as with Fastboot on the server
Firefox 22のCookieに関するポリシー変更(予定)についての意見書
Engadget | Technology News & Reviews
)
Content Removed (Windows)
GitHub - florian/cookie.js: A tiny JavaScript library that simplifies cookies.
GitHub - carhartl/jquery-cookie: No longer maintained, superseded by JS Cookie:
