情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第1章 総論：より良いWebアプリケーション設計のヒント
ここで述べるのは、脆弱性が生まれにくいWebアプリケーションを構築するために設計段階、あるいはそれ以前の段階で考慮しておくとよい事項の例である。 (1) 開発環境の選択 1) プログラマが脆弱性をつくり易い環境を避ける 今日のWEBアプリケーション開発環境は、プログラミング言語の処理系に加えて、開発フレームワークやコンテンツ管理システム（CMS）、さらに外部のテンプレート言語までを加えた総合的な環境となってきている。 短時日で素早くサイトを立ち上げることを目的として、「軽量言語」と呼ばれる各種スクリプト言語が標準で備えているWEBアプリケーションを手軽に開発するための機能やライブラリをそのまま利用することは悪くない。しかし、その手軽さ故に、セキュリティの観点からは多くの脆弱性を生んできた経緯がある。 例えば、下記の事例が挙げられる。 PHPの4.1以前のバージョンの環境は、「registe
更新：OpenSSL の脆弱性対策について(CVE-2014-0160)：IPA 独立行政法人 情報処理推進機構
オープンソースの暗号通信ライブラリである OpenSSL に、情報漏えいの脆弱性が発見されました。 この脆弱性を悪用された場合、本来秘匿すべき情報（暗号通信の内容や、暗号に使う秘密鍵など）が漏えいする可能性があります。 一般利用者が知らないうちに、攻撃者はこの脆弱性を悪用してサーバのデータを窃取できます。その結果、たとえば以下のことが起こり得ます： 利用者が攻撃者になりすまされる可能性があります（攻撃者が利用者の ID やパスワードを窃取した場合） 攻撃者に暗号通信を解読される恐れがあります（攻撃者が秘密鍵を窃取した場合） 既に、当該脆弱性を悪用できる攻撃コードが公開されており、その攻撃コードを用いたと思われる通信も観測されているとの情報があるため、至急、対策を実施して下さい。 脆弱性の解消 The OpenSSL Project または OS ベンダ等から提供されているアップデート、修正
4.1.2 セキュア化のための設定
システムをさまざまな脅威から保護するには、システムの設定をセキュアに変更したり、セキュリティ対策機能を追加したりするなどの作業が必要になる。このようなセキュア化を実施しないと、「3.2.3 セキュリティ脅威の洗い出しと評価」で解説したようなセキュリティ脅威にさらされることになる。 このような脅威からシステムを保護するために行う作業を、本モデルでは「セキュア化」と呼び、次のような作業を行いシステムのセキュア化を実施する。 設定変更によるシステムのセキュア化 システムが本来備えている機能の設定を、より安全な設定に変更する。 機能最小化によるシステムのセキュア化 システムが備えている機能の中で、セキュリティ上問題のある機能や、運用上必要のないサービスを停止することでセキュリティを向上させる。 機能追加によるシステムのセキュア化 システム保護のために必要な機能を追加する。また、その機能の設定をシス
6-6. C++デストラクタによる安全な資源解放
プログラムが確保したリソースは，利用後，適切に解放しなければならない。確保したリソースを解放し忘れると，しばしばプログラムが予期せず終了することもある。ネットワークサービスを提供するプログラムにこのような不具合があると，サービスを提供できなくなる場合がある。 リソース解放忘れでもっとも有名な問題は，やはり「メモリリーク問題」だろう（関連記事『6-5. メモリリーク』）。システムのメモリ容量は有限だ。プログラムがメモリ領域を作業用に確保したいとき，malloc( )関数によりシステムからメモリ領域を借り入れる（確保）ことができる。借り入れたメモリ領域を使って作業を済ませたなら，必ずそのメモリ領域をfree( )関数でシステムへ返却（解放）しなければならない。メモリリーク問題は，プログラムが適切にfree( )関数でメモリ領域を解放しないことにより，システムの貸し出し可能なメモリがどんどん消費
The AES-CBC Cipher Algorithm and Its Use with IPsec
S. Frankel R. Glenn NIST S. Kelly Airespace 2003年 9月 AES-CBC 暗号アルゴリズムと IPsec でのその使用法 (The AES-CBC Cipher Algorithm and Its Use with IPsec) このメモの位置付け この文書は、インターネットコミュニティに対してインターネットスタンダードトラックのプロトコルを定義するとともに、それを改良するための議論や提言を求めるものである。このプロトコルの標準化状態およびステータスについては、「Internet Official Protocol Standards」(STD 1) の最新版を参照すること。 このメモの配布に制限はない。 著作権表記 Copyright (C) The Internet Society (2003). All Rights Reserved.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
第６章 セキュアC/C++ プログラミング