自作コンパイラの部屋
オブジェクト指向言語としてのJavaScript(2007/09/17更新) Web Application Security(WAS)に関する話題(2008/06/02更新) ockeghemの日記(はてなダイアリー) 2008-02-26 セキュリティの常識・非常識 パスワードの定期変更は「神話」なのか? 2008-01-27 45歳からのプログラミングこそ至上の悦楽 わーい ＼（＾o＾）／ PL/0を JS で書いたよー！ 2008-01-07 これはMITMですか 2007-12-05 クロスサイトスクリプティング(XSS)とCSRFの違い早分かり(2) クイズ:XSSとCSRFはどこにありますか? 2007-12-03 クロスサイトスクリプティング(XSS)とCSRFの違い早分かり XSSはブラウザ上でスクリプトが動き、CSRFはサーバー上でスクリプトが動く 2007-12-01
CSRF脆弱性対策 - monjudoh’s diary
CSRF対策のtokenはセッションIDで良い セキュリティ的にワンタイムトークン>セッションIDではない。 という話が、この辺の記事に書かれています。 高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 高木浩光＠自宅の日記 - CSRF対策に「ワンタイムトークン」方式を推奨しない理由, hiddenパラメタは漏れやすいのか？ 肝はこういう事のようです tokenは外部のサイトから知り難い(実質知り得ない)ものでないといけない セッションIDはcookieに格納される document.cookieは自ドメインのものと親ドメインのものしか見れない→外部サイトで動かすJavaScriptからは参照できない セッションIDは『暗号学的に安全な擬似乱数生成系で生成されているはず』(引用) 推測も事実上できない 補足すると、セッションIDを使用したCSRF対
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IT 勉強会カレンダー検索
