セッション管理の要注意点 - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? Webアプリを開発するに当たって、「自分でセッションを書きたい」なんて思う人はおそらく1%もいないでしょう。とはいえ、標準で備わっているセッション機能に問題や機能不足があって、手を入れざるを得なくなる、という場面も多々存在してしまいます。ここでは、セッションまわりでよく問題になる部分について触れてみましょう。 そもそも、セッションとは Webアプリにおけるセッションは、 接続ごとに固有の識別子（セッションID）を割り当て、その接続を使った通信のたびにセッションIDを送受信する セッションIDと紐付ける形でデータを持って、アクセスごとに値
RailsのCSRF対策の仕組みについて - （2015年までの）odaillyjp blog
先日、Rails で開発しているときに意図しない InvalidAuthenticityToken エラーが発生して、すごくハマってしまいました。そのときに Rails のCSRF対策の仕組みについて調べてみましたので、ブログに残しておきます。 Rails のCSRF対策 Rails が生成した ApplicationController には以下の記述があります。 class ApplicationController < ActionController::Base # Prevent CSRF attacks by raising an exception. # For APIs, you may want to use :null_session instead. protect_from_forgery with: :exception end protect_from_forg
正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
セキュアなRuby on Rails環境を実現するセキュリティチェッカー·Hakiri MOONGIFT
HakiriはRuby製、MIT Licenseのオープンソース・ソフトウェアです。 Webサーバのセキュリティは万全でしょうか。できるだけのことはしつつも、それでもバージョンアップが適切に行われていない場合もあります。特に外部に公開されるWebサーバや、そこから接続されるデータベースサーバについては重点的にチェックが必要です。そこで使ってみたいのがHakiriです。 最初にマニフェストを作成します。必要な箇所を修正します。 後はsystem:scanで自動的にシステムのバージョンチェックが実行されます。ローカルということもあってバージョンアップを放置し過ぎていますね…。 セキュリティ情報をリストアップできます。おとなしくバージョンアップするのが良いです。 HakiriはWebサービスとして公開されているHakiri PlatformのCUIクライアントという位置づけです。主にRuby/R
Blog - Code Climate
Navigating the world of software engineering or developer productivity insights can feel like trying to solve a complex puzzle, especially for large-scale organizations. It's one of those areas where having a cohesive strategy can make all the difference between success and frustration. Over the years, as I’ve worked with enterprise-level organizations, I’ve seen countless instances where a lack o
セキュアブレイン、Androidアプリ静的解析ライブラリをオープンソースとして公開 | 株式会社日立システムズ（旧セキュアブレイン）
このプレスリリースに記載されている情報（価格、仕様、サービスの内容、発売日、お問い合わせ先、URLなど）は、発表時点のものです。最新の情報につきましては、こちらのお問い合わせ先にご確認ください。 2012年10月31日 報道関係各位 セキュアブレイン、Androidアプリ静的解析ライブラリをオープンソースとして公開 株式会社セキュアブレイン(本社：東京都千代田区、代表取締役社長 兼 CEO：成田 明彦、以下「セキュアブレイン」)は、Androidアプリの静的解析ライブラリを、オープンソースとして公開しました。本ライブラリは、Rubyのライブラリ(gem)形式で配布されます。 セキュアブレインは、Androidアプリを解析するためのツールとして、Rubyで作成した Androidアプリの静的解析ライブラリを開発しました。本ライブラリは、マニフェストファイルの解析、実行ファイルの解析など、An
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
RailsのDeviseで最低限付与したいセキュリティ設定 - Qiita
http://blog.monoweb.info/article/2012021823.html
AndroidのNFC機能でFeliCaの読み書きをする | −ゆめログ− | ゆめみスタッフブログ