Webエンジニアスキルの勘所
Webのエンジニアにはどういうスキルが一番必要か？という話を考えてみた。 例えば、C言語やUnixの経験が長く、オブジェクト指向も理解していたとしたら、PHPから始まり、Rubyなどの理解は決して難しくないだろう。 では、それだけの経験で一線級のWebエンジニアとしての信頼が置けるかというと、ちょっと違うような気がする。 考え方のベースは、 「Webは、要するにテキスト処理であることが多い。だから難しい」 ほとんどの事がHTTPプロトコルを通じてテキストデータとして情報が、なんのネットワークの制約もなく流通する。つまり、HTTPヘッダを含むテキストの操作でセキュリティホールを作り、それが世界のどこから攻撃されるかわからない。 また、 同様に世界中からアクセスが集まることがありうるので、回りくどいテーブル設計をしてしまうと、あっというまに破綻してしまうこともある。 そして、 基本的にマルチア
アジャイル開発にセキュリティ対策を組み込む、マイクロソフトが「Security Development Lifecycle」の新版を公開
アジャイル開発にセキュリティ対策を組み込む、マイクロソフトが「Security Development Lifecycle」の新版を公開 ソフトウェア開発の際に、仕様策定から実装、運用にいたるまで、あらゆる観点でセキュリティ対策を盛り込んでおくことは、特にWebアプリケーションにとって非常に重要なことです。これからさまざまなアプリケーションがクラウドに対応することを考えても、開発プロセスそのものにセキュリティ対策のこともきちんと組み込んでおくことが望まれます。 マイクロソフトは、OSやアプリケーションなど自社開発しているソフトウェアの開発プロセスにセキュリティ対策を組み込んでおり、そのガイドラインを「Microsoft Security Development Lifecycle」として公開していました。 下記の図がMicrosoft Security Development Lifecy
法務省オンライン申請システムが Java のバージョンに苦しんでいる: ある nakagami の日記
法務省がオンラインで登記書類を取得できるサービスをしているのだが、Vista 対応に苦しんでいる模様 http://shinsei.moj.go.jp/new/new_top.html#vista （訳）「Java6 u7 で Vista でうまく動かないのを何とかしようとしてたけど、そうこうしているうちに脆弱性があるからって u11 が出ちゃったので u11 でがんばろうとしてる」 うーん。同じバージョンの update で動かなくなっちゃうのはつくりがまずいんじゃないのかなぁ。言ってるそばから u12 が出てるし。法務省の人たちはさておき、作っている人達は恥ずかしくないんだろうか。 そしてソフトを動かすには、事前に JRE をすべてアンインストールしたあと Java6 u7 をインストールしろ（勝手なバージョンを入れると動かなくなるよ）と強欲な案内。つまり、法務省オンライン申請システム
第3回■ぜい弱性対策の考え方 -- 「保証なし」が原則のオープンソースは運用体制が超重要
表を見ると分かるように，PHP4は7年半にわたってサポートが継続していた。これだけを見ると商用製品に大きく引けを取るわけではない。ただ，後継バージョンであるPHP5が公開された時期がPHP4の4年遅れだったため，PHP5の公開直前にPHP4で開発されたアプリケーションは3年半でセキュリティ・アップデート終了ということになった（図1）。 加えてPHP5の初期バージョンが不安定であったこと，PHP4に対する互換性が不十分だったことなどから，PHP5への移行はなかなか進まなかった。結果として，PHP4で開発したあと1～2年でPHP4のサポート終了を迎えたサイトも多いようだ。 現行のPHP5系統についても，PHP5の最初のリリースから既に4年以上が経過していることから，今後何年程度サポートが継続されるかは不明確である。今後PHPを使用してWebアプリケーションを開発する場合は，アプリケーションの保
また別の文字エンコーディング問題
(Last Updated On: 2006年6月23日)HTTPヘッダでASCIIを文字エンコーディングに設定していてもISO-8859として解釈してしまうブラウザ（Firefox、Operaなど）とASCIIとして解釈するブラウザ（IE）とが在るためIPSなどのフィルタをすり抜けられるかも知れない、という話。珍しくIEの方が標準に厳格(?)に対処しています。 リンク先のページをIE 6で表示すると7bit ACSIIでは無視されるべき8ビット目が無視され読める文字列が表示されますが、Firefox 1.5では8ビット目を無視せずISO-8859として解釈してしまい文字化けしているように表示されます。IEの動作の方が仕様的には正しいように思えますが、Firefox、Operaの動作の方が安全ですね。 どちらかと言うとWeb開発者が注意すべき問題ではなく、JavaScriptの脆弱性を利用
プログラム等、内部の文字エンコーディングは決めておくべき
(Last Updated On: 2006年6月22日)あるMLでプログラム内部の文字エンコーディングは決めない事にしている、と言う意見を目にしました。プログラムを利用するシステムにより複数の文字エンコーディングがあるのでプログラム内部の文字エンコーディングを指定しない方が便利であることが理由だそうです。このような方針でも安全なプログラムは書けますが、セキュリティ上お勧めできない設計方針と思います。 2000年2月に公開されたCERTのXSS脆弱性問題の中でダイナミックページの文字エンコーディングは必ず指定する、と言う対策が書かれていますが、これと同様の理由でセキュリティ上の問題になってしまう場合があります。XSS問題としては文字エンコーディングを指定しない場合、ブラウザが文字エンコーディングを自動的に検出して表示する事になります。ブラウザが文字エンコーディングを自動検出すると、検出した
「アプリケーション・セキュリティは開発者一人ひとりの問題」
マイクロソフトは3月2日，アプリケーション開発者向けのセキュリティ対策セミナー「Microsoft Developer Security Day」を東京・品川で開催した。基調講演には米MicrosoftのSecurity ArchitectであるDavid LeBlanc氏が登壇した。LeBlanc氏は開発者セキュリティに関するマイクロソフト公式解説書「Writing Secure Code」の共著者の一人（関連記事）。 LeBlanc氏は，マイクロソフトが2002年から推進している「Trustworthy Computing（信頼できるコンピューティング）」について，「技術者がまとめあげ，マイクロソフトが実現に向けて継続的に取り組んでいる考え方だ。決してマーケティング用語ではない」と強調，その具体的な成果としてOffice 2003ファミリに対するセキュリティ情報が，製品のリリースから現
Webシステム開発でセキュリティが軽視される理由 - ＠IT情報マネジメント
Webシステムでは、アプリケーションレベルでのセキュリティ対策が不可欠であるにもかかわらず、軽視されがちだ。この現状を改善する方法を考える。 昨今の個人情報などに対する不正アクセス関連事件では、Web経由で提供されているアプリケーション（ここではWebシステムと呼ぶ）のセキュリティ上の欠陥に付け込まれる例が多発している。この種の不正アクセスからWebシステムを守るには、ファイアウォールなどの事後的な、外付けのセキュリティ対策だけでは不十分である。システムを開発する時点で、セキュリティ上の欠陥が生じないようにしなければならない。 一般的なWebシステムでは、開発作業が外部に委託されるケースが多い。このため、開発提案を依頼する（RFP）段階において、セキュリティ対策を含めた提案をしてもらうべきである。セキュリティ対策が明示的な形でシステム要件に含まれないと、受注側で対策を施すインセンティブが働
「セキュアなアプリはこう作る」、シマンテックがコンサル・サービス開始
シマンテックは11月8日、開発するシステムに脆弱性が含まれないようにするコンサルティング・サービスを開始した。名称は「セキュアアプリケーションサービス」。上流工程の要件定義の段階から、設計、試験、保守段階まで、社内外からの不正アクセス対策を支援する。既存システムのセキュリティ強化ではなく、開発段階から脆弱性を排除するために提供する。 サービスのメニューは大きく分けて三つ、一つはアプリケーション開発プロセスのコンサルティング。コーディング規約や、ウイルスや不正アクセスに遭った場合の対処方法などを決める。 二つ目は、開発するアプリケーションの評価・診断。設計段階で新規アプリケーション導入後のリスクを分析するほか、開発したアプリケーションのソースコードに問題点がないかチェックしたり、開発後のアプリケーションに脆弱性がないか調べたりする。その上で改善策を提示する。 三つ目は、教育サービス。セキュリ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft のセキュリティ開発プロセスが CC ライセンスに | スラド セキュリティ
安全なWebアプリ開発の鉄則 2004
IPA ISEC セキュア・プログラミング講座
Technical documentation