乱数の性質とセッショントークンの作成 - $shibayu36->blog;
ユーザアカウントのログイン機能とか作ってると、何らかの形でセッション用のトークンを作成する機会がある。今まではこれは適当にランダムな値を利用していればいいんでしょと思っていたのだけど、ちょっと違ったのでメモ。 乱数の性質 http://akademeia.info/index.php?%CD%F0%BF%F4によると、乱数には三つの性質がある。 無作為性：統計的な偏りがなく、でたらめな数列になっているという性質。 予測不可能性：過去の数列から次の数を予測できないという性質。 再現不可能性：同じ数列を再現できないという性質。再現するためには、数列そのものを保存しておくしかない。 この時、少なくとも無作為性のみ満たされていると弱い擬似乱数、無作為性と予測不可能性が満たされていると強い擬似乱数、全てが満たされていれば真の乱数と呼ばれる。ソフトウェアだけでは、真の乱数を作ることができず、真の乱数に
「セキュリティ対策」
「不正な入力に対して脆弱性を発生させないようセキュリティ対策としてバリデーションを行う」。アホか。プログラマならセキュリティ対策とか気にするな。いや、気にするなというのは言い過ぎだけれど、ほとんどの場合においてあなたの書くコードはセキュリティ対策の必要性はない。 攻撃者の細工した入力によってSQL/HTML/JavaScriptが壊れるとかバッファオーバーフローが発生するとか、そういった脆弱性と呼ばれるほとんどのものはただのバグだ。セキュリティ対策っていうのはコードとは切り離された領域で行うDEPだったりASLRだったりX-Frame-OptionsだったりCSPだったりiframe sandboxだったり、そういうものがセキュリティ対策だ。コード上で書くのは「アプリケーションとして正しく動作するための処理」だけだ。 もちろん例外もあるかもしれないけど、それはあくまでも例外だ。日常的に書く
EximのGHOST脆弱性の影響とバリデーションの関係
追記(2015/2/6) 大垣さんから訂正依頼のコメントを頂いておりますので合わせてお読みください。徳丸としては特に訂正の必要は感じませんでしたので、本文はそのままにしています。そう思う理由はコメントとして追記いたしました。 (追記終わり) 大垣さんのブログエントリ「GHOSTを使って攻撃できるケース」を読んだところ、以下のようなことが書いてありました。 1. ユーザー入力のIPアドレス（ネットワーク層のIPアドレスではない）に攻撃用データを送る。 2. バリデーション無しで攻撃用の不正なIPアドレスをgethostbyname()に渡される。 3. ヒープオーバーフローでヒープ領域のメモリ管理用の空きサイズを改竄する。 【中略】 どんなソフトウェアが危ないのか？ ユーザー入力のIPアドレスをバリデーションしないでgethostbyname()を使用している。 インタラクティブな動作を行っ
PHP入門書を確認指摘する徳丸浩氏にWeb業界はどう思っているの？Webセキュリティで権威のある徳丸本の著者、徳丸浩氏。本人曰わく、｢ライターさんなら仕方ないが、Web業界で働く制作者が書くPHP入門書に絶望的｣と。これって、PHPを学習したく入門書を買いたい人にとって深刻なこと...
PHP入門書を確認指摘する徳丸浩氏にWeb業界はどう思っているの？ Webセキュリティで権威のある徳丸本の著者、徳丸浩氏。 本人曰わく、｢ライターさんなら仕方ないが、Web業界で働く制作者が書くPHP入門書に絶望的｣と。 これって、PHPを学習したく入門書を買いたい人にとって深刻なことじゃないかと思います。 特にWordPressをきっかけにPHPを学ぶ人も多いでしょう。 セキュリティで誤りがあったりすると大変問題です。 読者からすると、これらの指摘は大歓迎ですが、初心者がPHP入門書のセキュリティ部分を自身で確認しながら学ぶって辛く厳しいと思うんです。 PHP入門書を書いた現役のWeb制作者たちのPHPプログラミングのスキルは信じて大丈夫でしょうか。 指摘されたWeb業界側は徳丸さんをどう思っているの？ PHP書く人、教えてください。 http://youtu.be/M7x-P7CddP
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
