IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第5章 暴露対策：プロキシキャッシュ対策
第5章 暴露対策 プロキシキャッシュ対策 プロキシキャッシュへのコンテンツ残留 ブラウザとWebサーバの間には、いくつかのキャッシュメカニズムが働いていることが多い。 プロキシサーバのキャッシュ──企業等LANを運用している多くの組織体ではLANからインターネットアクセスを行う際プロキシサーバを経由して行うことが多い キャッシュサーバ─インターネットプロバイダの中には、会員のWebアクセスを円滑にする目的でキャッシュサーバを運用しているところがある これらのキャッシュメカニズムは、ブラウザからのリクエストによって得られたコンテンツをキャッシュに保持しておき、同じURLのリクエストが生じたとき、本来のWebサーバにコンテンツを取りに行かず、キャッシュの内容をブラウザに渡すものである。 このようにキャッシュは、円滑なインターネットの利用に寄与してくれる。 しかし、コンテンツによっては、ただひと
XSSを防ぐ新しいXSS-Protectionヘッダ - ASnoKaze blog
evalとreportOnlyについて追記しました (2016/10/10) 2016/10/20 仕様名は以下の通りになりました。Anti-XSS Response-Time Uniqueness Requirement また、ヘッダ名は、XSS-Protectionヘッダではなく、ARTURヘッダとなっておりますが、また変更される可能性があります。 Googleの調査によると、CSPによるXSSの防止は現実的にデプロイの欠陥によりXSSの防止効果がないことを示しています。調査は「CSP Is Dead, Long Live CSP!」としてACMのカンファレンスで発表され、ペーパーも閲覧することができます。 9月に行われたW3C TPAC 2016のWebAppSecのミーティングで議論され、GoogleのMike West氏より新しくXSS Protectionという仕様が提案されて
大公開！ferretが毎日チェックしている、メディア・ブログ46選｜ferret [フェレット]
Webサイトを運営している方であれば、さまざまなメディア・ブログなどからの情報収集を欠かかすことはできません。 ferretも同様であり、常日頃から大手メディアから個人ブログに至るまで幅広く情報収集を行っています。 今回は、ferretがRSSに登録して毎日チェックしている選りすぐりのメディア・ブログ44選をご紹介しますので、ぜひ情報収集にお役立てください。 このニュースを読んだあなたにオススメ プライバシーポリシーを記載しよう 情報収集には欠かせない！便利なFeedlyのイロハを解説 効率的に情報収集できるGoogleアラートの使い方 Google／Yahoo! 1.Google Japan Blog http://googlejapan.blogspot.jp/ Google Japanが発信している、主にGoogleに関する情報が日本語で書かれているブログです。 Googleの公式サ
![大公開！ferretが毎日チェックしている、メディア・ブログ46選｜ferret [フェレット]](https://cdn-ak-scissors.b.st-hatena.com/image/square/abd8a352caf29e369ad6e258c6607ba38b68a1b0/height=288;version=1;width=512/https%3A%2F%2Fferret.akamaized.net%2Fuploads%2Farticle%2F3018%2Fog_image%2Fdefault-dbd81f463395226e1d8e7943fac918f8.jpg)
インターネットで他人を血祭りにあげる人々
ツイッターでアメリカの情報を追っている人は知っているかもしれないが、2013年12月にある女性が書いたツイートが、世界的に大炎上する事件があった。 IACというネットサービス企業でPRのシニア・ディレクターという要職に就いていたジャスティン・サッコは、当時30歳で、洗練された金髪美人だった。ニューヨークから南アフリカへの長旅の途中、乗り換えのロンドン・ヒースロー空港で次のようなツイートをして、飛行機に乗り込んだ。 "Going to Africa. Hope I don't get AIDS. Just kidding. I'm white!" （アフリカに向かっているところ。エイズにかからないといいけど。冗談よ〜。だって私、白人だもん） ぱっと見ると、人種差別丸出しのひどいツイートだ。けれども、ジャスティン本人は、アメリカのスタンドアップコメディアンがよく使う自嘲のテクニックで「愚かな白
Webアプリで起きるクライアントサイドの性能劣化パターンとその改善チューニング
本連載は、パフォーマンスを主な対象としてシステム開発・運用の改善や設計を行うNTTデータのコンサルタントチーム「まかせいのう」のメンバーが、業務での体験やそこから得た知見を共有する『週刊まかせいのう』の記事を編集し転載するものです。今回は、クライアントサイド（Webブラウザ）の処理性能を劣化させるパターンと、それを改善し性能を向上させるチューニング方法を紹介します。 遅延原因がクライアント側にある場合の2つのパターン いわゆる「性能が出ない」「画面がもっさりして処理が遅い」という性能問題が発生した場合、必ずどこかに遅延を発生させているコンポーネント、いわゆる「ボトルネック」が存在します。それはWebサーバであったり、DBサーバであったり、はたまたネットワークやストレージであったりします。 一般的に、こうした遅延箇所の多くはサーバサイドに集中しています。サーバサイドでは、多くのユーザリクエス
これからのWebセキュリティ フロントエンド編 #seccamp
Editor's Notes・ChatWork でWebフロントエンドを担当 ブラウザ上で動くScalaを書いてます。 基本的にセキュリティとの関わりは趣味の範疇。MixiさんからAmazonギフト券もらったくらいの経験 ・きっかけは「趣味と実益のスタック破壊」 これは「いかに対象のコード上でバッファオーバーフローやヒープオーバーフローを起こすか」という視点で書かれた文書。非常に面白かった すでにサイトからは消えていてWebArchivesでのみ読める 「セキュリティが趣味になる」ということを知ったのは衝撃だった ・セキュリティ関係での活動はApplicationCache poisoningが主 ApplicationCache poisoningはけっこう昔から一般的に言われていることなので取り立てて言う話ではない DNS関係も好き今までセキュリティとは開発とは別に考えられていた。 現
【セキュリティ ニュース】アクセスしただけで情報抜かれる偽サイト - サイバー攻撃の事前準備か（1ページ目 / 全3ページ）：Security NEXT
日本の政府や外郭団体、企業などのドメインを模したURLで偽サイトを設置し、端末の情報などを収集する諜報活動が確認されている。収集された情報が今後サイバー攻撃に悪用される可能性もあり、注意が必要だ。 プライスウォーターハウスクーパース（PwC）によれば、日本国内の6組織のドメインを連想させるURLを用いた偽サイトを設置し、情報を収集する活動をあらたに確認したという。フォームなどへ情報を入力させ、情報を騙し取る従来のフィッシングとは異なり、アクセスしただけで端末やネットワーク、キー入力の情報などが窃取されるおそれがある。 同社では、類似ドメインから派生したURLの具体的な件数の規模は不明としつつも、多数確認したとしている。攻撃者の素性や攻撃の目的はわかっていないが、脆弱性の有無といった情報が蓄積され、サイバー攻撃に悪用される可能性もある。 攻撃には、開発者が「Scanbox」と名付けた諜報フレ
「かつての公害のように、情報技術が社会問題を生みつつある」 (1/3)
日本年金機構が標的型メール攻撃を受け、保有していた個人情報100万件以上が流出してしまった事件は社会に大きなインパクトを与えた。その後調査が進むにつれ、他のいくつかの行政機関や企業も同様に標的型攻撃を受け、個人情報が流出していたことが明らかになっている。 一連の事件は、システム設計や運用も含めたセキュリティ対策のあり方に一石を投じたと同時に、個人情報の流出が与える影響の大きさをあらためて明らかにした。ここからどんな教訓が得られるのか、個人情報やパーソナルデータをめぐる未来はどうなるのかを、国立情報学研究所（NII）アーキテクチャ科学研究系 教授の佐藤一郎氏に伺った。 年金機構やベネッセの情報漏洩事件、怖いのは「間接的な被害」 日本年金機構の情報漏洩事件で漏れた個人情報は、氏名、生年月日、住所と基礎年金番号の組み合わせです。漏洩の一件が明らかになってから、「あなたの個人情報が漏れています」と
DSPはなぜアドネットワークに勝てないのか～はじめに - DSPはなぜアドネットワークに勝てないのか（江波戸浩之）
最初に断っておきますが決してDSP（Demand Side Platform、以下DSP）を否定する意図はありません。DSPは将来性のあるサービスです。ただし現状は十分に力を発揮できていません。 2014年はアドテク業界が賑わった1年になりました。同年6月、アドテクを駆使したDSPを提供するフリークアウトが上場を果たし、ピーク時には時価総額500億円を突破。未知のサービスに期待を集めましたが、その後1年足らずで利益予想の下方修正が出るなどし、株価は3分の1以下になりました。 アドテクとは広義にはネット広告に関するあらゆる技術のことですが、最近では「メディアに訪れるユーザーを特定し、マッチした広告を配信する」などの高度なものを指すことが多いです。このため「枠から人へ」などと言われ、従来の広告枠の売買ではなく、訪れるユーザーを売買することが増えました。この「枠から人へ」を体現したといえるDSP
企業における自然言語処理技術利用の最先端
1. This document discusses the history and recent developments in natural language processing and deep learning. It covers seminal NLP papers from the 1990s through 2000s and the rise of neural network approaches for NLP from 2003 onward. 2. Recent years have seen increased research and investment in deep learning, with many large companies establishing AI labs in 2012-2014 to focus on neural netw
インターネット上に無い情報ってどんなもの?インターネット上に無い情報を知ることで、検索結果の見方が変わる
インターネット上に無い情報ってどんなもの?インターネット上に無い情報を知ることで、検索結果の見方が変わる イントロダクション インターネット上を検索すると、なんでも見つけられるような気がしてきます。 でも、本当にインターネット上では、すべての情報を手に入れることが出来るのでしょうか？ ここでは、ケース別にインターネット上に存在しない情報について考えてみます。 そもそもこの世に存在しない情報 自然現象や、誰かの創造の中ですらも存在していないことは、インターネット上にもないでしょう。 誰も知らない情報 誰も知らない情報は、その情報を作成し、インターネット上へとアップロードする人がいないため、インターネット上に存在することはありません。 ただし、誰も知らない情報でも、その情報が何らかの装置によって直接インターネット上にアップロードされている場合には、誰も知らない情報でもインターネット上に存在する
「PV？見ません」NewsPicks佐々木編集長が語るスマホ時代に勝つメディア6つの法則 | GLOBIS 知見録
スマホシフトが変えるのは「Yahoo! 一極体制」 「どうして東洋経済からNewsPicksに移ったの？」――昨年7月に移籍してから300回くらい聞かれました。そのたびに違う答えをいっていますが（笑）、メディア業界が100年に一度の大変化を迎えている時代に、最高にイノベーティブなメディアをつくりたいからです。 デジタル・ソーシャル・モバイル（スマホシフト）。そういった新しいテクノロジーが生まれるときには、必ず新しいメディアが生まれています。印刷技術の発明によって、新聞が生まれたように。 スマホシフトによるメディア業界の最も大きな変化は何か。それは「Yahoo!によるニュース流通の一社独占構造が終わった」ということです。（写真：NewsPicks編集長 佐々木紀彦氏） 私が東洋経済オンラインにいた頃もそうでしたが、WEBメディアはYahoo!に掲載してほしいんですね。圧倒的なポータルサイトな
負け組なモバイルWebは、これから本当に復活するのか？Googleが考える次のアーキテクチャ - ふろしき Blog
Google I/O 2015でのセッション「The Next Generation Mobile Web(次世代のモバイルWeb)」がそこそこに激アツな気がしたのですが、予想に反し、あまり注目を集めていません。 わかります。大衆向けなメディアだと、AndroidやVR/AR、Google Photosのようなわかりやすいキーワードの方が注目されるでしょう。エンジニア向けメディアであっても、昨今のモバイル技術の状況を鑑みて、ネイティブアプリの方を扱いたいと感じるのが当然です。 先日、某懇親会で「え、モバイルをWebでやっているのですか？それ、完全に負け組じゃないですか」と言われ、そこまで印象が悪いものかと心を痛めました。負け組とか、Webがかわいそうじゃないか。 そんな状況というのもありまして、先日の「第58回HTML5とか勉強会」では、あえてGoogleらが考える「次世代モバイルWeb」
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ウェブサイトの「コメント機能」が終わりを告げようとしている
サイト画面などの著作物を正しく引用する方法とは？／【漫画】僕と彼女と著作権・第3話 | 僕と彼女と著作権
SIerからWebエンジニアへの失敗しない転職方法
そのブログはいつから始まった？ブログの開設日を知る方法
民放5社共同の無料見逃し配信「TVer」が10月スタート
Chrome:DNS_PROBE_FINISHED_NO_INTERNETに遭遇。その対処
ブログ:一度書いた記事は自分の資産になる - 過去の記事へのリンクをはることで、詳しい言及が不要になる