Securing Web Apps with Modern Platform Features (Google I/O ’19)
Common vulnerabilities such as XSS, CSRF, and others have long plagued the web, accounting for most of the high-risk flaws reported under Google's Vulnerability Reward Program. Learn about the latest web platform security mechanisms to protect your apps from injections and isolate them from dangerous sites. You'll leave with a security checklist for defending your applications with new browser fea
SameSite cookies explained | Articles | web.dev
SameSite cookies explained Stay organized with collections Save and categorize content based on your preferences. Every cookie contains a key-value pair along with a number of attributes that control when and where that cookie is used. The introduction of the SameSite attribute (defined in RFC6265bis) lets you declare whether your cookie is restricted to a first-party or same-site context. It's he
pixiv SPRING BOOTCAMP 2019のセキュリティコースに参加して最高の体験をしてきた - yyy
はじめに 参加するまで 業務開始まで 2/27～3/1 CSPの導入① バグバウンティ関連① エンジニア勉強会 3/4～3/6 CSPの導入② バグバウンティ関連② pixiv Bug Fix pixiv TECH SALON 3/7～3/8 CSPの導入③ バグバウンティ関連③ 成果発表 その他の思い出 懇親会でルービックキューブについて話した バイナリかるた貰った お絵かきブートキャンプ 円盤鑑賞会的なやつ ご飯情報 最後に はじめに 念願のpixivインターンに行ってきました． pixivは高校生の時ぐらいから知っていて，実際に絵を投稿したのは大学に入ってからですが，お絵描きを趣味とする自分にとってはとても身近な存在でした．インターンシップに参加している学生の様子をSNSで見ているととても楽しそうで，いつか自分も参加してみたいと思うようになりました． また，バグバウンティを行っている
Content Security Policy: A successful mess between hardening and mitigation
In this talk, we distill our multi-year experience fighting XSS at Google with nonce-based Content Security Policy, one of the most misunderstood and arguably, most powerful web mitigation techniques. We aim to provide a technical in-depth analysis of the effectiveness of different flavors of CSP for the many classes of XSS vulnerabilities, busting myths and common misunderstandings, and explore t
パスワードの不要な世界はいかにして実現されるのか - FIDO2 と WebAuthn の基本を知る
不正送金やアカウントの乗っ取りなど、パスワードが原因の事件が後を絶ちません。高齢者など、IT リテラシの低い人でも簡単かつ安全に自分のオンラインアカウントを管理できる世界が理想ですが、まずはパスワードの不要な世界を実現するのが先決であることは、これまでのインターネットの歴史で証明されたと言えるでしょう。そして、ここに来てパスワード不要なログインを実現する技術として注目されているのが FIDO (= Fast IDentity Online, 「ファイド」) です。そしてその FIDO をブラウザから利用できるようにするのが WebAuthn (= Web Authentication、「ウェブオースン」)。報道内容などからこれらは指紋認証を実現するもの、と思っている人もいらっしゃるかもしれませんが、実際にはちょっと違います。 WebAuthn に関しては、すでに数多くの記事が出ていますので
Talk about a cache flow problem: This JavaScript can snoop on other browser tabs to work out what you're visiting
In any event, the attack could have serious consequences for those using Tor in the belief that their website visits can be kept secret. A side-channel attack (or "transient execution attack") involves observing some portion of a computing system to collect measurements that can be used to infer otherwise privileged information. The Spectre, Meltdown, and Foreshadow vulnerabilities revealed this y
W3C Workshop for Permissions and User Consentに行ってきた (2) 本編 - そんなことはさておいて
本編です。思ったよりめちゃめちゃ長くなってしまった。2000文字くらいであることが多いのに11000文字とか出てるんですが？？？ 背景 本ワークショップに至る特に重要な背景として、Cambridge Analytica事件とGDPRの施行という2つのできごとがある。これらのできごとによって、Webにおける情報共有とそれへの同意・許諾のあり方への企業やユーザーの見方が大きく変わり、今までのあり方を見直さざるを得なくなった、ということが本ワークショップにつながっていると考えられる。 Cambridge Analytica事件 2018年3月に表面化した、選挙活動へのコンサルティングなどを行うCambridge Analytica社がFacebookユーザーの個人情報を同意なく政治利用していた、という事件。 もともとGlobal Science Research社がthisisyourdigit
Content Security Policy Level 3におけるXSS対策 - pixiv inside
こんにちは、セキュリティエンジニアのkoboです。ピクシブには2018年4月に入社しており、セキュリティ観点でのアプリケーション開発や脆弱性報奨金制度の運用などを行っています。 本記事では、現在ピクシブの一部のサービスで取り組んでいるContent Security Policyについて知見を共有します。 概要 Content Security Policy (CSP) は、XSSを主としたウェブアプリケーションセキュリティの問題を軽減するために考案されたブラウザのセキュリティ機構です。 ウェブアプリケーションは、 Content-Security-Policy ヘッダをHTTPレスポンスに含めることで、意図していないJavaScriptの実行やリソースの読み込みをブラウザ側で制限することができます。 CSPは2012年頃よりブラウザに実装されていますが、2016年のGoogleの調査によ
CookieのSameSite属性
概要 Cookieに新たにSameSite属性というものが提案され、主要なブラウザで実装が進んでいる。 かつてはFirst-Party-Only Cookieと呼ばれていたもの。 https://tools.ietf.org/html/draft-west-first-party-cookies-05 クロスオリジンへのリクエスト送信時にCookieを付与しないことで、予期せぬ形での情報漏洩を緩和するのが目的。 CSRFを防げるという話ではなく、あくまで緩和という感じ。 このエントリを書いている段階で、Safari以外の主要ブラウザでは実装済みという感じ。 https://caniuse.com/#feat=same-site-cookie-attribute SameSite属性の値と挙動 値は lax と strict の2種類。 Set-Cookie: test=1; path=/;
Protecting user identity against Silhouette
The security of Twitter users and their data is important to us. One aspect is securing your Twitter identity from other websites you may visit. A user may accidentally visit a malicious website via a link from an email or Tweet, from an advertisement on another website, or from a hacked version of a familiar site. The malicious nature of a site may not be apparent, because the site may perform ac
Cookieにかわる Sec-HTTP-State ヘッダの提案 - ASnoKaze blog
20190424 追記 IETFに提案仕様が提出されました https://tools.ietf.org/html/draft-west-http-state-tokens-00 Cookieの様々な問題を解決するために、Webセキュリティー界隈で活躍されるMike West氏から「Tightening HTTP State Management」というCookieに変わるHTTPにおいてステートを扱う仕組みが提案されています。 現在はIETFのHTTPbis WGのMLに投稿されただけで仕様が正式にinternet-draftとして提出されたものではありません。まだまだどうなるかは全然わからない状態です。 この提案では、現在のCookieはセキュリティと非効率性とプライバシーの問題があると言っています。 現在のcookieは、Same-Origin-Policyとは異なりオリジンを超えて
Site Isolation for web developers | Blog | Chrome for Developers
Chrome 67 on desktop has a new feature called Site Isolation enabled by default. This article explains what Site Isolation is all about, why it’s necessary, and why web developers should be aware of it. What is Site Isolation? The internet is for watching cat videos and managing cryptocurrency wallets, amongst other things — but you wouldn’t want fluffycats.example to have access to your precious
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
How Content Security Policy prevent header exploit - Blog Detectify
Browser Fingerprinting: A survey
Content Security Policy - 俺のリファレンス
CheatSheetSeries/cheatsheets/Content_Security_Policy_Cheat_Sheet.md at master · OWASP/CheatSheetSeries
Browser Side Channels
New Year, New Samsung Internet
Browser history sniffing is still a thing - gHacks Tech News
Web Platform Security PhD Summit @ Google Munich
