[B! webapplication] flyawayのブックマーク

高木浩光氏による「安全なWebアプリ開発の鉄則2005」(pdf)

1 安全なWebアプリ開発の鉄則2005 独立行政法人産業技術総合研究所情報セキュリティ研究センター高木浩光 http://staff.aist.go.jp/takagi.hiromitsu/ Internet Week 2005 チュートリアル 2005年12月8日配布資料 2 目次 • Webアプリの基本的な構成 – セッションIDによるセッション追跡 – セッションIDの配置 • セッション追跡に対する攻撃と防御 – セッションハイジャック – セッションライディング（CSRF:クロスサイトリクエストフォージェリ） – セッション固定化 • セッション追跡方式の欠陥 – 推測可能なセッション追跡パラメタ – 予測可能なセッションID – 稚拙な暗号の使用 • 権限確認の欠陥 – アクセス制御の欠如 – ユーザ識別の欠如 • 画面設計の問題 • 万が一に備えた適切な実装 •

flyaway 2012/12/26

リンク

Java技術によるWebアプリケーション開発入門 : 富士通

本記事は開発者を対象としたJavaベースのWebアプリケーションの入門書です。内容について、ご意見・ご要望があれば、SDASに関するご意見・ご要望フォームよりお願いします。内容の改良のため、ご質問も歓迎します。どんな基本的なことでも遠慮せずにどうぞ。目次

flyaway 2012/08/02

リンク

サイジングとチューニングの必要性

Javaアプリケーションのサイジング、チューニングとはサイジングとは、システムやWebサービスを提供するために想定されるシステムへの利用状況や負荷を見積もることです。一般的には、利用する同時ユーザー数、利用されるデータ量の平均量や最大時の量から見積もり、システムを利用するのに十分な性能を発揮するために必要なサーバーの構成、アプリケーションの構成、使用CPU数、使用メモリ量などを見積もる作業になります。チューニングとはシステムのパフォーマンス性能が悪い箇所を改善するために、サーバーの設定の見直しや、アプリケーションのパフォーマンス測定を行い改善する作業のことです。一般的にチューニング作業はアプリケーションのプロトタイプ作成中から構築後にかけて行うものですが、サイジング要件やアプリケーション規模に合わせて事前にチューニング作業を見積もっておく必要があります。本連載ではJavaアプリケーシ

flyaway 2012/08/02

webapplication

リンク

.NETエンタープライズWebアプリケーション開発技術大全　Sessionオブジェクト（1/7） - ＠IT

ViewStateオブジェクトによるデータ保存は、ポストバックにおいてセキュリティを要求されない簡易なデータを保存するのに適している。これに対して、画面遷移にまたがってデータを保存したい場合や、セキュリティを要求されるデータを保存したい場合には、Sessionオブジェクトを利用する。 Sessionオブジェクトを利用した場合、クライアントへは120ビット長のセッションIDがメモリ常駐型クッキーとして発行される。クライアントからのリクエストはこのセッションクッキーにより一意に識別され、サーバ内のセッション状態データと紐付けされることになる（図1）。 ViewStateオブジェクトと同様、Sessionオブジェクトへの格納・取り出しのコーディングそのものは非常に容易であるが、実際の利用時には考慮しなければならない点が多数ある。これらについて順番に解説する。 Sessionオブジェクトに格納可能

flyaway 2012/08/02

webapplication

リンク

初心者Webアプリケーション開発者がチェックすべき情報源2012 - ハニーポッターの部屋

毎年恒例の診断前準備として開発者向けに、「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。上から重要な順。★がとりあえず読んどけ、の必須。必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているもの。徳丸本は今年は必須かな。電子書籍版もあるから、スマホに常備できるし。あと、後半、まったく初心者向けじゃないけど、セキュリティキャンプ生向けにWebテストできるためのツール類を紹介。Webセキュリティ組の参考に、あと、ネットワークセキュリティ組もFiddler2を使うのはパケットの中身の可視化に良いと思うので、インストールして見られるのがよろしいかと。ここはツール情報を定期的にポストしようと思うので、キャンプ生はチェックしておいて欲しい。 ★Webサイト構築安全な

flyaway 2012/07/23

webapplication

リンク

[tech]HTTP GETメソッドのURIの長さ制限を調べてみた - Kazumi007の日記

Webの開発者をやっていると良くいわれていることですが、HTTP GETメソッドを使うなという話を聞きます。セキュリティの点もありますが、HTTP GETメソッドですべてのパラメータをサーバに送れないからというのがその理由のようです。実際どこからでているのか、現在もそうなのか？という疑問を感じたので、HTTP GETの制限を調べてみました。 RFCではどうなっているの？まずHTTP1.1のRFC2616を調べました。とりあえず、日本語訳がありましたので、引用いたします。http://www.studyinghttp.net/cgi-bin/rfc.cgi?2616より HTTP プロトコルでは、URI の長さにどんな制限も設けていない。サーバは、自身が持つどんなリソースのURI も扱えなければならないし、もしそのような URI を生成する GET ベースのフォームを用意するなら、無