[B! セキュリティ] hk41のブックマーク

間違いだらけのHTTPセッション管理とその対策

(Last Updated On: 2018年10月12日)HTTPセッション管理はWebセキュリティの中核と言える機能です。Webセキュリティの中核であるHTTPセッション管理に設計上のバグがある事は少なくありません。今回のエントリはPHP Webアプリ開発者ではなく、主にWebフレームワーク側の開発者、つまりPHP 本体の方に間違いがあるという話しです。Webアプリ開発者の回避策も紹介します。まずセキュリティの基本として「入力のバリデーションを行い、正当な入力のみを受け入れる」があります。しかし、PHPに限らず多くのセッション管理機構は当たり前の「入力のバリデーションを行い、正当な入力のみを受け入れる」を行っていません。セッションIDの再生成（リセット）も不完全な物が多いと思います。参考：知らないと勘違いする「合成の誤謬」の罠開発者は必修、SANS TOP 25の怪物的なセキュリ

hk41 2014/03/07

リンク

ESETの評価とユーザーの評判|セキュリティソフトESET大解剖

圧倒的な軽さが評判を呼び、セキュリティソフトの売り上げ本数トップクラスを誇るESET。そんなESETのセキュリティ性能や実際の軽さを徹底評価。また、クラウドで集めたESETユーザーのレビューや、専門機関の評価をまとめてみました。 ≫ESET公式サイトはこちら ESETにはこんな種類がある！ ESETパーソナルセキュリティ ESETの基本モデルとなるのがパーソナルセキュリティです。インストールできるのはデバイス1台だけの最安商品です。 ESETファミリーセキュリティ ESETの中で最も人気があるのがファミリーセキュリティです。中身や機能はパーソナルセキュリティと全く同じですが、PC、タブレット、スマホの中から5台までインストールできます。価格もパーソナルセキュリティとそれほどかわらないので、ファミリーセキュリティが最もコスパが高くおすすめです。 ESETスマートセキュリティプレミアムパ

hk41 2012/05/01

リンク

[PHP]パスワードのハッシュ化にはcrypt が便利 | ブログが続かないわけ

【2009/01/27 追記】このエントリは間違っているので、次のエントリも併せてご覧ください。 [PHP]パスワードのハッシュ化にはcrypt を使ってはいけないパスワードをDBに保管するとき、プレーンテキストのままじゃダメってのはもういいよね。 (参考)ブログが続かないわけ | パスワードを平文で管理するのはダメだで、そのときどうやってハッシュ化するかというお話。まず、大前提として復号可能な暗号は避けた方がいい。パスワードを復号しなければならないというシーンはほとんどないので、それであれば復号できない方がセキュリティ上安全だからだ。復号できない方式でハッシュ化すれば、もう、誰にもパスワードはわからない状態になるからね。やり方としてありがちなのはMD5 によるハッシュ化 $pass = 'my password'; $pass_hash = md5($password); //