[B! Web][セキュリティ] ikd9684のブックマーク

"JWT=ステートレス"から一歩踏み出すための考え方

おはようございます、ritouです。この話に乗っかっていきます。 3行でログアウト時にJWTを無効化できない実装は今後脆弱性診断で「OWASP Top 10 2021違反」と指摘されるようになりそう(今も個別にされてるかもしれないけど) JWTは単純なフォーマットなので、ステートレスなセッション管理においてログアウトしたときに文字列自体を無効化できない件は独自エンコード方式(一般的にフレームワークのCookieストアと呼ばれているもの)でも起こり得る「セッションID vs JWTで内包」以外にも「セッションIDをJWTに内包」もあり得る。既存の機能を残しつつ「JWTで武装」する選択肢も考えてみてはどうか。ステートレスなセッション管理でログアウトの際に文字列自体を無効化できない問題これは前から言われていますし、駆け出し何とか勢のQiita記事に書かれるぐらいには一般的です。 2

ikd9684 2021/09/12

リンク

ウェブアプリケーションセキュリティ超入門 | Slideshare

2. 徳丸浩の自己紹介 • 経歴 – 1985年京セラ株式会社入社 – 1995年京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてWebアプリケーションセキュリティ事業を立ち上げ • 現在 – HASHコンサルティング株式会社代表 http://www.hash-c.co.jp/ – 独立行政法人情報処理推進機構非常勤研究員 http://www.

ikd9684 2017/09/23

リンク

File:Web application security requirements.pdf - OWASP

Click on a date/time to view the file as it appeared at that time. Date/TimeDimensionsUserComment

ikd9684 2013/11/02

Webシステム／Webアプリケーションセキュリティ要件書

リンク

あなたのWebサービスは狙われている！最低限押さえておきたいセキュリティ対策 | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作

最近上京してきたんだけど、入谷から会社までくるのに徒歩10分の道のりで迷子になっちゃって、なんか知らない間に浅草の方まで行っちゃって、会社に遅刻しちゃって、東京ってマジ迷路だよね。あ、どうも、僕です。今日はWebサービスを開発する上で最低限おさえておきたいセキュリティ対策について書こうと思うよ！セキュリティホールって、案外簡単な見逃しでできちゃうんだよね。バリバリのハッカーしかハッキングなんてしないから、うちのサイトは安全だなんて思ってたら大間違いだよ！今回は、その攻撃方法と、それを防ぐための対策方法をセットにして書こうと思うよ！最低限、これだけは守っとかないと、あなたのWebサービス、攻撃されちゃうよ！ちなみに、言語はPHPを例とするよ！ほかの言語にも当てはまるから、攻撃方法と対策をセットで頭に入れておくこと！クロスサイトスクリプティング (XSS) よくきくよ

ikd9684 2013/05/25

リンク

もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog

たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ

ikd9684 2012/06/10

リンク

初心者Webアプリケーション開発者がチェックすべき情報源2011 - ハニーポッターの部屋

毎年恒例の診断前準備として開発者向けに、「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。上から重要な順。★がとりあえず読んどけ、の必須。必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているもの。徳丸本を必須に入れるか迷ったけど、あの厚さは、万人は読めないので、上位ランクだけど必須からははずした。 ★Webサイト構築安全なウェブサイトの作り方改訂第5版 http://www.ipa.go.jp/security/vuln/websecurity.html 携帯ウェブサイトの実装方法を追加セキュリティ実装チェックリスト（Excel形式、33KB）安全なSQLの呼び出し方（全40ページ、714KB） ★発注仕様発注者のためのWebシステム／Webアプ