こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！
［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！：第1回 HTTPのしくみを復習しよう｜gihyo.jp … 技術評論社
こんにちはこんにちは ! ! はまちや2です！ 今日からぼくと一緒にWebプログラミングのセキュリティについて、ちょっぴり勉強してみませんか！今回はHTTPがどんなやりとりをしているのか、簡単におさらいしてみましょう！
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
ITmedia エンタープライズ：大量の「はまちちゃん」を生み出したCSRFの脆弱性とは？
「mixi」上で、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手にアップされてしまうという現象が多発した。その原因はCSRFの脆弱性だ。 4月19日以降、ソーシャル・ネットワーキングサイトの「mixi」で、URLをクリックすると勝手に「ぼくはまちちゃん！」というタイトルで日記がアップされてしまうという現象が多発した。 サービスを提供しているイー・マーキュリーでは、この現象について一応の対処は取った模様だ。ただ、技術的な詳細については「ハッキングでもなく、サーバ攻撃やウイルスでもない。ID盗難などの被害は発生していない」という回答のみで、「それ以上はコメントできない」と述べるにとどまっている。 だがある意味、このコメントは正しい。「はまちちゃん」現象は、ウイルスなどの仕業ではないからだ。 正規ユーザーの操作で「意図しない」結果に URLをクリックすると勝手に日記が書き込まれ
セキュリティ過敏症 - ぼくはまちちゃん！(Hatena)
初心者はPHPで脆弱なウェブアプリをどんどん量産すべし ↑のブックマーク うん。増田くんはいつもいいこと書くね！ ブックマークの方には 危険だとか迷惑だとか踏み台だとか色々かいてあるけれど(というか踏み台ってなんだろ？) そんなに大切な個人情報をたくさん扱ってるサイトなんてどれだけあるかな。 みんなそういうサービスつくってるの？ なんかすごいね。 ぼくの使っている範囲だと、(提供側が気をつけていないと) 本当にまずいのは銀行と証券とカード会社のような、お金のからむサービスくらいだよ。 もちろん、他にメール内容だとか、購読しているフィードだとか、知られたくない個人情報なんてのは、人によってたくさんあるよね。 だけど、例えばぼくがメールサービス作りましたなんて言ったら誰か使う？ それか無名の団体だったらどうかな。それで大切なメールやりとりしちゃうの？ そう。そもそも、利用者もそれほどバカじゃな
初心者はPHPで脆弱なウェブアプリをどんどん量産すべし
http://www.rubyist.net/~matz/20080126.html#p04 趣味でやってるプログラミング初心者の立場で言わせてもらう。だいたいな、あんたらプロのプログラマが小難しい顔してセキュリティセキュリティ言うもんだから初心者プログラマのセキュリティ意識がまったく向上しないばかりか、よけいに低下するんだよ。ごちゃごちゃ言われたり叩かれるのはイヤだけど、眼前の問題はプログラムで解決したいってヤツは耳塞いで黙ってPHPでやりたいようにやるんだよ。何が「楽しいRuby」だよ。「Webアプリケーションをなめるな」ってその時点でもう全然楽しくねーだろが。 それでこれだよ。 http://d.hatena.ne.jp/essa/20080130/p1 もう萎縮萎縮！初心者超萎縮ですよ。「あーセンコーうぜー。隠れてタバコ吸おう」って高校生の心境だよ。難しい顔して訳知り顔でかっこつけ
おごちゃんの雑文 » Blog Archive » 「はまちちゃん」をspamと断じる思考停止
「Amebaなう」なるtwitterの真似にインスパイアされたサービスが始まって、さっそくは「はまちちゃん」の餌食になっている。 ミニブログ「Amebaなう」モバイル好調でPC版を前倒し、スパム被害も広がる 自分達の気に入らないものを悪しざまに言うのは同情出来ないことではないのではあるが、これを「スパム」と言ってしまうのは思考停止ではないか？ 例によってはまちちゃんは脆弱性を突いて「こんにちはこんにちは！！」を出しつつ自分をフォローさせるトラップを仕掛けたようだ。まぁ、彼を知っている人なら、「お手軽フォロークリック」で便利でいい。って、私はAmebaのアカウントを消したばかりなんで、祭に参加出来なかったんだけど(Amebaはアカウントを消すとしばらく同じアカウントは使えなくなる)。 で、まぁ、これは「いつもの」でしかない。彼を知る人からすれば「いつやるのか」だけが問題であって、やらかさなか
高木浩光＠自宅の日記 - クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法
■ クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古く から存在したこの問題がなぜ今まであまり注目されてこなかったかについて考 えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 しかし、 @ITの記事などのように混乱させる解説も散見されるので、一点だけ対策 方法について書いておくとする。 クロスサイトリクエストフォージェリ――Cross-Site Request Forgeries (CSRF)を防止する簡潔で自然な解決策は以下のとおりである。 前提 ログインしていないWeb閲覧者に対するCSRF攻撃（掲示板荒らしや、ユーザ登 録を他人にさせる等、サイト運営者に対する業務妨害行為）はここでは対象と しない。 ログイン機能を持つWebアプリケーションの場合、何らかの方法でセッション 追
1ヶ月間だけ、思い切りがんばれば。
いろいろと窮屈そうに生きているあの人のために、 今は少し気楽に生きている自分のロジックを思いつくままにアウトプットしてみようと思った。 偉そうに見えても、笑って許して。 「ちょっと」を毎日。 現状を変える一発逆転があると思うかもしれないけど、どうやら近道はないみたいです。 毎日少しずつ、少しずつ努力を積み重ねるしかない。まったく人生ってやつは。まったく。 毎日努力している人にはどんな天才も絶対に及ばない。断言していいです。 大事なのは毎日（毎日じゃなくてもいいんだけど、常日頃）続けること。 とにかく結果を焦らない。落ち着けって。 今日の努力が実を結ぶのは、だいたい1年後。のんびり行くしかないですよ。 ちょっとだけやる。「ちょっと」が超大事。 ダイエットしようと思って、いきなり5キロ走るから辛くなる。初日は着替えて玄関出るところで終了。 だけど、やろうと思ったらその日のうちにやる。絶対やる。
ステップ数×バグ率＝バグ数？
以前いた職場での話。 プログラムの行数から「想定されるバグ数」を算出し、その数に近づくか越えるまではテストが不十分とみなす、というもの。 そりゃ、バグ収束曲線とかは学校で習うけどね。 …そういうもの？ 投稿日時 : 2007年8月19日 22:24 Feedback # re: ステップ数×バグ率＝バグ数？ 2007/08/19 22:56 Ognac バグ数が少ないとヤイヤイ言われるので、技とバグを埋め込み辻褄あわせをするふざけた輩が以前のプロジェクトにいました。ダメ管理方法を採用すると要員とプロジェクトが腐っていく...ああ無常..合掌。 # re: ステップ数×バグ率＝バグ数？ 2007/08/19 22:58 凪瀬 なぁに、目的があってルールを定めたら、ルールだけが残って目的が忘れられただけですよｗ # re: ステップ数×バグ率＝バグ数？ 2007/08/19 22:58 Ogn
サーバインフラエンジニアについて思うことを『小悪魔女子大生のサーバエンジニア日記』に触発されて書いてみた - As a Futurist...
サーバインフラエンジニアはモテるとの噂が最近絶えないわけですが、そんな僕達注目の書籍『小悪魔女子大生のサーバエンジニア日記』がついに刊行されましたので早速ゲットしてみました。紀伊国屋の店頭取り置きサービスというすばらしいサービスを使わせてもらったのですが、取りに行った時に「書籍の名前はなんでしょうか？」「こ、小悪魔女子大生の・・・」とか言わせんなよ恥ずかしい＞＜ かわいい絵だけど中身はガチ すでに一部界隈では有名になっているこちらのブログの書籍化です。まったくの素人だった女子大生がだんだんと知識を吸収していく様を見ていると、「俺が教えたかった orz」という思いが、、、じゃなくて、すごい細かいところまで内容としては盛り込まれていて、すごいですね。 絵については僕がとやかく言う事ないですが、最後の加藤さんのコメントにもある通り、内容としては小悪魔さんと同じように全くの初心者向けというよりは、
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイジングとチューニングの必要性