T.Teradaの日記 - ログイン直後のレスポンスの返し方
多くの会員制Webサイトでは、ID/PWによるログイン処理がある。ユーザにログイン画面を提示し、ユーザがフォームにID/PWを入力してsubmitする。ID/PWがOKであれば、ユーザのブラウザにはログイン後の画面が表示される。 以下に、これを実現するための2通りのシーケンス図を描く。セキュリティの観点で望ましいのはA、Bのどちらだろう？というのが今回のテーマ。 Aではログイン要求に対してHTTPステータス200応答とともにログイン後画面をブラウザに返している。Bではログイン要求に302応答を返して（HTTP1.1では303応答）、ログイン後画面にリダイレクトしている。 結論を言うと、セキュリティの観点では、私はBの方が望ましいと考えている。 逆に言うと、Aにはどうにも気に入らないところがある。それは、ID/PWを含むリクエストに対して200応答を返していることだ。200応答のページは、ブ
NECも参入，“SoftEther型ソフト”に再評価の動き
IPネットワーク上に仮想的なLAN環境を作り出し，外出先から社内のLANに手軽に接続できるソフト「SoftEther」。筑波大学の学生である登大遊氏（ソフトイーサ会長）が2003年末に公開して話題を集めたが，ユーザー企業の反応は批判的なものが目立った。セキュリティ・ホールができるとの理由から，社員の利用を禁じる事例が相次いだ。 SoftEtherを開発した登氏はその後，認証機能やスループットを強化した後継版として「PacketiX VPN」を開発。また，フリービットも類似の機能を備えた「Emotion Link」を販売している。本稿ではこれらを総称して「SoftEther型のソフト」と呼ばせていただく。 しかし筆者は最近，「企業がSoftEther型のソフトを再評価する動きが出てくるのではないか」と思うようになっている。単にソフトの機能強化が進んだからだけではない。企業のLANのセキュリテ
ウノウラボ Unoh Labs: mod_proxy_balancer 小技集
こんにちは sato です。 ベンチャーでは高価なハードウェアバランサなどを購入することはできないですが、 apache2.2 から mod_proxy_balancerという apacheモジュールの ソフトウェアバランサが 追加されたので、フォト蔵でも使用しています。 今のところ proxy サーバがボトルネックになることはないです。 想定構成は以下とし、apacheは 2.x を使用しました。 proxy1 +------web1 +------web2 ... +------webN ・基本設定 httpd.conf LoadModule proxy_module modules/mod_proxy.so LoadModule proxy_balancer_module modules/mod_proxy_balancer.so ProxyPass / ba
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
