CloudFront + S3 で署名付き Cookie でプライベートコンテンツを配信する | DevelopersIO
CloudFront でプライベートコンテンツを配信 CloudFront でプライベートコンテンツを配信するには、署名付き URL を使う方法が以前からありました。それに加え、今年3月に署名付き Cookie が使用できるようになりました。 Amazon Web Services ブログ: Amazon CloudFront 署名付きクッキーによるプライベートコンテンツ配信 ということで、今回は CloudFront の署名付き Cookie を使ったプライベートコンテンツの配信を試してみたいと思います。 オリジンアクセスアイデンティティの設定と CloudFront キーペアの作成 署名付き Cookie を使ったプライベートコンテンツの配信を行うには、まず以下の作業が必要です。 オリジンアクセスアイデンティティの設定 CloudFrontキーペアの作成 これらについては以下の記事と全
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第4章 セッション対策：セッション乗っ取り：#1 セッションIDとセッションID侵害手口
まず、セッションを維持するためのセッションIDを搬送する3つの手段に関する考慮事項を述べる。次に、セッションIDを侵害する手口を大きく3つに分類して示す。 セッションを維持する仕組み Webブラウザと Webサーバの間の通信に用いられる HTTP（Hypertext Transfer Protocol）には、セッション、すなわち複数のWebページからなる操作の流れを維持するための仕組みが十分には備わっていない。 そこで、WebアプリケーションエンジンあるいはWebアプリケーションそのものがセッションを維持する仕組みを実装することが多い。しばしば用いられる手順は次のようなものである。 あるタイミングでサーバ側が識別子をブラウザに向けて発行する ブラウザからサーバに送られるリクエストにはその識別子が含まれるようになっている サーバはその識別子にもとづいてセッションを維持する ここでは、この識別
Cookie の仕様とセキュリティ | yunabe.jp
このドキュメントの目的は Cookie とは何かを一から説明することではないので、そもそも Cookie とは何で何に使えるのかといった話はWikipedia の Cookie の記事などを参考にして下さい。 ここでは Cookie がどういうものかは大体理解しているという前提で、仕様の確認をしていきます。 目次 Set-Cookie ヘッダを使って Cookie を保存する Cookie を参照する JavaScript を使って Cookie を保存・参照する Cookie の属性 domain 属性 path 属性 max-age と expire secure httponly その他 クッキーと port 番号 Cookie が絡むセキュリティ関係の問題 通信路上でのクッキーの漏洩 クロスサイトスクリプティング (Cross Site Scripting, XSS) Set-Co
Cookie のセキュア属性を確認する方法★Chrome★
Chrome のデベロッパーツールでの Cookie のセキュア属性確認方法 Chrome を起ち上げ、右クリック「要素の検証」または「command + option + i」または「commando + option j」でディベロッパーツールを起動する。 上部メニュー「Resources」を選択する。 左メニュー「Cookies」の欄からクッキーを選択する。 右側の項目「Secure」を確認する。 一言で言えば、「デベロッパーツール > Resources > Cookies > Secure でクッキーのセキュア属性を確認」ですの。 これで、チェックがついていればセキュア属性が有効と判断できると考えています。 おわりに 今回はほぼまちがいないと思う一方で、確証のないままメモ的に投稿いたしました。クッキーのセキュア属性の確認方法はこれで問題無いと考えています。 ですけれども確信が得ら
curl を使って Web API をテストする(2)
curl を使って Web API をテストする(2) 2014/7/7 2015/1/29 Linux, UNIX一般, Web 前回は Web APIをテストする時によく使う curl のオプションについて解説しました。 * [curl を使って Web API をテストする(1)](http://lovepeers.org/2014/06/30/curl-web-api/) 今回はよく使うシチュエーションをいくつか挙げて、curl の具体的な使い方を解説します。 ## GETリクエストを送信 一番基本的なGETリクエスト送信。 リダイレクトが発生することを考慮して、”-L” オプションを付けておくと良いでしょう。 curl -L http://api.examples.com/ レスポンスヘッダも見たい時は、”-i” オプションを付けます。 curl -i -L http://api
「CSRF」と「Session Fixation」の諸問題について
1 「CSRF」と「Session Fixation」 の諸問題について 独立行政法人産業技術総合研究所 情報セキュリティ研究センター 高木 浩光 http://staff.aist.go.jp/takagi.hiromitsu/ 情報処理推進機構 ウェブアプリケーション 開発者向けセキュリティ実装講座 2006年2月28日, 4月4日 後日配布資料 2 目次 • 前提知識の確認 – Webアプリにおけるセッション追跡と認証の実装手段 – セッションハイジャック攻撃の原理と脅威 • CSRF (Cross-Site Request Forgeries) 別名: Session Riding – 歴史的経緯、原因、脅威、技術的対策、適法な存在推定手段 • Session Fixation – 歴史的経緯、原因、脅威、技術的対策、適法な存在推定手段 3 セッション追跡と認証の実装手段 • セッ
広告配信事業者のためのスマートデバイスデータまとめ - Qiita
スマートデバイスデータについてまとめてみました。 間違っている部分は、逐次修正いたします。 データ分類 Webデータ スマートデバイス上のブラウザでWebサイトに訪れた際に取得できるデータ データ取得のために、javascriptタグを導入する必要がある ユーザー識別子: Cookie 取得可能な情報 ユーザー情報 : IP / UA / リファラ / Cookie ページ情報 : metaタグ / ページURL 広告配信情報 : キャンペーンID / クリエイティブID / プレイスメントID 端末情報 : センサー系（位置, 端末加速度, ジャイロ） 参考：http://www.tagindex.com/javascript/user/browser.html iOS 主要ブラウザ - safari, Chrome 3rdPartyCookieの書き込みができない（safari） An
TCP Fast Open – Webを速くするためにGoogleがやっていること Make the Web Faster 4 –
TCP Fast Open – Webを速くするためにGoogleがやっていること Make the Web Faster 4 – Jxck HTTPは、その下層にあたるトランスポートレイヤーのプロトコルとして、通常TCPを使用します。 したがって、TCPのレイヤで速度が改善することは、そのままWebの高速化につながる可能性があるといえます。 GoogleはWebを速くするための活動として、TCPのようなプロトコルレイヤの改善にも取り組んでいます。 今回はその中の一つ、TCP Fast Openを取り上げ、解説と動作検証、簡単なベンチマークを行います。 検証環境等は最下部に記載します. Make the Web Faster: TCP Fast Open 3 Way Handshake TCPは、「正確、確実にデータを届ける」ことを重視した設計になっています。 特に接続確立時には、双方の状
cookie syncとpiggy backの違い～マーケター目線で見たクッキーシンクとピギーバックの違い～ : アドテク日記
「アドテク日記」について 始めまして都内でとある広告関連企業に勤めている何某です。 当ブログではアドテク関連のあれこれに関して解説していきます。 用語解説とかまるっとした業界の話とかニュース等の時事ネタの解説とか、その辺は需要を見つつ柔軟に書いていこうと思います。 それでは早速、最初の記事はcookie sync(クッキーシンク)とpiggy back(ピギーバック)の違いに関して書きます。 なかなかこの辺を解説しているページが見つからなくて、僕も調べるのが大変だった記憶があるので。 cookie sync(クッキーシンク) と piggyback(ピギーバック)の違い cookie sync(クッキーシンク) と piggyback(ピギーバック)ってそもそも何に使うの 簡単に言うと、どちらも広告(配信)ツールの連携方法です。 現場のマーケター目線で見るとDMPを何かしらと連携したいとい
WineHQ - Run Windows applications on Linux, BSD, Solaris and macOS
What is Wine? Wine (originally an acronym for "Wine Is Not an Emulator") is a compatibility layer capable of running Windows applications on several POSIX-compliant operating systems, such as Linux, macOS, & BSD. Instead of simulating internal Windows logic like a virtual machine or emulator, Wine translates Windows API calls into POSIX calls on-the-fly, eliminating the performance and memory pena
オプトアウト等 – DDAI
本サイトでは、DDAIに参画している各企業のユーザーデータを利用したインターネット広告配信を停止(オプトアウト*)することができます。 ただし、オプトアウトはクッキー技術を利用したターゲティングを停止するものであり、広告配信自体を停止するものではありません。 オプトアウトをしていても以下のような理由で同じ広告が表示されることがあります。 ・同じ広告が別のサービス経由で配信されている場合 ・同じ広告がターゲティング無しで配信されている場合 オプトアウトに関するよくあるご質問については、こちら。 iPhone、iPad 等の iOS、macOS や Safari ブラウザをお使いの方は、第3者によるトラッキング(追跡)がデフォルト（初期設定）で無効になっています。 よって、本サイトでのオプトアウトが正常に行えないように見えますが、問題はありません。 トラッキングの制限について、詳しくはこちらの
ユーザーによる消去不能なスマホのターゲティング広告用ゾンビクッキーの利用が停止される模様
スマートフォンやタブレット端末の各ユーザーに応じたターゲティング広告を配信するために、ユーザー自身で消去できないいわゆる「ゾンビCookie」を悪用して広告を配信していたネット広告会社Turnが、このたびゾンビCookieの使用を中断することになりました。 Turn — ‘Zombie’ Cookie ID to be suspended pending re-evaluation https://www.turn.com/blog/zombie-cookie-id-to-be-suspended-pending-re-evaluation Zombie Cookies Slated to be Killed - ProPublica http://www.propublica.org/article/zombie-cookies-slated-to-be-killed 2014年冬にスマ
GoogleAnalyticsのCookieは、なぜサードパーティCookieではなく、ファーストパーティCookieなのか？
トップ コラムGoogleAnalyticsのCookieは、なぜサードパーティCookieではなく、ファーストパーティCookieなのか？ ブログをご覧頂いている皆さん、こんにちはニコライです。Nexalではテクニカルエンジニアとして勤めています。技術的な観点から、皆さんの業務にお役立て頂けそうな情報を更新して参ります。今後とも宜しくお願いします。 初投稿のお題は、GoogleAnalyticsのCookieについてです。 公式ヘルプによると、GoogleAnalyticsではアクセス解析の仕組みとしてCookieを利用しており、且つそれはファーストパーティCookieであると謳われています。ただ、これには合点がいかない方も多くおられるようです。「Googleのサーバと通信しているのだから、サードパティではないのか？なぜファーストパーティ？」という疑念があるからです。以下が公式ヘルプの一
CSRF 対策用トークンの値にセッション ID そのものを使ってもいい時代は終わりつつある - co3k.org
CSRF 脆弱性対策には攻撃者の知り得ない秘密情報をリクエストに対して要求すればよく、そのような用途としてはセッション ID がお手軽でいいよねという時代があったかと思います。 いや、もちろん、 CSRF 対策の文脈だけで言えば今も昔も間違いというわけではありません。セッション ID が秘密情報であるのは Web アプリケーションにおいて当然の前提ですので、 CSRF 対策としてリクエストに求めるべきパラメータとしての条件はたしかに満たしています。 たとえば 『安全なウェブサイトの作り方』 改訂第6版では以下のように解説されています。 6-(i)-a. (中略) その「hidden パラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。 (中略) この秘密情報は、セッション管理に使用しているセッション ID を用いる方法の他、
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Redirecting…
CSRF対策用トークンの値にセッションIDそのものを使ってもいい時代なんて、そもそも無かった