Pマークを要件とする入札は不公正 | 水無月ばけらのえび日記
事業は一般競争入札で発注し、誰でも参加できる形にしていたが、入札直前に天下り先以外の参加が難しい条件をつけてライバルを排除していた。 「難しい条件」の具体的な内容は書かれていませんが、左の図を見ると「Pマーク」が利用されていたようですね。琉球新報に詳しい記事が出ていました……「天下り法人が独占 防衛省の防音工事補助金手続き代行 (ryukyushimpo.jp)」。 防衛省によると、同業務の発注は一般競争入札だが、個人情報を管理できる団体を第三者機関が認証して交付する「プライバシーマーク（Ｐマーク）」の認証を持つ業者か、申請中の業者しか入札に参加できない。Ｐマークの認証は５人規模の事業者でも３０万円ほどかかるという。 以上、天下り法人が独占 防衛省の防音工事補助金手続き代行 より 入札の要件としてPマークを必須とすれば、Pマークを取得できないような企業は排除されます。それを意図的に、天下り
OAuthが活用されない | 水無月ばけらのえび日記
公開: 2010年4月2日17時15分頃 こんなサイトがあるようで……つぶやきタカ！ボード (wing.softbankhawks.co.jp)。 アクセスすると、いきなりログイン画面になり、「Powered by Twitter」と書いてあってtwitterのパスワードの入力を求められますね。その際のドメインは http://wing.softbankhawks.co.jp/ で、twitterとは縁もゆかりもないドメインです。 こういうことをしなくても良いように、OAuth という仕組みが用意されています。OAuthを使うと、IDとパスワードをtwitterのドメインで入力して認証を行うようにすることができます。 せっかくそういう機能があるのですから、活用してほしいですよね。 ※逆に利用者としては、「twitterにはOAuthという仕組みがあるのだから、まともなサイトがこんなことをす
クラウドを自社ドメインで運用する苦労 | 水無月ばけらのえび日記
公開: 2010年3月28日20時50分頃 「音楽著作権団体らの杜撰なアンケートがフィッシング被害を助長する (takagi-hiromitsu.jp)」というお話が。これはひどいと思いますが、問題は2つありますね。 フォームが別ドメインになっており、その事についての説明がない「個人情報を第三者に提供、委託いたしません」という説明をしておきながら、第三者の管理するサーバに個人情報を送信させている後者に関しては問題としてはシンプルで、単に虚偽の説明がなされているという話ですね。規約とかどうせ誰も読んでない……とは良く言われますが、掲載している本人でさえもロクに読ずにコピペしているのが実情でしょう。確認もしないで嘘を書くくらいなら、最初から書かなければ良いのにと思いますが。 それはそれとして、フォームが別ドメインになっている話は興味深いです。最近は「クラウド」とかなんとか言って外部のサーバでサ
ガラパゴスに支えられる携帯サイトのセキュリティ | 水無月ばけらのえび日記
公開: 2010年3月6日14時20分頃 モバツイ (www.movatwi.jp)作者のえふしんさんが、こんなつぶやきを。 携帯サイトは、閉じられた環境であることを前提として作られている場合があります。すなわち、以下のような前提です。 利用者が自由にHTTPリクエストをしたり、リクエストパラメータを改変することはできないこれはPCサイトでは全く通用しない話です。通常のインターネットからの接続では、telnetなどで好きなデータを送信できますので、通信内容はいくらでも改変できてしまいます。 PCサイトの場合は、それでも問題ありません。攻撃者はリクエストを改竄できますが、ターゲットになりすますためには、ターゲットの識別情報を入手する必要があります。PCサイトで標準的に使われる識別方法は、Cookieを発行することで端末(ブラウザ)を識別するという方法です。Cookieは発行したサイトにしか送
CSRF対策は基本? | 水無月ばけらのえび日記
コミュニティーサイト構築に詳しい専門家は、「CSRF対策は基本的なところ。Amebaなうが対策していなかったのは意外だ」と話している。 「CSRF対策は基本的なところ」と言われると、発見も対処も容易であるような印象を受けますが、これは少し違和感がありますね。 半年ほど前の話ですが、弊社 (www.b-architects.com)のクライアントが新規のECサイトを立ち上げるにあたって脆弱性診断をしようという話になり、外部の会社に見積もり依頼をしたことがあります。その際、業界では知らない人がいないような大手会社の診断メニューも見せていただきました。 そこで印象的だったのは、標準とされるプランにCSRFの診断が含まれていなかったことです。標準のコースにはXSSやSQLインジェクションの診断が含まれますが、CSRFは「アドバンスド」プランの方にしか含まれていませんでした。普通のサイトではXSSや
対策としての入力値チェックは…… | 水無月ばけらのえび日記
まっちゃ445の懇親会で、大垣さんと徳丸さんとのやりとりが話題になっていました。 ホワイトリストはどう作る? (blog.ohgaki.net)ホワイトリスト方式の優位は神話 (www.tokumaru.org)プログラミングではホワイトリスティングが基本 (blog.ohgaki.net)プログラミングではホワイトリスティングが基本ではない (www.tokumaru.org)今こそXSS対策についてまとめよう (www.tokumaru.org)……なんというか、何について議論されているのかがよく分からない感じがしますね。 徳丸さんは以下のように述べられていますが、 これは「ホワイトリストかブラックリストか」という以前の話で、そもそも入力値チェックをXSSの「対策」とすること自体が不適切なのだ、と言われているのだと思います。これはその通りだと思います。 たとえば、このサイトには掲示板が
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
安全なテンプレートシステムはあるのか | 水無月ばけらのえび日記