Webデベロッパのためのセキュリティ・チェックリスト | POSTD
安全で堅牢なWebアプリケーションをクラウドで開発するのは 非常に困難 です。それを簡単だと思っているような人は、例えばとんでもない頭脳をお持ちというなら別ですが、遠からず痛い目を見ることになるでしょう。 もし MVP（Minimal Viable Product：必要最低限の機能を備えた製品） のコンセプトを鵜呑みにして、有益かつ安全な製品を1ヶ月で作成できると考えているようなら、プロトタイプを立ち上げる前に一度考え直した方がいいと思います。以下に挙げたチェックリストをご覧いただければ、セキュリティに関するクリティカルな問題の多くをスキップしていることが分かるはずです。あるいは少なくとも、潜在的なユーザに対しては 誠実 であるように心がけ、製品が完全ではないこと、そしてセキュリティが不十分な製品を提供していることを伝えるようにしてください。 このチェックリストはシンプルなもので、決して完
teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記
teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。 エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム 作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。 これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思います。 そのような方々が参考にできるメールフォームを作りたいという思いで、調べて作りました。 周りに書いたコードを確認してもらえる人もいないので、皆様からのアドバイスがほしいです((_ _ (´ω｀ )ﾍﾟｺ 【PHP】作成したメールフォームに脆弱性がないか、アドバイスもらえないでしょうかより引用 どれどれ…と確認すると、トークンのチェックが入っているにも関わらずクロスサイト・リクエストフォージ
bash の脆弱性 "Shell Shock" のめっちゃ細かい話 (CVE-2014-6271) - もろず blog
※(2014/10/1 追記) 脆弱性の番号を誤って CVE-2014-6721 と表記してしまっていました 正しくは "CVE-2014-6271" です 失礼致しました ※(2014/10/7 追記) 2014/10/7 14:00時点で Shell Shock への修正パッチは6個 公開されています 既に対応済みのシステムでもパッチの漏れがないか注意してください シェルに脆弱性が見つかったらしいです このコマンドを実行すると脆弱性があるバージョンかのチェックができるようです $ env x='() { :;}; echo vulnerable' bash -c "echo this is a test" 以下のように表示されたらアウトです vulnerable this is a test どうやら、このコマンドが正常に実行できるというのがこの脆弱性の正体らしく、 echo vuln
これは分かりやすい！強力で忘れにくいパスワードの作り方4つの方法
Facebookや、Instagram など、日頃使っていたサービスがバグの影響を受けていた場合には、パスワードを変えたほうが良さそうです。Credit.comの創設者であり、会長のアダム・レビンさんが、強力で忘れにくいパスワードの作り方をコラムの中で紹介しています。 【どこでも使える・無料だからこそヤバイ？海外でのネット対策3つ】 1 自分が思い出せる文字や数字を、ランダムに組み合わせる お母さんの旧姓、子供やペットの名前は使わないほうが賢明ですが、親等が離れた従兄弟の名前、子供の頃好きだった歌の名前、親友が通った幼稚園の名前などが使えるでしょう。 2 文字を一箇所、数字や記号に変える 例えば、「s」の代わりに、「5」や「$」を使ったり、「e」の代わりに「3」を使います。 3 パスワードの中に句読点や記号を含める 4 あなたが選んだ言葉を、パスワードを使うサイトの名前で囲むことで覚えやす
艦隊これくしょんの通信がとてもじゃないけど見てられない
その文字列検索、std::string::findだけで大丈夫ですか？【Sapporo.cpp 第8回勉強会（2014.12.27）】Hiro H.
間違いだらけのSQL識別子エスケープ
これから3回連載の予定で、SQL識別子のエスケープの問題について記事を書きます。SQL識別子のエスケープについてはあまり解説記事などがなく、エンジニア間で十分な合意がないような気がしますので、これらの記事が議論のきっかけになれば幸いです。 3回の予定は以下のとおりです。 間違いだらけのSQL識別子エスケープ(本稿) SQL識別子エスケープのバグの事例 SQL識別子は結局どうすればよいか ということで、まずはSQL識別子のエスケープの失敗例について説明します。この失敗例はあくまで説明のために作ったもので、実際のものではありません。また、想定が「ありえない」と思われるかもしれませんが、意図的なものですのでご容赦いただければと思います。また、「間違いだらけの」というタイトルは、今回の題材が間違いだらけという意味であり、巷のSQL呼び出しがそうであるという意味ではありません。本稿に登場する人物と団
標準書に見る「パスワードの定期的変更」の歴史(書きかけ放置) - nilnil専用チラシの裏
時折セキュリティクラスタを賑わす「パスワードの定期的変更」ネタ。きっかけは2008年頃の高木先生のはてブだったと記憶。その頃わしはISMSなんぞに手を染めてた頃だったので、セキュリティ標準書とかどうなってるんだと思って、BS (British Standard), DoD, NIST関連文書を2008年3月に少々調べて某SNSに書いて放置していた。 その後こんなしょーもないものを書いたものの、もっと調べてまとめて一般公開したいなぁと思ってきたままずるずると今に至っている訳だが、いつまでも抱えてるのもあれなので、2008年に書いたものをベースに公開することにした。 ツッコミどころは多いだろうが、気になる人は自分で調べて発表してちょ。てゆうかそろそろ技術史研究者が乗り出してほしいとも思う。 ISO/IEC27000シリーズと英BS7799 ISMSの認証基準であるISO/IEC27001"In
IPAの「安全なSQLの呼び出し方」が安全になっていた
(Last Updated On: 2018年8月4日)IPAは「安全なSQLの呼び出し方」（PDF）を以下のURLから公開しています。 http://www.ipa.go.jp/security/vuln/websecurity.html 「安全なSQLの呼び出し方」は危険である、とするエントリを書こうかと思い、内容を確認するとそうでもありませんでした。 訂正：ツイッターで徳丸氏に確認したところ、徳丸氏もエスケープを含めたSQLインジェクション対策が必要であると考えられていた、ことを確認しました。徳丸氏にはセキュリティ専門家として大変不名誉な記述であった事を訂正し、深くお詫びいたします。内容についての修正は、識別子エスケープについてブログに書くとの事でしたのでブログの内容を確認してから修正します。 別冊の「安全なSQLの呼び出し方」は基本中の基本である「正確なテキストの組み立て」によるセ
第55回 「Webアプリケーション調達時の情報システムセキュリティ要求仕様について教えてください」 : [日立]自治体ICT 応援サイト
Q.地方自治情報センター（LASDEC）が「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」を公開しました。この背景を教えてください。 はい。近年、電子申請や施設予約システムなど、自治体のシステムではWebアプリケーションが多く採用されています。一方で、Webアプリケーションの脆弱性を狙ったサイバー攻撃なども発生しています。そのため、システム調達時には機能要件だけでなくセキュリティ要件も仕様書に盛り込んでおく必要があります。さらに、納品後に脆弱性が発見された場合の対策や役割分担も、あらかじめ明確にしておくことが大切です。 しかし、このような「非機能要件」を具体的かつ体系的に仕様書に記述することは、容易ではありません。そこで、安全なシステム運用に必要な要求仕様事項をまとめた「特記仕様書」のサンプルが公開されたのです。 「地方公共団体における情報シス
もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
無線LANのパスワード解析「Pyrit」その他
総当たりでパスワードを全種類試していくという手法を「ブルートフォースアタック」と言いますが、無線LANのWPA/WPA2-PSKをGPUで超高速解析してパスワードを見つけるフリーのオープンソースソフト「Pyrit」が採用している方法もまさにそのブルートフォース攻撃そのもの。そのため、無線LANの暗号化の仕組みのバグやセキュリティホールを突いているわけではなく、時間さえかければそのうち突破できるだろうというある意味「力業な攻撃」であるわけです。 では実際にどれぐらいの速度がかかるのか？という気になる点について、「Pyrit」の公式ブログにて言及したエントリーが2008年にありました。 The twilight of Wi-Fi Protected Access（無線LANセキュリティの黄昏のはじまり、とでもいうような意味） http://pyrit.wordpress.com/the-twi
サルにもわかるＲＳＡ暗号: はじめに
So what kind of ciphers are actually used? Ciphers for authentication purposes include the password mentioned earlier. On the other hand, ciphers for the purpose of hiding information include the famous Caesar cipher and the cryptogram mentioned earlier. The details will be discussed later. This Cryptogram, can you see that the unit to be encrypted […]
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
パスワードを収集するMastodon
メールの暗号化 - とみたまさひろ - Rabbit Slide Show