IPAが「安全なWebサイトの作り方」改訂版を公開，CSRFの解説などを追加
情報処理推進機構（IPA）は11月1日，安全なWebサイトを構築・運用するためのポイントをまとめたドキュメント「安全なウェブサイトの作り方」の改訂版（改訂第2版）を公開した。改訂版ではクロスサイト・リクエスト・フォージェリ（CSRF）の解説などを追加した。 同ドキュメントの第1版は2006年1月末に公開された。ドキュメントでは，IPAへの届け出件数が多かった脆弱性や，攻撃を受けた場合の影響が大きい脆弱性を取り上げ，それらを作りこまない実装方法や影響を軽減できる実装方法を具体的に紹介している。 改訂版では，第1版で取り上げた「SQLインジェクション」「OSコマンド・インジェクション」「ディレクトリ・トラバーサル」「セッション管理の不備」「クロスサイト・スクリプティング」「メールの第三者中継」に加えて，「CSRF（Cross-Site Request Forgeries）」と「HTTPヘッダー
akiyan.com : 新たなXSS(CSS)脆弱性、EBCSS
新たなXSS(CSS)脆弱性、EBCSS 2006-03-30 かなりヤバめなXSS的攻撃方法が見つかりました。詳細は以下のリンク先をご覧下さい。 文字コード（SJIS）とHTMLエンコードとCross-Site Scriptingの微妙な関係 文字コードとHTMLエンコードとCross-Site Scriptingの微妙な関係 (EUCの場合、UTF-8の場合) 何がヤバいのかというと、この攻撃方法に対する根本的対策がほとんどのサイトで行われていないと思われるからです。 今までCross-Site Scripting脆弱性への対策はHTMLで使われる文字列を実体参照に変換するのが基本でした。しかし、マルチバイト文字列の仕様を突いて半端な文字列を送信しクオート文字を無効化（escape）することで、実体参照に変換されていてもスクリプトの実行が可能なケースがあることが判明したのです。 ちなみ
携帯電話からのWeb利用の安全性は、十分に配慮されているだろうか？ | スラド セキュリティ
米国でiPhoneが発売され、いよいよ日本国内の携帯のガラパゴス文化が際立ってきている気がする今日この頃だが、皆さんは「携帯電話からのWeb」をどれくらい利用しているだろうか？ そして、そのセキュリティをどれだけ気にしているだろうか？ 6/24の高木浩光氏の日記「ケータイWebはそろそろ危険」では、 GoogleとKDDIの提携により実現されているWeb検索機能が、検索結果でのURLが自明でないという指摘がなされている。サービスを提供する側、利用する側に存在した「あまり遠くへ行かない」という暗黙の了解が通用しなくなっているのに、ユーザを保護する仕組みは旧来の前提を頑なに固持したまま実装されている、という事が解る。一方で、海外のケータイはどうかというと、ITmediaの7月2日の記事などが一つの参考になるだろう。 また、高木氏の6/29の日記「EZwebサイトでSession Fixatio
ockeghem(徳丸浩)の日記 - XSS対策:どの文字をエスケープするべきなのか － コメント#1
ITproの連載中に、id:hasegawayosukeさんから以下のようなコメントをいただいていました。 対策遅らせるHTMLエンコーディングの「神話」：ITpro - 葉っぱ日記 全ての文字をエスケープしようなどと非現実的なことは言わないけれど(とはいえMicrosoft Anti-Cross Site Scripting Libraryのようにほとんど全ての文字を実体参照に置き換えるものもあるので、あながち非現実的とも言えないのかも知れない)、エスケープ対象を「'」「"」「<」「>」「&」の5文字に限定しているのは何かこの記事に書かれていない理由があるはずだと思ったからです。 はてぶの方は見ていましたが、日記の方を見落としていまして、お返事が遅れました(_ _)。 なぜ、「<」、「>」、「&」、「"」、「'」の5種類の文字をエスケープするのかについては、色々考えるところがあります。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA セキュア・プログラミング講座：Webアプリケーション編
http://jaist.dl.sourceforge.net/sourceforge/owasp/OWASP_Top_Ten_2004_Japanese.pdf
https://www.nic.ad.jp/ja/materials/iw/1999/proceedings/C04.PDF
Microsoft PowerPoint - tic-oss4-takagi.ppt
[ThinkIT] 第1回：Webアプリケーション開発者が知っておくべきセキュリティ (2/3)