ブラウザからDBに行き着くまでただまとめる
はじめに あなたはブラウザからデータベース(DB)に情報が行き着くまでにどんな技術が使われているか説明できますでしょうか？ どのようなプロトコルが用いられ、どの技術を駆使してサーバと通信しているのか、Webサーバでは何が行われ、どのようにして負荷が分散されているのか、トランザクションはどのように管理されているのか、そしてデータベースではシャーディングや負荷対策のためにどのような対策が取られているのか… なんとなくは理解しているものの、私は自信を持って「こうなっている！！」とは説明ができません。 そこで今回は「大規模サービス」を題材としてブラウザからデータベースに至るまでの、情報の流れとその背後にある技術について、明確かつ分かりやすく解説していきたいと思います。 対象としてはこれからエンジニアとして働き出す、WEB、バックエンド、サーバーサイド、インフラ、SREを対象としております。 1.
2023年4月においてクリックジャッキング未対策のサイトはどの条件で被害を受けるか
サマリ CookieやlocalStorage等でセッション管理しているウェブサイトがクリックジャッキング対策していない場合、どの条件で被害を受けるかを説明する。SameSite属性のないCookieでセッション管理しているウェブサイトは、主要ブラウザのデフォルト設定ではクリックジャッキングの影響を受けない。一方、loaclStorageにトークン類を格納するウェブサイトでは、Google Chrome等のブラウザでクリックジャッキングの影響がある。また、ブラウザの設定を変更した場合の影響についても説明する。 クリックジャッキングとは クリックジャッキングとは、一言で説明すると「ウェブサイト利用者に意図しないクリック（タップ）をさせる」攻撃です。ウェブサイト上で意図しないクリックを勝手にさせられると、重大な結果になる場合があります。例えば、このURLを閲覧すると、以下のようにTwitter
Chromeで発見された脆弱性の総数はSafariの約4倍〜今年は10倍以上 - iPhone Mania
各Webブラウザでこれまでに発見された脆弱性の総数はGoogleのChromeが最も多く、AppleのSafariの約4倍だといいます。 今年発見されたものだけでもChromeはSafariの10倍以上だそうです。 Chromeが最も脆弱性が多く発見されたWebブラウザに Atlas VPNのレポートによると、今年の1月1日から10月5日までに発見されたWebブラウザの脆弱性の数は、Google Chromeが303件でダントツのトップでした。 AppleのSafariが26件なのに比べると10倍以上です。 これまでに発見された脆弱性の総数においても、Chromeは3,159件でSafari（806件）の約4倍に上っています。 シェアの割に脆弱性が少ないSafari より多くのユーザーがいればより多くの脆弱性を調査する研究者が存在するため、発見される脆弱性の数はユーザー数に比例しているよう
2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか
サマリ2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日にFirefoxも同様の仕様が導入されました。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブサイト側でCSRF対策をしていなくてもCSRF攻撃を受けなくなります。この記事では、デフォルトsamesite=laxについての基礎的な説明に加え、最近のブラウザの挙動の違いについて説明します。 （2022年1月29日追記） 本日確認したところ、Firefoxにおけるデフォルトsamesite=laxはキャンセルされ、従来の挙動に戻ったようです（Firefox 96.0.3にて確認）。デフォルトsamesite=lax自体は先行してGoogle Chromeにて実装されていましたが、細かい挙動の差異で既存サイトに不具合が
Firefoxは危険なJavaScriptに対応しない - Qiita
Firefox / Safari MozillaはMozilla Specification Positionsというリストを公開しています。 IETFやW3C、TC39などが提唱しているWeb技術に対して、Mozillaはどのように評価しているかという立ち位置を表明したものです。 あくまで現時点での評価であり、もちろん今後の仕様変更などに伴い評価は変わる可能性があります。 Mozilla's Positions Mozillaはどのように評価しているかの分類。 under consideration 評価の検討中。 important 優れた概念であり、Mozillaにとっても重要である。 worth prototyping 優れた概念であるが、プロトタイプを作成し、フィードバックを得て磨きをかける必要がある。 non-harmful 有害ではないが、良いアプローチではなく、取り組む価値
Web Application開発に10080番ポートは使ってはいけない
要約 現在最新のGoogle Chormeで10080番ポートが使用できなくなった Firefoxではすでにブロック済み NAT Slipstreaming v2攻撃への対応のため ブラウザからアクセスするサーバを建てる場合は10080以外のポートにするべき 回避方法は一応ある Chrome 91以降は10080番ポートがブロックされる Google Chormeの91 (2021/05/25 リリース)から10080番ポートへのサーバに接続できなくなります。 例えば Google Chrome 90だと以下のように10080番のポートを受け付けるサーバにアクセスできますが、91以降だとアクセスできなくなります % python -m http.server 10080 Serving HTTP on 0.0.0.0 port 10080 (http://0.0.0.0:10080/) .
ブラウザのFavicon(ファビコン)でユーザーを追跡する「スーパークッキー」とは？
ブラウザのタブなどに表示されるFavicon(ファビコン)は、サイトのシンボルとして重要なアイコンです。しかし、このファビコンにはCookie(クッキー)のようにユーザーを追跡可能な「スーパークッキー」の問題が潜んでいると、研究者らが警鐘を鳴らしています。 Tales of Favicons and Caches – Persistent Tracking in Modern Browsers (PDFファイル)https://www.cs.uic.edu/~polakis/papers/solomos-ndss21.pdf supercookie • workwise https://supercookie.me/workwise ファビコンとは、サイトのシンボルマークとしてタブやURLの隣などに表示される小さなアイコンのことです。 イリノイ大学シカゴ校のセキュリティー研究者らは2021
Engadget | Technology News & Reviews
Tesla is reportedly getting 'absolutely hard core' about more layoffs, according to Elon Musk
WebUSBとは何か、何を引き起こしたか、今どうなっているか
これは WebUSBでレイヤーが低まるWeb開発 ( https://speakerdeck.com/fadis/webusbdereiyagadi-maruwebkai-fa-shibuya-dot-xssban ) にその後起こった問題についての話を書き足したものです
Safariは危険なJavaScriptに対応しない - Qiita
Firefox / Safari 先日Appleが、Safariは幾つかのWebAPIに対応しないと公言しました。 日本語記事も幾つか出ています。 しかし、どのサイトも対応しないAPIの一覧を並べてはいるのですが、それぞれのAPIが具体的にどのようなものなのかを記載した記事が見当たらなかったので、以下はそれらについて調べてみたものです。 対応しない理由 a threat to user privacy、すなわち、あくまでブラウザフィンガープリントなどの手段によって個人を特定・追跡できてしまうからという理由です。 セキュリティ的にも問題なAPIが並んでいるのですが、そちらは理由ではありません。 対応しないWeb API Web Bluetooth caniuse RFC 非公式日本語訳 解説 ブラウザからBluetoothを通して接続先のデバイスにアクセスすることができます。 データ転送形式
最新のユーザーエージェント対応はどうするべきか？ - ICS MEDIA
ユーザーエージェント文字列は、ユーザー分析やデバイス・ブラウザーで処理を分けたい時に広く用いられています。取得方法は昔からあまり変わっておらず、ウェブブラウザーの種類・バージョン・プラットフォームごとに固有の文字列を取得しています。 実は、この文字列が近い将来固定化され、正常に情報を取得できなくなってしまうことをご存知でしょうか？ 今回はユーザーエージェント文字列の変遷を追いながら、現在策定されている新しいユーザーエージェント仕様である「User-Agent Client Hints」の概要を紹介します。 User-Agent Client Hintsの使い方、ユーザーエージェント文字列が固定化された時の対応についてもまとめています。 旧来のユーザーエージェント判別方法 従来のユーザーエージェント文字列取得は、navigatorオブジェクトのuserAgentプロパティを参照する方法です。
アンカー上の target=_blank が rel=noopener を暗示するようになりました | Firefox サイト互換性情報
リリース: Firefox 79 カテゴリー: DOM, HTML, プライバシー & セキュリティ 概要Firefox 79 以降、target="_blank" を伴った <a> や <area> 要素は、現行の HTML 仕様 に従い、rel 属性が設定されていない限り暗黙的に rel="noopener" を適用します。noopener リンクタイプは新たに開かれたウィンドウ内の window.opener を null とすることで、この DOM プロパティが信頼できない第三者のサイトによって悪用されるのを防ぎます。必要な場合は、rel="opener" を明示的に設定することで挙動を反転させられます。 Apple は 2019 年 3 月公開の Safari 12.1 で最初にこの変更を行いました。Firefox では、Firefox 65 以降の Nightly と早期 Be
DNS over HTTPS (DoH) の動向 - セキュリティは楽しいかね？ Part 2
TL;DR 主要ブラウザのサポートによって DoH の普及がますます進みそう DoH はユーザのプライバシー向上に寄与するが、一方でセキュリティ面など懸念材料も多い 一般ユーザにはまずは使ってみることをオススメする (個人の意見です) 企業内では現状はブロックすることをオススメする (個人の意見です) 目次 TL;DR 目次 動向整理 DoH 推進派 DoH 反対派 (おまけ) DoH サポート状況まとめ Browser vendors Firefox (Mozilla) Chrome (Google) Windows (Microsoft) Application / Tool 1.1.1.1 (Cloudflare) cloudflared DOH Proxy Curl goDoH DoHC2 DNSBotnet Publicly available servers Spec Time
大手4社のWebブラウザ、2020年にTLS 1.0と1.1を無効化 - ITmedia エンタープライズ
EdgeとInternet Explorer（IE）11、Safari、Firefox、Chromeで、2020年にTLS 1.0とTLS 1.1が無効化される。 米AppleとGoogle、Microsoft、Mozilla Foundationは10月5日、それぞれのWebブラウザで、TLS 1.0およびTLS 1.1を2020年に無効化する計画を発表した。 TLSは通信の内容を暗号化するHTTPS接続のためのプロトコルで、2019年1月19日でバージョン1.0の登場から20年目を迎える。この間にバージョン1.0と1.1に関連するさまざまな脆弱性も指摘されてきた。IETF（Internet Engineering Task Force）は2018年内に1.0と1.1を非推奨とする予定で、たとえ脆弱性が発見されてもIETFによる修正は行われなくなる。 これを受けてMicrosoftは、E
Chromeそっくりのデザインと挙動でユーザーが気づかないうちにブラウザを置き換える「eFast Browser」
GoogleのブラウザChromeになりすまし、あらゆる関連づけを変更して、Chromeを置き換えるブラウザ「eFast Browser(eFastブラウザ)」について、セキュリティソフトウェア会社が注意喚起を行っています。eFastブラウザは独自のポップアップ広告を表示するだけでなく、プライバシー情報を収集している可能性が指摘されています。 eFast browser hijacks file associations | Malwarebytes Unpacked https://blog.malwarebytes.org/online-security/2015/10/efast-browser-hijacks-file-associations/ Ads by eFast_Browser - how to remove? https://www.pcrisk.com/removal
Webブラウザ各社、暗号アルゴリズム「RC4」の対応終了へ
MicrosoftのEdgeとIE、GoogleのChrome、MozillaのFirefoxは、2016年初めに暗号アルゴリズム「RC4」のサポートを打ち切ると表明した。 米MicrosoftとGoogle、Mozillaは9月1日、それぞれのWebブラウザでHTTPSなどの暗号化通信に使われている暗号アルゴリズム「RC4」のサポートを、2016年初めに打ち切ると表明した。 Microsoftによると、RC4は1987年に登場したストリーム暗号で、Webブラウザやオンラインサービスなどに広くサポートされてきた。しかし、現代の攻撃では数時間から数日で破られることが実証され、同社が参加するInternet Engineering Task Force（IETF）は2015年2月、TLSでのRC4利用を禁じる方針を打ち出していた。 こうした動向を受けてWindows 7～10上のEdgeとIn
ブラウザ新機能はHTTPSサイトのみサポートへ、Mozillaが表明
新機能はセキュアなWebサイトにのみ提供し、セキュアでないWebサイトではブラウザの機能を段階的に利用できなくする、という方向性を打ち出した。 業界でWebのHTTPS化を推進する動きが強まる中で、Webブラウザ「Firefox」開発元のMozilla Foundationが、安全でないHTTPを使ったWebサイトのサポートを段階的に縮小する方向性を打ち出した。 Mozillaは4月30日のブログで、インターネットアプリケーションでの暗号化普及を呼び掛けたIETFやIAB、W3Cといった業界団体の動向に触れ、「HTTPSこそWebの進むべき道だという広範な合意がある」と指摘している。 Mozillaコミュニティでも論議を重ねた結果、（1）日程を決めて、以後は全ての新機能をセキュアなWebサイトにのみ提供する、（2）セキュアでないWebサイト、特にユーザーのセキュリティやプライバシーを危険に
突然「Chromeユーザーの皆様」というメッセージとアンケートが出てきたが、フィッシングなのかこれ？ - しいたげられたしいたけ
「はてな」を見ていたら、ブラウザのChromeに突然次のようなメッセージが表示された。 文面をテキスト化。 本日のラッキーな訪問者はあなたです：April 26, 2015 この簡単な調査を完了していただくと、弊社からの感謝の印として、HD Streaming Movies®のいずれかが当たるチャンスが与えられます 実はこれは履歴から再表示させた画面をキャプチャしたもので、あとで調べたところアドレス欄に m5azz.reward-zone.522.xyz と入力すると、いつでも表示されることがわかった。 うっかり何の躊躇もなく「OK」をクリックしてしまった。 すると「どのくらいの頻度で Chrome を使っていますか？」など、本当に簡単な4つの質問が出てきた。ラジオボタンをクリックすると、即座に次の質問が表示された。 4つの質問に回答すると、次の画面が表示された。 主要な部分をテキスト化。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
新規タブリンクの恐ろしい仕様、Chrome 88で変更へ ～Safari/Firefoxに合わせた安全な仕様に／“rel=noopener”を付け忘れても大丈夫【やじうまの杜】
TLSに新たな脆弱性「Logjam」、多数のサーバーや主要ブラウザーに影響 
