細かすぎて伝わらないSSL/TLS
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog 「細かいと言うより長いよね」 はじめに こんにちは。ATS の脆弱性を発見した小柴さんや ATS に HTTP/2 の実装を行っている大久保さんと同じチームの一年目、匿名社員M さんからいじられている新人です。今回ありがたい事に、こういったすごい方々を含めモヒカン諸先輩方より「何か書かないの？」「いつ書くの？」という数々のプレッシャーお言葉をいただきました。 というわけで、SSL/TLS の Session 再開機能に関して書いていこうかと思います。 SSL/TLS は機密性、完全性そして真正性に対して安全な通信を行うための仕組みです。しかし、この仕組みは暗号技術を多用し特に接続において複雑なプロトコルを用い、Client, Se
ログアウト機能の目的と実現方法
このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります
セッションアダプション脆弱性がないセッション管理が必要な理由
Last Updated on: 2018年8月18日徳丸さんから「ブログ読みました。サンプルも動かしました。問題は分かるのですが、セッションアダプションがないPHPだと、何が改善されるのかが分かりません。教えて下さい 」とあったのでツイッターで返信するには少し長いのでこちらに書きます。まだ直していない脆弱性を詳しく解説するのはあまりよくないのですが、今なら影響を受けるアプリはほぼないと思うので構わないでしょう。 まず前提として、Webサーバと同様にJavascriptからもクッキーが設定できます。Javascriptインジェクションに脆弱なコードがサイトに1つでもあると、サイト上のセッションアダプション脆弱性をもつアプリへの攻撃が可能になります。この攻撃を緩和する対策もありますが、それはそれ、これはこれなので省略します。 セッションアダプションに脆弱なセッション管理機構で困る代表的なケー
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
はてなブックマーク開発ブログ
はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。7月7日（月）～7月13日（日）〔2025年7月第2週〕のトップ30です*1。 順位 タイトル 1位 あの2人組が「ぽっこりお腹はどうすれば簡単に治るか？」を教えてくれる→「そんな腹筋で大丈夫か？」「大丈夫だ。問題ない」 - posfie 2位 何が長期的に出生率を下げてきたのか｜筒井淳也 3位 ※オススメです！【簡単！！ゆでて切るだけ】夏にぴったり！雲白肉(ウンパイロー) | 山本ゆりオフィシャルブログ「含み笑いのカフェごはん『syunkon』」Powered by Ameba 4位 速習 Claude Code 5位 たった5分でストレスを和らげる確かな方法6選、科学の裏付け | ナショナル ジオグラフィック日本版サイト 6位 【速報】米国依存から自立する努力必要と石破首相|47NEWS（よん
ニコ動ログイン方法変更のお知らせ‐ニコニコニュース
ニコ動ログイン方法変更のお知らせ 2009年08月12日 いつもニコニコ動画をご利用いただきありがとうございます。 本日8月12日より、ニコニコ動画へのログイン方法を変更いたしました。 ニコニコ動画トップページの「ログイン」ボタンを押した場合や、 ログインしていない状態で動画をクリックした場合などに、 ログインページが表示されますので、そちらにメールアドレス（アカウント）と パスワードを入力して、「ログイン」ボタンを押してください。 なお、この変更に伴い、明日以降、順次強制ログアウトが発生いたします。 よろしくお願いいたします。 ニコニコ動画 運営
高木浩光＠自宅の日記 - やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合
■ やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合 一年前、「退化してゆく日本のWeb開発者」という題で、ケータイWebの技術面での蛸壺化について次のように書いた。 iPhoneに契約者固有ID送信機能が搭載される日 （略）こうして退化してゆくケータイWebが、日本のスタンダードとなってしまい、いつの日か、PC向けの普通のインターネットまで、単一IDの全サイト送信が必須になってしまうのではないかと危惧した。 （略）iPod touchでNAVITIMEを動かしてみたところ、下の図のようになった。 （略）契約者固有IDがないとどうやって会員登録システムを作ったらいいのかわからないんじゃないのか……というのはさすがに穿ち過ぎだと思いたい。NAVITIMEからソフトバンクモバイルに対して、契約者固有ID送信用プロキシサーバの用意を要請している……なんてことがなけれ
i-modeブラウザ2.0の件 - ありがとう。また会おう。
だいぶご無沙汰しておりましたm(_ _)m mixiではコンスタントに日記書いてるくせに、どうしてもこっちは、技術系のまじめな、ちゃんと検証した内容かかなきゃなぁ・・・みたいな変な気負いがあって、日記が書けてませんでした。 でも、知り合いのブログとかガツガツ更新されてるのを見てると、まぁまずは「発信」することが大事かなぁ・・・という気が最近してきたので、ぼちぼちまた書いていきたいと思います。 さて、表題の件、だいぶもうホットな時期過ぎちゃいましたが。。。f(^^;;; 個人的な感想ですが。 Cookie サポートは偉い！ つか遅すぎだけど。ようやくネスケ3？以前から脱出ですか。 つか新端末だけなんですね。KDDIみたいに非SSL領域だけでもサーバ側で対応してくれてもいいのにさ。 外部 CSS サポートは偉い！ つか遅すぎだけど。ようやく（なんか太古のブラウザ名を入れてね）から脱出ですか？
C-Production – UNIXとプログラミングの備忘録
大変ご無沙汰です。約1年半ぶりの更新です。 昨日、ブログを設置しているサーバでOSのアップデートに問題が発生したため、これを機に新サーバ・新OSに乗り換えることにしました。 現在のブログがマルチサイトのため、そのままでは新サーバの構築に苦戦すると予想されるため、他のブログの記事を統合しました。 統合内容は以下の通りです。 ・C-Production ・・・ メインサイトのため、他のブログを吸収して継続。 ・♪8thNote♪ ・・・ メインサイトに統合済みだったので、削除。 ・モバイル魂 ・・・ メインサイトに記事を引き継ぎ、並行稼働中。 ・無線のドキュメント ・・・ もともと閉鎖予定だったので、そのまま削除 外部SNSのアカウントについてはそのまま継続します。 今後ともよろしくお願いします。
Part3 セキュアWebプログラミング入門
University of Denver卒。同校にてコンピュータ・サイエンスとビジネスを学ぶ。株式会社シーエーシーを経て，エレクトロニック・サービス・イニシアチブ有限会社を設立。オープンソース製品は比較的古くから利用し，Linuxは0.9xから利用している。オープンソース・システム開発への参加はエレクトロニック・サービス・イニシアチブ設立後から行い，複数のプロジェクトに参加している。 このPart3では，Webアプリケーションのプログラミングでは必須のセキュリティ対策を解説します。 Webアプリケーションといっても，セキュリティ対策の考え方がほかのコンピュータ・システムと大きく異なるわけではありません。しかし，「Webアプリケーションは最も危険なアプリケーションである」と認識する必要はあります。図1はセキュリティ関連情報のコミュニティであるSecurityFocusが発表した2006年5月
Immortal Session の恐怖 : 404 Blog Not Found
2007年11月29日07:15 カテゴリ書評/画評/品評 Immortal Session の恐怖 さすがの私も、今夜半の祭りにはmaitter。 私のtwitterが荒らされていたのだ。 荒らし発言は消してしまったが、にぽたんがlogを残してくれている。 nipotumblr - Dan the cracked man 一部で言われているように、本当にパスワードが抜かれたかどうかまでは解らない。が、状況としてはnowaがベータテスト段階で持っていたCSRF脆弱性をついた荒らしにそっくりだった。 にぽたん無料案内所 - こんにちはこんにちは！！ この時も、私のnowaのメッセージに荒らしが入った。パスワードを変更しても暫く荒らしが続いていた点も似ている。 ここでの問題は、 bulkneets@twitter曰く(直接リンクは避けます) 問題は本人が気付いてもパスワード変えてもセッション残
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
