令和に構築するEC2踏み台サーバー - y-ohgi's blog
TL;DR 令和に踏み台サーバーを作成する Amazon Linux 2023AMIとSSM Agentを利用したEC2 証跡を取得する About EC2とSSMのセッションロギングを使用して証跡を取得することが目的。 ECS/Fargateでも同様のことが可能ですが、SSM AgentがプリインストールされているAMIのEC2を使い捨てる方が運用コスト的や構築コスト的に楽なためEC2を選択。 How To アーキテクチャ Instance Profileの作成 assumerole.json $ cat <<EOL > assumerole.json { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com" }, "Action
セッション ID を内包した JWT を PHP で実装する - 弁護士ドットコム株式会社 Creators’ blog
この記事は弁護士ドットコム Advent Calendar 2024 の 21 日目の記事です。 はじめに リーガルブレイン開発室の tsuchiya です。 先日、セッション ID を JWT に内包するという記事を読みました。 "JWT=ステートレス"から一歩踏み出すための考え方 上記記事では、 セッション ID を内包した JWT を活用する ことについて紹介しています。 JWT の性質を最大限活用したもので、非常に共感できる内容でした。 本記事では上記記事をうけて、セッション ID を内包した JWT をセッション Cookie として使用する処理を PHP で実装してみたので、その内容について紹介します。 JWT とは 本記事では、JWT の詳細な仕様に関する説明は省略しますが、本記事を理解するうえで重要になる性質について簡単に紹介します。 JSON Web Token（JWT）
セッションマネージャーでEC2に接続できない！！なんでだ！！！ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに こんにちは！ みなさんセッションマネージャーは使っていますでしょうか？ 先日、社内OJTの1つの企画として新卒ちゃん達にAWSのハンズオンをしてもらいました。その時にセッションマネージャーを使ったEC2への接続で何名か躓いたので、今回はセッションマネージャーでEC2に接続できない時の対処法を整理しました。セッションマネージャーで接続できないと困っている人の助けになればと思います。 セッションマネージャーとは 簡単に言うと、SSHキーも踏み台サーバーも使わずに、しかもインバウンドルールも不要でEC2インスタンスに接続できてしまう
[登壇資料] DDoS攻撃をAWSサービスだけで緩和する方法をまとめてみた #cm_odyssey | DevelopersIO
2024年7月11日に実施された「Classmethod Odyssey 情シスとセキュリティ編」の登壇資料です。 こんにちは、AWS事業本部@福岡オフィスのべこみん(@beco_minn)です。 本日開催された「Classmethod Odyssey ONLINE 情シスとセキュリティ編」で登壇する機会を頂きました。 本記事はその登壇資料紹介となります。 資料 セッション概要 近年被害が拡大しているDDoS攻撃。そんなDDoS攻撃を緩和する対策はWAFの活用や攻撃対象領域の縮小など様々ありますが、その中でも特にAWSサービスを用いた方法について分かりやすく網羅的にご紹介します。 DDoS対策の参考になりそうなブログ セッション内で紹介したAWSのサービス、機能について参考になりそうなブログをいくつかご紹介します。(後日追記あるかも) CloudFront+S3による静的サイトにCogni
![[登壇資料] DDoS攻撃をAWSサービスだけで緩和する方法をまとめてみた #cm_odyssey | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/b880d63e4f4863872bb92012bbe392f8f0e8003f/height=288;version=1;width=512/https%3A%2F%2Fdevio2024-media.developers.io%2Fimage%2Fupload%2Fv1720688346%2Fuser-gen-eyecatch%2Fk5z8tfwgyaergujkam0p.png)
HTTPが全てを飲み込む（前編）～HTTPの2層構造と、HTTP Semanticsとは何か？
Webを構成する重要な要素の1つであるHTTPは、その最新仕様で2層構造となり、バージョンに関係なく使えるSemanticsと、特徴の異なる通信仕様を定めたHTTP/1.1、2、3に分割されました。 さらに現在では、HTTPの上にあらためてUDPやIP、イーサネットなどのプロトコルを実装する提案が行われており、まさにHTTPは通信の全てを飲み込む勢いで進化しつつあります。 こうしたHTTPの最新動向の解説が、大手CDNベンダでエッジクラウドなども展開するFastlyが2023年11月8日開催したイベント「Yamagoya 2023」で同社シニアプリンシパルエンジニアの奥一穂氏が行ったセッション「HTTPが全てを飲み込む」にて行われました。 本記事ではこのセッションをダイジェストで紹介していきます。記事は以下の3つに分かれています。 HTTPが全てを飲み込む（前編）～HTTPの2層構造と、H
AWS SSMのSession Manager機能の利用と接続パターン - Qiita
はじめに AWS Systems Manager(SSM)内の機能の1つであるSessionManagerを利用した EC2インスタンスへの接続を使用する機会があったので、 検証がてら導入手順や接続パターンを記事としてまとめてみました。 元々SessionManagerを介してWebコンソールまたはAWS CLIでEC2インスタンスへアクセスすることで、 インターネット側へSSHポートを開けることなくアクセスすることが可能でした。 また、接続元PCの任意のローカルポートとEC2インスタンス側のSSHポートでセッションを張ることで、 TeraTerm等のSSHクライアントやWinSCP等のファイル転送ソフトを簡単に利用することが可能です。 加えて2022年11月にポートフォワーディングの機能が追加され、 SSMAgentを導入できないEC2インスタンスやRDS等のサービスに対して、 SSMA
安全なウェブサイトの作り方~失敗例~ - goruchan’s blog
安全なウェブサイトの作り方を読んだので、理解した内容を自分なりにまとめておきます。資料 上記は3章構成になっていてそれぞれ長めの内容なので、ここでは3章の『失敗例』について、Ruby on Rails ではどうするかについてをまとめます。 SQL インジェクション OS コマンドインジェクション パス名パラメータの未チェック例（ディレクトリトラバーサル） 不適切なセッション管理例（セッション ID の推測） クロスサイト・スクリプティングの例（エスケープ処理） CSRFの例 HTTP ヘッダ・インジェクションの例 メールヘッダ・インジェクションの例 参考 SQL インジェクション 参考資料内の SQL インジェクション例を見て、Ruby on Rails ではどのように対策できるかを確認しました。 例えば、下記ような $uid, $pass をユーザ入力とし、SQL 文を動的に生成する場合
Google I/O 2023 セッション動画を見たメモ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? Google I/O 2023 のいろんなセッション動画を見たメモ。 全てのセッションではないです！ What's new in Kotlin for Android Android における Kotlin に関する更新を紹介するセッション。 K2 Compiler Kotlin 1.8 よりも最大 2 倍高速 Kotlin 1.9 の期間で Compose Compiler と KSP で K2 を Experimental で使えるよう取り組んでいる Android Studio も来年には K2 対応予定 Kotlin DSL f
好みのセッション ID を利用する - kendik.net
昨日はセッション状態を Memcached に格納しましたが、次はセッション ID を好みの形に変えてみます。 実装 セッション ID を任意の値にするには ISessionIDManager インタフェースを実装したカスタムマネージャクラスを作成します。 作成しますが…実は、セッション ID の既定の実装である SessionIDManager クラスを継承して、CreateSessionID メソッドと Validate メソッドをオーバーライドするだけでもいけます。 めっちゃ簡単なので、クッキーレスな環境でもセッションを使えるようにする必要がなければ後者をオススメします。 ※追記：クッキーレス環境でも、独自セッション ID を使いたいだけであれば後者で問題無いです。 URL への差し込み方(既定では(S(SessionID)))を変えたかったり、独自エンコーディングを使いたい時に前者
ASP.NET Web Form認証でログイン時にセッションIDを更新する - Qiita
きっかけ セッションハイジャックへの対応策として「ログイン成功後に、新しくセッションを開始する」⇒ 「ログイン成功時に、以前のセッションを破棄し新しいセッションIDを割り振る」という方法があるが、ではWeb Formでの認証時にはどのようなコーディングを行えばよいのかを調べたので、メモとして記事を書くことにした。 基本的な考え方 行うことは単純で ログイン前から存在するセッションを破棄する 新しいセッションIDを割り振る の2点だけである。 ASP.NETは標準ではCookieにセッションIDを保持し、そのキーは"ASP.NET_SessionId"という事実があるので、それを考慮する。 ログイン成功後は、当初要求のあったページへのリダイレクトを行うとすると、リダイレクト処理の直前にこれらの処理を入れてあげるのがよいと思われる。 実装 Login成功後の処理をどこに記述するかは好みの問題が
ASP.NET でのセッション周りの設定を弄る - しばやん雑記
今まではあまり ASP.NET のセッションを使わなかったのですが、最近必要になったのでカスタマイズの方法をいろいろと調べました。想像以上に拡張性が高くておすすめです。 セッションクッキーの名前を変える ASP.NET のセッションで使われるクッキーの名前は、デフォルトでは "ASP.NET_SessionId" となっていますが、この名前は Web.config を少し修正するだけで簡単に変更が可能です。 <sessionState mode="InProc" cookieName="sessionid"></sessionState> これで "sessionid" という名前のクッキーが発行されます。 セッション ID の値を制御する そしてセッションのために発行されるクッキーの値は、デフォルトではランダムな英数字になっていますが、こっちも簡単に値を制御することが可能です。 ASP.
セッション管理に関するチートシート - OWASP
Web 認証、セッション管理、およびアクセス制御 Web セッションとは、同一ユーザーに関連付けられた、ネットワーク HTTP リクエストおよびレスポンスの一連のトランザクションのことです。最近の複雑な Web アプリケーションでは、複数のリクエストの間、各ユーザーについての情報や状態を保持することが必要になります。そのため、セッションには、アクセス権やローカライズ設定などの変数を確立できる機能があります。その変数は、セッションが終わるまで、ユーザーと Web アプリケーションとのあらゆる対話に適用されます。 Web アプリケーションは、最初のユーザーリクエストの後に、匿名ユーザーを追跡記録するセッションを作成できます。ユーザーの言語設定の維持が一例です。さらに、Web アプリケーションは、一度ユーザー認証が完了してから、以後のセッションを使用します。これにより、後続のリクエストでユーザー
TCPとQUICの比較
ジェフ・ヒューストンのブログより。 QUICトランスポート・プロトコル(RFC 9000)は、オリジナルのTCPトランスポート・プロトコルを改良したものに過ぎないという一般的な見解があります[1][2]。私は、この意見に同意し難く、私にとってQUICは、通信のプライバシー、セッション制御の完全性、柔軟性の面で、アプリケーションが利用できるトランスポート機能における重要な変化を象徴しています。QUICは、より多くの形式のアプリケーションの動作に本質的に役立つ、異なる通信モデルを体現しています。そうです。TCPよりも高速です。私の意見では、公衆インターネットは、いずれQUICがTCPに取って代わると思っています。ですから、私にとってQUICは、TCPに少し手を加えただけのものではありません。ここでは、TCPとQUICの両方について説明し、QUICがトランスポート・テーブルに加えた変更について見
AWS Summit Online 2022のセッション「アーキテクチャ道場！」がすごく勉強になった話 - Qiita
AWS Summit Online 2022のセッション「アーキテクチャ道場！」がすごく勉強になった話AWSアーキテクチャマイクロサービスQiitaEngineerFesta2022awssummit2022 概要 2022年5月25日~26日にAWS Summit Online 2022が開催されました。 こちらのカンファレンス、現在も登録していただくと各セッションオンデマンド配信をしているので、ぜひ気になれば登録しちゃいましょう！ そんなAWS Summit Online 2022のセッションの一つ、「アーキテクチャ道場！(AWS-51)」のセッションレポート及び感想を今回はご紹介していきたいと思います。 セッション概要 今回記事にしていく**アーキテクチャ道場！(AWS-51)**のセッションでは下記のような内容を扱ったものとなっております。 優れたアーキテクチャを設計するためのプラ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HttpOnly属性ってなんで必要？ - Qiita
「Google Chrome」にCookieの盗難を防ぐ技術「DBSC」が導入へ／公開鍵暗号技術やTPMを活用して、セッション盗難の被害を最小限に
PHPで学ぶ Session の基本と応用 / web-app-session-101-2024