Symfony のセキュリティリリースハンドリングがチョベリグになった話 (Symfony Advent Calender 2012 JP - 23日目) - co3k.org
Symfony Advent Calendar 2012 JP の 23 日目です。なんか 17 日目で川原君から Note: Security Fix 周りの問題については、後日 @co3k が取り扱うようです。 —Symfony Advent Calendar JP 2012 - Day 17 — Symfony Advent Calendar 2012 - Day 17 v1.0 documentation と突然の CM (AA 略) をいただいていましたが、問題というか、 Symfony のセキュリティリリースハンドリング周りがちょこっと改善いたしましたのよ的な話をしていこうかと思います。 どう改善されたのサ 2012/12/18 に Symfony の公式ブログにて、 Security Issue Management Improvements というエントリが公開され、次のよ
セキュアなAndroidアプリ開発のTipを集めたガイド、JSSECが公開 － ＠IT
2012/06/11 日本スマートフォンセキュリティ協会（JSSEC）は6月11日、セキュリティを考慮したAndroidアプリを設計、開発するためのTipsをまとめた「Androidアプリのセキュア設計・セキュアコーディングガイド」を公開した。7月31日まで、ガイドに対するパブリックコメントを募集する。 Androidアプリのセキュア設計・セキュアコーディングガイドは、JSSECのセキュアコーディンググループがまとめた全232ページの文書だ。ソフトウェアメーカーやアプリケーション開発者を対象に、セキュアコーディングの基礎知識にはじまり、ActivityやSQLiteといったAndroid特有の機能の適切な実装方法や、パーミッションや暗号、電子署名などAndroid OSが備えるセキュリティ機能の使い方を紹介している。 特徴は「開発現場で使う」ことを念頭に置いて、ふんだんにサンプルコードを交
Archived MSDN and TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
IPA セキュア・プログラミング講座 「Webアプリケーション編」に「Web関連技術」を追加
本ページの情報は、2016年10月時点のものです。2023年10月に再構成をいたしました。 なお、内容に変更はありません。 2016年10月版 2002年2月に「Webプログラマコース」と「製品プログラマコース」、2007年の6月に「Webアプリケーション編」、9月に「C/C++編」と分けて公開してきた講座のうち、原則を中心として共通的なものをまとめて2016年10月に再編しました。 なお、資料内の参照先はすべてサイトリニューアル前のURLであるため、リダイレクトを設定しています。 セキュア・プログラミング講座(2016年10月版／2017年6月一部修正)(PDF:2.3 MB) 2007年版 「ソースコード検査技術の脆弱性検出能力向上のための研究」（注釈1）を実施した一環として取りまとめた内容を、2002年から公開していたセキュア・プログラミング講座（旧版）の改訂版（2007年版）として
楽天では脆弱性が見つかるたびに工程全体を見直す
多様な脅威が存在するインターネット環境でビジネスをしている企業にとって、システム面のセキュリティ対策は非常に重要である。当社でも、楽天グループのWebシステムを脅威から守るため、さまざまな対策を積み重ねてきた。中でも重視しているのが、システム開発工程全体で脆弱性を作り込まない体制を築くことである。 現行システムに既知の脆弱性が見つかった場合、開発工程のどこかで対策漏れが生じた、あるいは対策そのものに不備があったことになる。脆弱性を発見したら、それをつぶすだけでなく、開発工程全体の見直しを図る。新たな脆弱性が明らかになった場合も、開発工程全体にフィードバックする。これが当社の目指すセキュリティ開発体制であり、実際にそうしたPDCAサイクルが日々回っている（図10）。
米HP「Webアプリの品質、セキュリティの問題を“元から断つ”」
米HP「Webアプリの品質、セキュリティの問題を“元から断つ”」：米HPに聞く、“フォーティファイ買収の背景” Webアプリケーションがビジネスに深く浸透している近年、その品質、セキュリティがあらためて注目されている。品質に問題があれば、ビジネスを遅滞させて機会損失を招き、セキュリティに脆弱性があれば、金銭だけでは解決できない傷跡をそのブランドに残してしまうためだ。そこでこの問題に対し、“障害をいち早く解決する”“ハッキングから守る”といった対症療法的なアプローチではなく、問題原因を元から断つ “原因療法”のアプローチで臨んでいるのが米ヒューレット・パッカードだ。 同社は2007年6月、Webアプリケーションのセキュリティ評価ソフトウェア／サービスを持つ米SPIダイナミクスを買収。「BTO（Business Technology Optimization）――“ビジネスとITとのギャップを
携帯実機検証サービスのケータイラボ：自分でCHECKコース
※上記金額は税別価格となります。 ※上記料金は予告なく変更する場合がございますのでご了承ください。 ※早期終了した場合でも、未経過分（携帯電話利用料・ルームチャージ）の払い戻しはございません。 ※延長の場合は、お部屋に空きがある場合に限り延長可能です。 ご注意事項 ご予約について ご利用にあたってはご予約をお願いいたします。当日でも、部屋と携帯電話に空きがあればご利用可能です。 ご予約にあたっては別紙の予約申込書でお願いいたします。 キャンセルポリシー 前日までのキャンセル・変更は無料。 当日キャンセルは基本料金・携帯電話利用料の20％、ルームチャージの100％を適用。 ベストエフォート方式 貸出可能な端末には限りがございますので、ご希望日、時間、機種で貸出し出来ない場合がございます。 割増料金について…以下の割増料金がそれぞれ加算されます。 18:00以降（時間外割増）：30％
シャープがAndroid端末「IS01」の開発キット提供へ、開発者サイトも開設しSDKを公開
シャープは2010年3月30日、同社がKDDIに提供するAndroid携帯電話「IS01」の開発者向け専用モデル（開発キット）「JN-DK01」を2010年5月以降に発売すると発表した。また同日、Androidアプリケーション開発者向けサイト「SH Developers Square」を開設。ソフトウエア開発環境「SDK AddOn」のベータ版や技術情報を公開した。 JN-DK01のハードウエアはIS01と同等仕様で、OSの書き換えができる点が異なる。開発したアプリケーションを詳細に評価、分析することも可能という。携帯電話網への接続機能は搭載しておらず、無線LANで接続する。本体カラーは「IS01」がブラックとライトブルーなのに対し、JN-DK01はブラウン。販売方法はSH Developers Squareに今後掲載する予定で、価格は未定。 SDK AddOnは、Google Andro
情報処理推進機構：情報セキュリティ：脆弱性対策 :「安全なSQLの呼び出し方」を公開
IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）は、ウェブサイトを狙ったSQL(*1)インジェクション攻撃(*2)が継続していることから、ウェブアプリケーション(*3)の安全な実装方法を解説した資料「安全なSQLの呼び出し方」を2010年3月18日（木）からIPAのウェブサイトで公開しました。 URL：http://www.ipa.go.jp/security/vuln/websecurity.html 近年、ウェブサイトを狙った攻撃が継続しています。攻撃の実例として、IPAが無償で公開している「SQLインジェクション検出ツールiLogScanner(*4)」で、「脆弱性対策情報データベースJVN iPedia(*5)」のアクセスログを解析した事例を図1に示します。 図1を見ると、2008年頃から急増しているSQLインジェクション攻撃が全体の45%、ウェブサーバのパスワードファイ
この脆弱性対策エンジンは“永遠に完成しない” － ＠IT
第3回 この脆弱性対策エンジンは“永遠に完成しない” 株式会社フォティーンフォティ技術研究所 技術本部 ソフトウェア開発部 部長 石山智祥 2010/3/9 製品化したいまも、このエンジンは未完成――「5分で絶対に分かるバッファオーバーフロー」を執筆した石山氏が、その理由を語る（編集部） ZDPエンジン：パターンファイルに頼らず防御する「要の技術」 今回は、パターンマッチングに依存しないウイルス対策ソフト「FFR yarai 2009」」（以下：yarai）に含まれる、任意コード実行型脆弱性の攻撃を検知、防御する「ZDPエンジン」の開発とその背景についてお話ししたい。 ZDPエンジンは、yaraiを構成している4つのエンジンのうち、そのほかの3つのエンジン（Static分析エンジン、サンドボックスエンジン、HIPSエンジン）と大きく異なる特徴を持っている。そのほかの3つのエンジンが実行ファ
「脆弱性根絶なんてできっこない」と嘆く前に
「脆弱性根絶なんてできっこない」と嘆く前に：セキュリティ、そろそろ本音で語らないか（13）（1/3 ページ） 脆弱性は上流工程でつぶせるか 私は最近、多くの時間を割いてプログラムを書いています。本来の性格から来るものか、バグはゼロになりません。この原稿の場合、誤字脱字に相当するでしょうか。この原稿などは編集部でキッチリ見てもらっているので大丈夫だと思いますが、プログラムはお客さまに迷惑をかけるかもしれないので、テストを繰り返してバグをつぶしていきます。 私は性格がそもそもおっちょこちょいな上にずぼらですから、プログラマには最も向いていないのかもしれません。いや、脆弱性を考えると「プログラムを作ってはいけない」といわれそうです。 私は前職で、日本で初めて「セキュリティの脆弱性検査」を事業として立ち上げた経験があるのですが、始めた当初から「セキュアなプログラミングが普及すれば脆弱性検査の市場は
高密度小池 ／ サン牧の本質的な問題
サン牧の本質的な問題 サン牧には問題がいくつかあって、表面的なことを言えば、 OpenSocial にちゃんと従っていないという点と、外部課金回りに重篤な不具合があるという二点です。 OpenSocial に従っていないという点は、 mixi がわがしっかりした作りになっているので、これはさほど問題になりませんが、外部課金のお粗末さはかなりのものと言えます。 ここでサン牧運営の Rekoo の技術力やモラルの問題を糾弾するのは簡単で面白いことですが、これもあまり本質的ではないと思います。 結論から言うと、本質的な問題は mixi が mixi アプリの提供を急ぎすぎたことであると僕は思っています。 mixi アプリは、資金を集めるために始められたサービスであると理解するのが、やはり正当かと思いますが、 mixi にマネーなり話題なりを集めるサービスを mixi アプリ上で展開して
ソフトウエア作りに必要なセキュリティ - 極楽せきゅあブログ
よくある意見として、「何でこんなことも知らないのか」「勉強不足」「開発者はもっとセキュリティに気をつけるべき」というのがあるけど、何年も前からそうやって言い続けているのに変わってこない現状を見るにつけ、もっと違うアプローチが必要な気がして仕方が無いわけです。 例えばフレームワークとか、そういうものが良いんじゃね？と言っているのは、実装しなければいけないセキュリティの中にも、人が覚えて工夫して実装する必要があるものと、環境やソフトウエアがサポートできるものがあると思うからなんだよねー。Webアプリ方面で言えばエスケープなんてもっと機械化できそうだし、その一方でセッション管理は機械化するには複雑っぽいし、その他方面ではバッファオーバーフローとかは機械的に防御する手立てがけっこうありそうだしね。セキュリティってひとくくりで言われて、すべてかゼロか的な言い方されることが多いけど、機械的に対策できる
Yahoo!ショッピングにおけるログ設計と監視
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、ショッピング事業部開発部の吉野と申します。 今回は「アプリケーションログの設計と監視」について、実際にYahoo!ショッピングで採用している方法を少し交えながらお話しさせていただきます。 1.ログ設計のポイント ログ設計は、以下のポイントに注意して行うとよいでしょう。 ・ログ出力のポイントが押さえられているか ⇒セッションの始まりと終わり、処理の過程、例外処理の中など。 フローチャートのような処理フロー図があれば、そこにログ出力ポイントを書き込むとわかりやすくなります。 ・出力する情報に過不足はないか ⇒「いつ(システム時間)」「だれが(プロセスID・IPアドレスなど)」 「どこで(パスなど)」「なにをした(実行コマン
“セキュアなWebアプリ”に立ちはだかる課題
“セキュアなWebアプリ”に立ちはだかる課題：セキュリティ、そろそろ本音で語らないか（4）（1/3 ページ） SQLインジェクションによる情報漏えい事件がクローズアップされています。対策は簡単なこと……と言われ続けているのですが、なぜWebアプリケーションの脆弱性は無くならないのでしょうか。第4回ではその理由に迫ります（編集部） 私は前職で、Webアプリケーションの脆弱（ぜいじゃく）性による個人情報の漏えいの脅威を広く知ってもらうために実在のサイトの脆弱性を公開する、ということをしていました。最初のレポートが2001年10月で、恐らく日本で最初ではないかと記憶しています。 それから何年もたちましたが、相変わらずWebアプリケーションの脆弱性はなくならず、いまもさまざまな対策ソリューションが発表されています。 Webアプリケーションの脆弱性対策は、おおむね以下のように分類できます。 開発時に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「情報セキュリティ研究開発戦略」（案）に関する意見の募集（終了しました）
Technical Note TN2267: Video Decode Acceleration Framework Reference
http://www.mdis.co.jp/news/press/2010/1130.html
Androidカーネルに350件以上のバグを発見、そのうち25％が高リスク～米コベリティ
JPCERT/CC、ソフトウェア設計工程の脆弱性低減策まとめた報告書