【13-A-7】Webセキュリティ攻守攻防パネルディスカッション「Webアプリケーション／Ajaxセキュリティ徹底バトル」 - ひつじのにっき
Webを取り巻く脆弱性問題(XSSやクリックジャッキング、JSONハイジャック)などを 題材に、攻撃側/防御側双方の観点で意見が聞けて大変有意義でした。 セキュリティが大切なのは理解できますが、 それによってソフトウェア開発の敷居が高くなるのは開発者として、とても重たい。 強固なセキュリティを内包するような言語か、 フレームワークが欲しいという下りは全く同感です。 パネルディスカッション後には普段何気なくとらえてたWebセキュリティについて 当事者意識が持てるようになりました。 日曜プログラマ程度では出力エスケープやってないよね？ # 脆弱性を探したくなる衝動に駆られましたが、やめときます。 13-A-7 Webセキュリティ攻守攻防パネルディスカッション「Webアプリケーション/Ajaxセキュリティ徹底バトル」 ◆概要 はまちちゃんがインフルエンザにかかって3日目らしいです。 パネラー自己
デブサミ2009 - 人生常に仕切りなおし
デブサミ、参加しました。 SKIP User Groupのブース番もしつつ、セッションにも出つつ。 初日は所用により、行けるか行けないか微妙だったのだけど、 なんとか参加。 全日程通して自分が出たセッションで印象に残ったのは３つ。 Ruby 1.9の現状と導入ポイント Yuguiさんのお話を直聞くのはRubyKaigi以来２回目でしょか？ 1.9って将来見越しての実験的な意味合いの強い実装だと思っていたのだけど、 安定版として出されたものは、安心して使ってよいんだぁと思った。 まずはおすすめ通り、早速仕事用でない環境は1.9.1を入れました。 「Rubyは一人立ちすべき」の話は、そうか、なるほどと思ったり。 まさしく独自のRuby道がこれから2.0に向かって開かれてくのでしょか。 今のところ一緒になって切り開いていくほどの能力がないので、 まずは行く末をフォローをして行こうかと(^_^;)
ていうか、あの場では僕でさえ「攻撃は自重したほうがいいよ」はまちちゃんでさえ「逮... - Wassr [お気軽メッセージングハブ・ワッサー]
USER CHANNEL PHOTO TRAVEL ていうか、あの場では僕でさえ「攻撃は自重したほうがいいよ」はまちちゃんでさえ「逮捕されればいいのに」という空気を作ってたのに、「企業は訴えないよ(なので大丈夫)」みたいな空気にするってどうよ。 by 自重なんて飾りです。hsegawaにはそれが分からんのです at 2009-02-16(Mon) 10:41:12 via web レス(2) イイネ: この“ヒトコト”へのレス投稿(1ページ目) 何そのおもしろセッション！観に行きたかったナァ。出張だったなんて残念。 by sen-uまにあってます at 2009-02-16 10:46:53 via web レス(2) イイネ: なんか、攻撃側と防御側の立場が入れ替わった感じでしたね by ockeghem at 2009-02-16 10:54:26 via web レス レス投稿 レス
Developers Summit 2009に参加する - Kwappa開発室
CUI な Git ブラウザ tig を入れてみた (Born Too Late) [git][scm][tig] tig を使ってみた (do_akiの徒然想記) Twitter Trackbacks () とべとべ夏祭り2010電設部に参加した #tobesetu (key-cc) EC-CUBE LC_Page::sendRedirect()に引数を渡せない (弱小PHPerの憂鬱) [densetu][勉強会][学校]電設部IT勉強会#3やりますた（随時追記 (学内IT勉強会のススメ - atcorp) 電設部IT勉強会#3に参加したっ！ (Curious) GLT #24 （懇親会）に乱入してきた！ (Curious) GLT (Genesis Lightning Talks) Vol.24に参加しました (key-cc) GLT (Genesis Lightning Talks
devsumi2009 : 「Webアプリケーション／Ajaxセキュリティ徹底バトル」: Turtle日記 Annex
ソフトウェア技術系を中心に掲載していきます。最近は自分の情報Indexと化しているかも。フリーコメントは「コメント＆足あとBox」カテゴリー記事にて歓迎します。 Developers Summit 2009 「Webアプリケーション／Ajaxセキュリティ徹底バトル」 Webアプリケーションの攻撃側と防御側（運用側）に別れてのパネルディスカッション。なかなか楽しく、かつ有意義な内容でした。 私が個人的に気になったことを列挙しておきます。 １．JSONの”脆弱性（？）” Bugと仕様が混在している微妙な問題。 GoogleはAd-hocな対応をしたが、ちゃんとした対策をするべきだったと思う。 対策はサーバ側で行うべき（クライアント側だけでは解決しない）。 例えば POSTのみ許可する XHR(XmlHttpRequest)のリクエストヘッダに固有の情報をセットする レスポンスヘッダのchars
DevSumi2009 Webセキュリティ攻守攻防パネルディスカッション「Webアプリケーション／Ajaxセキュリティ徹底バトル」 - monjudoh’s diary
XSSで何ができるか？ cookie情報、formの送信内容を盗む、偽の情報を見せる 「信頼出来ないWebサイト」でのXSSはそもそも無意味 信頼してほしいならXSSくらい直せ イントラだったら関係ない？ むしろイントラ内の方が盗みたい情報がいっぱいある JSONによる秘密情報の漏洩 JSON Hijacking Object.prototype.__defineSetter_で特定プロパティが設定されたら何らかの処理を行うようにする。 JSONをHTMLとして読み込むと上記のコードが入る。 対策 先頭にwhile(1);をつけて、JavaScriptとして実行出来ないようにする(Googleがやった) POSTのみ許可 XHRで特定のリクエストヘッダをつけるようにする レスポンスヘッダにcharsetを指定する charsetにUTF-7を指定すると、きちんとエスケープされているJSON
Webセキュリティ攻守攻防パネルディスカッション「Webアプリケーション／Ajaxセキュリティ徹底バトル」 - TechTalkManiacs
セッションの詳細についてはこちらを参考にしてください パネラーにはあのまちちゃんが、ということで大盛況でした。 モデレーターの竹迫さんがお題となる10のテーマを提示して、それについてパネラーの人が答える、という形式です。 はまちちゃんインフル三日目(汗) 自己紹介 NAMAZUの脆弱性対応 高木先生からの指摘 指摘がオープンになっていて、あわてて非公開に。 XSSについて 信頼できないサイトでは対策は無意味(はせがわさん) 一番信用できるのははまちやドットコム(笑) mixiの騒動の時に情報を抜かなかったら。む 例えばIEを使わない(大垣さん) イントラネットでも危険 JSONの脆弱性について そのままでは読めない(出来たらこの辺、JSONPについても欲しかったです) セッターとプロトタイプチェーンの組み合わせで、一部のモダンブラウザでは読み出せる JavaScriptでは、JSONによっ
a threadless kite - 糸の切れた凧
ここは、管理人yamagataが方針未定のまま、何となーく思いついたことを思いついたままにだらだらと書き付ける日記帳です。ふんわりほんわかな感じでお願いします。
デブサミ2009「Webセキュリティ攻守攻防パネルディスカッション "Webアプリケーション/Ajaxセキュリティ徹底バトル"」メモ - 元RX-7乗りの適当な日々
豪華な登壇者を迎えたことと、デブサミ2009のA会場の最後のセッションということもあって、ものすごく盛り上がっていました。 Webセキュリティ攻守攻防パネルディスカッション「Webアプリケーション／Ajaxセキュリティ徹底バトル」 登壇者 モデレータ 竹迫良範 氏 パネラー はせがわようすけ 氏 はまちちゃん 氏 大垣靖男 氏 徳丸浩 氏 id:Hamachiya2さん(はまちちゃん) インフルエンザにかかって3日目。 従って、このセッションを聴講する方はリスクを伴う、とのことｗ (脆弱性ｗ) Namazuプロジェクトの昔話 2001/11/25。 NamazuプロジェクトのMLに、高木先生から脆弱性の報告が来た。 しかも、MLはオープンになっている公開MLだった。 2日後に緊急リリース、そして非公開のMLを作成した。 XSSについて 信頼できないWebサイトでのXSS対策は無意味 イント
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
isocchi.com
金曜日僕が一番苦りきった顔していたのは、おそらく、A氏が「勝手に企業サイトなどで... - Wassr [お気軽メッセージングハブ・ワッサー])
http://www.seshop.com/event/dev/2009/timetable/Default.asp?mode=detail&eid=124&sid=784&tr=15_Development+Style(Geek)