パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
SonarQubeをWindows環境で使ってC#コードを解析する[追記しました] - 亀岡的プログラマ日記
SonarQubeをWindows環境で使ってC#コードを解析する はじめに注意 ココらへんの事柄は一年も経てば色々変わったりするので、古い情報はあんまり真に受けないこと。 一応検証環境はWindows 8.1 Professional on VMWare Fusion 5だけれど、まぁWindows 7以降ならだいたい一緒のはず。 SonarQubeとは SonarQubeはもともとSonar*1と呼ばれていた、オープンソースの静的解析エンジンです。もともとはJava向けですが、Jenkinsのようなプラグイン機能も充実しており、結構な数のプラグインで、解析方法どころか解析可能な言語もかなり充実しています。現在のところ、公式では以下の言語をサポートしているよう。 ABAP Android C/C++ C# Cobol Delphi / Pascal Drools Erlang Flex
![SonarQubeをWindows環境で使ってC#コードを解析する[追記しました] - 亀岡的プログラマ日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/8d175f0f7b67a2f9c96ee63f3b6b873879e2c4ea/height=288;version=1;width=512/http%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fp%2Fposaunehm%2F20131204%2F20131204084655.png)
My sqlのha構成について
2. 形あるものは必ず壊れるのでリカバリが必要 止められないサービスなら切り替わる必要がある 復旧にかかる時間を自動化により削減したい サービス断時間を少なく抑え機会損失を防ぐ 復旧操作の自動化により人によるオペーレーション の不確実性を緩和 復旧時の人的リソースを削減できる データの保全性を向上 ※HA構成はバックアップの代用にはなりません （オペレーションミスもレプリケーションされるためです） 3. 従来の冗長構成(heartbeat+mon+mysql) MHA(mysql5.5まで) mysqlfailover(Mysql5.6以降) (費用的に)需要が少ないが以下構成も可能 • AmazonRDS（現在MySQL5.5まで、排他制御） • Heartbeat-v3+SharedDisk構成(排他制御) ※PostgreSQL,MySQL+V
チューニンガソン5の復習 MySQL 5.6 新機能編 - SH2の日記
というわけで、MyNA(日本MySQLユーザ会)会 2013年3月に参加して発表をしてきました。とてもリラックスして話をすることができました。司会進行の坂井さんをはじめ日本MySQLユーザ会のみなさま、日本オラクルのみなさま、当日お越しいただいたみなさま、どうもありがとうございました。 私のセッションでは前回のエントリの続きということで、MySQL 5.6の新機能Optimizer Traceを活用しながら正攻法でのチューニングを行っていきました。とはいえ途中から正攻法ではなくなっていた気もします。MySQL 5.6でRDBMSとしての土台はしっかりしてきたと思いますので、今後は高度な統計情報を使用したSQL実行計画の最適化といったところにも機能強化が施されていくのではないかと期待しています。 プレゼンテーション資料 (PDF) EXPLAINとOptimizer Traceの出力結果 プ
FuelPHPからMSSQLを使って さらにリレーションする方法 | chatii-log
既存のシステムがある案件で、そのシステムのデータベースを使いたい。しかし Microsoft SQL Server だった。よくある話なのかなぁ、chatiiは井の中の蛙なのでニーズがあるかわかりませんが、ともかく。 FuelPHPからMSSQLに接続し、データを取り出そうと思います。それだけでなく、Ormオブジェクトとして用意することで、リレーションも定義してラクしましょう。 chatii が自己流で試したことなので、間違いがあるかもしれません。ようはまだ、未熟 なのです 前提条件 Microsoft SQL Server が動いているサーバ ホスト名を mssql-sv, IP 192.168.0.10 とします。 接続情報 ユーザー名: sa パスワード: mssqlpasswd データベース名: mssqldb MSSQL は TCP/IPにより外部から接続できるように設定します。
Cloud SQLとHTML5のWeb Storageで高速仕訳入力
サンプルシステムの構成 図1は今回サンプルのシステム構成で、クライアント側では前回もそうでしたがHTMLのタグ記述をHTML5の書式で行い、サーバ側ではサーブレットとビーンズの構成でCloud SQLからRDBのMySQLにアクセスするようになっています。この構成でアプリケーションとしては仕訳入力を行うプログラムを作成していきますが、今回Cloud SQLと組み合わせて使用するWeb Storageについて最初に見ていきます。 HTML5ではHTMLのタグ仕様だけでなくJavaScriptから呼び出されるAPIの仕様も策定し、Webブラウザによる動作の差異をなくそうという方向性と、Webアプリケーションを作成する上でWebクライアントとして不足していた機能を補うAPIを補充・追加するという方向性が見られます。 このような趣旨・目的から策定されたAPIの一つがWeb Storageで、Web
インストーラの作り方調査 - 趣味の延長線
インストーラを作りたい。 できれば、サーバにソースをアップロード→ブラウザアクセス、一部データ(管理ID,パスワードなど）を入力→実行 で、できるだけ全てが済むようなインストーラを。 基本的なインストーラの作り方の一例を記載した記事を見つけたので、読解しつつ、ポイントまとめ。 Writing an installer for your CakePHP application - cakebaker 上記記事の内容を踏まえて見ると、CroogoやCandyCaneインストーラが、割と容易に理解できました。 基本インストーラについて フロー要約 1. route.php：app/tmp/以下に”インストール済み”目印のファイルがない場合、以下のinstallerコントローラ実行 2. indexアクション：特に処理なし。インストール開始メッセージ＆ボタンでも表示するか？ 3. database
CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） | hijiriworld Web
Posted on: 2011/11/18 CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） 概要 SQLを使って不正にデータベースを操作する攻撃 攻撃例 ユーザー名とパスワードを入力してログインする処理があるとする。 username と password の組み合わせが、データベースのものと一致すれば認証するという仕組みだとする。 SELECT * FROM users WHERE username='$username' AND password='$password' ここで、（$username: admin, $password: ' OR 'a'='a）と入力すると、SQLは以下のようになる。 SELECT * FROM users WHERE username='admin' AND password='' OR 'a'='a' こ
ここまでやるか。SQLiteをJavaScriptに変換·SQL.js MOONGIFT
SQL.jsはSQLiteをEmscriptenを使ってJavaScript化したソフトウェアです。 SQL.jsはWebブラウザ上で使えるデータベースです。Emscriptenを使ってSQLiteをJavaScriptに変換した面白いソフトウェアです。 デモです。テキストエリアに書かれたSQLを実行できます。 実行した結果です。最終的な結果だけが出力されています。SELECTの結果はJSONデータとして取得されています。 もちろん普通にSQLが使えます。 日本語は出力時は化けてしまいましたがデータ上は問題ないと思われます。 SQL.jsはSQLiteがそのままJavaScriptになってしまったようなソフトウェアです。慣れた使い勝手でSQLを実行したり、データを取得できてしまうのは面白そうです。なお現状Google ChromeやFirefoxにしか最適化されていません。 SQL.jsは
SQLite入門:SQLiteのデータ型:SQLiteで利用可能なデータ型
テーブルには値を格納するためのカラムを定義しますが、どのカラムにどのような値を格納するかに応じてデータ型を指定することができます。ここでは SQLite のカラムで指定可能なデータ型について解説します。 格納される値のデータ型 多くのデータベースではカラム毎にデータ型を指定します。その為、カラム毎に格納できる値が決められています。SQLite ではテーブルを定義する時にカラム毎にデータ型を指定することは必須ではありません。データ型を指定しなかったカラムには色々な型の値が格納されることがあります。 ただデータ型を指定しなかった場合でもカラムに格納された値がどんなデータ型なのかは区別していて「NULL」「INTEGER」「REAL」「TEXT」「BLOB」の5種類のデータ型に分類します。 NULL NULL値 INTEGER 符号付整数。1, 2, 3, 4, 6, or 8 バイトで格納 R
Androidアプリがどうデータベースを取り扱うか - たていすのメモ2
端末にデータを保存するアプリを4日くらい書いてたので、その時に調べたことのメモ。 あ、書いてたアプリはこれです。 https://market.android.com/details?id=jp.juggler.SubwayTweeter 基本的な構造 SQLiteOpenHelper ↓生成 SQLiteDatabase ↓生成 SQLiteCursor has CursorWindow(native code) has SQLiteQuery(native code) 参照カウントとデータベースオブジェクトの再利用 SQLiteDatabase は SQLiteClosable を継承していて、参照カウントが全て解放された時点でSQLiteDatabaseの後処理が行われる。 SQLiteDatabase と SQLiteCursor は finalize() も実装しているが、特にc
SE・プログラマが知ってると便利な脆弱性チェックツール 5 つ | バシャログ。
東京ラーメンショー2011 いきてーーー！みなさんこんにちは、nakamura です。 今日はプログラマだったりサーバ管理者だったり（もしくはその両方だったり）する方にお勧めしたいサイトとツールをいくつかご紹介します。細かい脆弱性のチェック等どうしても手間が掛かるものが多いですが、今回ご紹介するツールをうまく使うとその辺りだいぶ効率よくできると思いますよ！ WEB アプリケーション関連 XSS Me XSS Me :: Add-ons for Firefox XSS のテストをある程度自動化してくれる Firefox のアドオンです。残念ながら Firefox3.0.* 系の頃に開発が止まってしまっているようですが、僕の環境では install.rdf の書き換えで問題なく動作しています。（Windows7 64bit + Firefox7.0.1） SQL Inject Me SQL I
(旧) 猫好きモバイルアプリケーション開発者記録 AndroidにおけるSQLiteを使いやすくする Vol.2
【2011/12/01 追記】 ADT 14.0.0 からライブラリプロジェクトを参照している場合、リソースIDが static final ではなく、ただの static として生成されるようになったので、そのようなプロジェクトの場合はアノテーションでXMLのリソースIDを指定できなくなりました。次回バージョンアップ時に対応致します。バージョンアップ後は、Frontier_android からO/Rマッピングツール部分を FrontierDao という別ライブラリとして分離します。(O/Rマッピング機能だけ利用する場合は、FrontierDao のみをインポートすれば使えるようになります) ------------------- 前回の続きで、実際にO/Rマッピングツールを作成していくことになるのですが、ここで私は「iBATIS (MyBATIS)」とほぼ同じ設計でO/Rマッピングツール
複合主キーを避けるべき理由 - 虎塚
データベース設計の話をしていて、「連番の主キーは業務上意味のないデータだから、テーブルに持たせるのはムダだ。複合主キーにするべき」という意見を聞く機会がありました。 脊髄反射で「ないわー」と思ったものの、理由を上手く説明できなかったので、改めて考えてみました。 その結果、次のような結論に至りました。 単一の連番カラムによる主キーと、複合カラムによる主キーとで迷ったら 実装をシンプルにし、業務変更の影響範囲を小さくするために、複合主キーを避ける というわけで、調べたことや考えたことをメモしておきます。# 間違っている部分があれば、教えていただけると嬉しいです。 （2011/07/25 追記）複合主キーとサロゲートキーについては、要件やシステムに依存して多様な判断がありうると思います。にもかかわらず、「避けるべき」というタイトルにしたのは極端でした。申し訳ありません。ご指摘下さった皆さん、あり
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LLVMで遊ぶ（整数圧縮とか、x86向けの自動ベクトル化とか）
shomah4a.net
SQL - GnuCash
SQLで木と階層構造のデータを扱う――入れ子集合モデル
第5回 時代錯誤症候群～進化し続けるSQLに取り残されるな！ | gihyo.jp