TAKESAKO @ Yet another Cybozu Labs: 第1回XSS祭り(サニタイズ勉強会）
ついカッとなって企画された第1回XSS祭り、ネタかと思っていましたが、先日の日曜日に開催され、無事終了しました。 XSS本の洋書 XSS Attacks: Cross Site Scripting Exploits and Defense が日本に届いたので、 このタイミングに最近のXSSの傾向を整理して、それらの攻撃を防御する手法についてみんなで勉強しました。 実際、本の内容にはあんまり触れなかったですけど。ネタでAnti-Anti-Antiとか。 終始まったりとした雰囲気の中、参加者の飛び入りプレゼンやSkype中継もあったりと、大変楽しい勉強会でした。 参加者が参加者だけに、国内（世界的にも）最先端の話を共有することができて、有意義な時間を過ごすことができました。 （詳細はあとで書く。） わざわざ、この勉強会のためだけに新幹線で上京された方もいらっしゃったとのことで、 その熱意には感
産総研 RCIS: 安全なWebサイト利用の鉄則
お知らせ: 情報セキュリティ研究センターは、2012年4月1日にセキュアシステム研究部門 (2015-03-31 終了) に改組されました。 2015年4月1日現在、一部の研究は情報技術研究部門に継承されています。 この解説について 目的： フィッシング被害を防止するWebサイト利用手順の確認 著名なブランド名や会社名を騙った偽のWebサイトを作り、人をそこに誘い込んでパスワードや個人情報を入力させてかすめ取る、「フィッシング」 (phishing)と呼ばれる行為がインターネットの安全を脅かしつつあります。フィッシングの被害を防止するには、利用者ひとりひとりが本物サイトを正しく見分けることが肝心です。 しかしながら、どうやってWebサイトを安全に利用するか、その手順のことはあまり広く知られていないようです。技術者達の間では暗黙の了解となっていることですが、市販のパソコンの取扱説明書には書か
T.Teradaの日記 - SessionSafe: Implementing XSS Immune Session Handling
SessionSafeは、ハンブルグ大学のMartin Johnsさんが書いたWeb APの方式案です。 もしWeb APにXSS脆弱性があって、これが攻撃されたとしても、 セッションIDが盗まれない 当該ページ以外の情報が窃取・改竄されない ことを目指しています。 面白いなーと思ったので、内容について少し書きます。 なお、元記事を高速斜め読みしたので、この日記の内容には間違いが含まれているかもしれません。興味のある方は原本を見てください。 セッションIDが盗まれない 以下の二つのドメインがあるとします。 www.example.com secure.example.com セッションIDのCookieは、secureサブドメインに発行します。 Webページを表示する際はwww.example.comのURLにアクセスします。そこで返すHTMLに色々と仕掛けを施します。 HTMLの仕掛け
第3回 シンプルかつ強力なコンポーネント指向フレームワーク「Click Framework」
NTTデータ先端技術勤務。国産のオープンソースプロジェクトProject Amaterasのオーナーであり，SeasarプロジェクトやClick Frameworkでもコミッタを務めている。著書に「入門Wiki」「Eclipseプラグイン開発徹底攻略」（いずれも毎日コミュニケーションズ発行）などがある。 株式会社DTS ネットワーク事業本部 プロジェクトマネージャ。Javaを中心にフレームワーク開発や開発プロセス定義など幅広く活躍中。StrutsIDEコミッタ。著書「まるごとEclipse! Vol.1」（発行：インプレスコミュニケーションズ）。 そのフレームワーク，本当に必要ですか？ JavaのWebアプリケーション・フレームワークのはしりといえば，なんといってもStrutsです。Strutsはデファクトスタンダードの地位を確立し，現在でも多くのユーザーに利用されています。しかし，Ser
TheC10kProblem - 「C10K問題」（クライアント1万台問題）とは、ハードウェアの性能上は問題がなくても、あまりにもクライアントの数が多くなるとサーバがパンクする問題のこと
TheC10kProblem - 「C10K問題」（クライアント1万台問題）とは、ハードウェアの性能上は問題がなくても、あまりにもクライアントの数が多くなるとサーバがパンクする問題のこと 目次 この文書について C10K 問題 関連サイト まず読むべき本 I/O フレームワーク I/O 戦略 1. 各スレッドが複数のクライアントを受け付ける. そしてノンブロッキング I/O と レベル・トリガ型の完了通知を利用する. 伝統的な select() 伝統的な poll() /dev/poll kqueue() 2. 各スレッドが複数のクライアントを受け付ける. そしてノンブロッキング I/O と 変更型の完了通知(readiness change notification)を利用する. kqueue() epoll リアルタイム・シグナル fd 単位のシグナル (Signal-per-fd)
脆弱性を利用した攻撃手法（6） --- クロスサイト・スクリプティング（後編）
ポイント ●Webアプリケーションが持つクロスサイト・スクリプティングの脆弱性が利用されると，ユーザーのCookieが詐取されたりする攻撃が成り立つ。 ●Cookie情報の詐取と，ソーシャル・エンジニアリングやフィッシング（詐欺の手口）が組み合わさって，被害に及ぶケースもある ●このような被害を出さないようにするには，開発者は脆弱性の無いWebアプリケーションを開発する必要がある。ユーザーは，フィッシング詐欺などへの対策と同様に，「信頼のおけないリンクはむやみにクリックしない」「不審なURLにはアクセスしない」などの習慣を身につけておく必要がある ◆Cookieは，Webサイトが発行したテキスト・データです。セッション情報や認証情報などが記述されており，ユーザーPCのブラウザに保存されます。基本的に，この情報を利用できるのは発行したWebサイトだけです。 ◆実験用に作った買い物サイト（19
脆弱性を利用した攻撃手法（5） --- クロスサイト・スクリプティング（前編）
ポイント ●Webアプリケーションは，ユーザーに送信するページ（コンテンツ）を動的に作ることができる。この時に，半角＜＞などの特殊文字を適切に処理していないと，クロスサイト・スクリプティングにつながる ●Cookieとは，Webサーバーを訪問した人のコンピュータ（ブラウザ）に，テキスト・データを保存しておく仕組みのこと。認証情報や個人的な情報が入っている場合があるため，攻撃の的になりやすい クロスサイト・スクリプティングは，これまでに紹介してきた他の攻撃手法（ディレクトリ・トラバーサル，OSコマンド・インジェクション，SQLインジェクション）と同様にWebアプリケーションの脆弱性を突く攻撃手法です。ただし，名前の通り，サイトをクロスして（またがって）実行されるため，しくみが複雑になっています。 この連載では，クロスサイト・スクリプティングの例として，ユーザーPCのCookieの内容を詐取す
Flickr の認証API - naoyaのはてなダイアリー
認証API をどうするか、ということで数名のスタッフであれこれ話ながらやってます。 まず、はてなの認証APIを使って何ができるといいのかというところですが、はてなラボをオープンしたときにいただいた意見などを見ると、「はてなのAPIで認証付きのをセキュアに利用するための API」というより「サードパーティのアプリケーションではてなIDでユーザーを識別できるためのAPI」の方が求められているという風に思いました。 具体的には、新規にユーザーを識別する必要のあるアプリケーション、例えば掲示板などを作るとして、その掲示板のユーザーを一意に識別する方法としてはてなIDを使いたい、そのIDが本当にその人のものであるかどうかをはてなが保証する、その保証を問い合わせるための API ですね。その掲示板でログインして何かを書き込むと id:naoya、と表示されると。 この手の認証APIを提供しているサービ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IBM Developer
IBM Developer
IBM Developer