携帯電話向けWebアプリのセッション管理はどうなっているか - ockeghem's blog
最近購入したPHP×携帯サイト 実践アプリケーション集を読んでいて妙な感じがしたので、この感覚はなんだろうと思っていたら、その理由に気づいた。本書に出てくるアプリケーションは、PHPのセッション管理機構を使っていないのだ。そんな馬鹿なと思ったが、目次にも索引にも「セッション」や「session」という語は出てこない。サンプルプログラムのCD-ROM上で session を検索しても出てこないので、セッションはどこでも使っていないのだろう。 そうは言っても、本書にはブログやSNSなど認証が必要なアプリケーションも登場する。本書で採用している認証方式はこうだ。 携帯電話の個体識別番号を用いた、いわゆる「かんたんログイン」のみを使う 認証状態をセッション管理機構で維持しない。全てのページで毎回認証する そのため、「iモードID」など、ユーザに確認せずに自動的に送信されるIDを用いる つまり、全て
サイト納品後のセキュリティ修正は有償？ 無償？ | 初代編集長ブログ―安田英久
今日はセキュリティ関連の話題を。というのも、6月にIPA（独立行政法人情報処理推進機構）が公開した「ウェブサイト構築事業者のための脆弱性対応ガイド」という資料が非常にわかりやすかったからです。 IPA（独立行政法人情報処理推進機構）が2009年6月8日に、「ウェブサイト構築事業者のための脆弱性対応ガイド」を公開しました。 昨年は「ウェブサイト運営者のための脆弱性対応ガイド」でしたから、これで発注側向けと受注側向けの、Webサイトのセキュリティに関するIPAのガイドが揃ったことになります。 ウェブサイト構築事業者のための脆弱性対応ガイド → http://www.ipa.go.jp/security/fy20/reports/vuln_handling/ （解説） → http://www.ipa.go.jp/security/ciadr/vuln_sier_guide.pdf （本文PDF
徳丸浩の日記 - そろそろSQLエスケープに関して一言いっとくか - SQLのエスケープ再考
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2007年11月26日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本稿ではSQLインジェクション対策として、SQLのエスケープ処理の方法について検討する。 最近SQLインジェクション攻撃が猛威を振るっていることもあり、SQLインジェクションに対する解説記事が増えてきたようだが、対策方法については十分に書かれていないように感じる。非常に稀なケースの対応が不十分だと言っているのではない。ごく基本的なことが十分書かれていないと思うのだ。 SQLインジェクション対策には二通りある。バインド機構を使うものと、SQLのエスケープによるものだ。このうち、SQLのエスケープについて、十分
GENOウイルスチェッカー
GENOウイルス対策情報まとめ、GENOウイルスチェッカー更新情報 2009 05/17 といってもウイルス側の挙動がかなり高度なので、誤判定はあります 万が一の事があってはいけないのでかなり判定厳しめに設定してあります。 ご理解の程よろしくお願いします 2009 05/17 いそいで作ったので判定機能以外はぐちゃぐちゃ 2009 05/17 開設 ウソクソ情報 ■javascriptを切ってても感染する(5/17現在) 今の時点ではウソだが将来的に、pdf or swfをjavascript経由せずに直接読み込ませるタイプのものが出てきたらアウト とにかく↓のアドビ関連のアップデートを怠らないこと。 GENOウイルス対策 ■adobe readerを9.1.1にアップデートする(9.1：9.1,0では駄目) http://ardownload.adobe.com
Apacheで画像への直リンクを禁止する
Apache で公開しているコンテンツの中にある画像ファイルは、まったく別の Web サイト内で公開しているページ内から参照し、そのページ内で画像として表示させることができます。このような方法で他のサイトの画像を表示させる方法を一般的に画像の直リンクといった言い方をします。ここでは Apache で公開している画像ファイルに対して外部からの直リンクを禁止する設定方法について解説します。
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
対策と駆除方法 - GENOウイルスまとめ
このページはあくまで2009年5月の内容です。 2010年1月現在話題となっている亜種には対応していません。 ご注意ください。
無料ウイルス対策ソフト一覧
4.4億人のユーザー規模を誇る、世界で最も選ばれているウイルス対策ソフト 第三者機関による防御性能試験で有償版ソフトと肩を並べる実力を認められている
AFPのクリアテキストパスワードを有効にする：HAT blog
netatalkのLeopard関連速報 4) AFPのクリアテキストパスワードを有効にする Mac OS X 10.5 Leopardは、デフォルトではクリアテキストパスワードでAFPサーバに接続出来ない。 が、隠し設定で有効にする事が出来る。 方法1) コマンドラインで有効にする 標準的には暗号化パスワードが使われるが、クリアテキストも使えるようにする。 # defaults write com.apple.AppleShareClient afp_cleartext_allow -bool yes しかしクリアテキストは危険なので、実際に使うときに警告を表示する。 # defaults write com.apple.AppleShareClient afp_cleartext_warn -bool yes 方法2) GUIで有効にする (要Xcode) Property List
高木浩光＠自宅の日記 - Bluetoothで山手線の乗降パターンを追跡してみた , ユビキタス社会の歩き方(6) Bluetoothの「デバイスの公開」「検出可能にする」..
■ Bluetoothで山手線の乗降パターンを追跡してみた この日記を書き始めてからもう6年になろうとしている。書き始めたきっかけは、RFIDタグのプライバシー問題が理解されないことに焦りを感じたからだった。当時の空気では、RFIDタグは5年後くらいに普及し、しだいにRFIDの埋め込まれた日用品で溢れかえるようになり、10年後くらいにプライバシー問題が顕在化すると目されていた。しかし、6年経った現在、私の靴にRFIDタグは埋め込まれていない。 当時の議論で描かれていたRFIDタグの問題は、無線LANやBluetoothにも共通することであり（MACアドレスがユニークIDとなる）、それらの方が先に普及するかもしれないという予感はあったが、現時点でも、無線LAN機器を持ち歩いている人はごく一部の人に限られている。しかし、Bluetoothはどうだろうか。これまでにも何度か、最近のBluetoo
PHP で復号可能な暗号化を行うときのまとめ ( ラボブログ ) - ryuzi_kambe の？Ｄ
PHP, crypthttp://blog.spicebox.jp/labs/2009/01/php.html ちょっとわけあって、PHP で複合化可能な暗号化を処理を組み込むことになりました。いったん暗号化して DB に格納し、あとで複合化するという手順です。 さすがに生でパスワードを格納するのは嫌ですし、調べてみると意外と全体の流れを解説したものはあまり多くはなかったもよう。せっかくですのでスタンダードな暗号化／複合化についてまとめてみたいと思います。 暗号化が好きだ！ - Favorites! けっこう情報が少ないので、順を追って調べていきます。 PHPの可逆暗号化関数について - 教えて！goo とりあえず、mcrypt 系を使うのがよさそうだ、というヒントが得られました。 PHP: mcrypt_generic - Manual まずは上から mcrypt_cbc がいいかな？と
第5回 携帯サイトでセッションを取り扱う | gihyo.jp
携帯サイトでのセッション管理 今回は携帯で会員サイトを作る時のベースとなるログイン状態の管理方法を見ていきたいと思います。セッションとはユーザーがサーバーに接続し、サイトを巡回している間アクセスしてきているのが同一利用者であることを認識するための仕組みです。この仕組みを利用することで、一度会員ログインが完了した利用者がサイトにアクセス中、継続的に自分だけの情報を見るといったことが実現可能になります。 図1 セッションの仕組み セッションを維持するためには、セッションIDを利用します。通常セッション管理はアクセスしてきた端末に対してセッションIDを割り振り、ブラウザに対して割り振られたセッションIDを渡します。サイト側はそのセッションIDに紐付いた情報を保持しておき、アクセスしてきたブラウザのセッションIDを元に情報を引き出すといった仕組みになっています。 ブラウザがセッション管理を行う方法
PHPでダイジェスト認証やベーシック認証を行うコードサンプル:phpspot開発日誌
HTTP Basic and Digest authentication with PHP - 't Bijstere spoor PHPでダイジェスト認証やベーシック認証を行うコードサンプルが公開されています。 ダイジェスト認証とは、平文でパスワードを送るベーシック認証方式より安全な認証方式です。 実際には、ユーザ名とパスワードをMD5でハッシュ化して送るような仕様の認証。 ベーシック認証、ダイジェスト認証をページに組み込みたい際に使えそうなサンプルですね。 関連エントリ これは新しい妹CAPTCHA「妹認証」 数字の足し算を行わせてCAPTCHA認証を行うPHPライブラリ「PEAR::Text_CAPTCHA_Numeral」 Ajaxを使ったCAPTCHA認証をPHPで行うサンプル Basic認証のパスファイル（.htpasswd）管理ツール:HTAdmin
ぬかるむ日々「USBメモリでTrueCryptを使う」
TrueCryptの特徴としては メディアを選ばない 外出先PCへのインストールが必要ない ニセ隠しボリューム(外殻)の中に本当の隠しボリュームが作成できる ３番目がオシャレ。 とりあえずUSBメモリ等のリムーバブルメディアで使うにあたって、２番目の「外出先PCへのインストールが必要ない」っていうのは結構重要です。 以下、USBメモリ等で使用する為のメモ TrueCryptのセットアップ 1.ダウンロード とりあえず[TrueCryptのダウンロードページ|http://www.truecrypt.org/downloads.php]から本体（truecrypt-4.x.zip）をダウンロードします。 また、「Language Packsのページ|http://www.truecrypt.org/localizations.php」へ進み日本語langpack（langpack-ja-x.
第20回 文字エンコーディングとセキュリティ（2） | gihyo.jp
前回に引き続き、今回も文字エンコーディングとセキュリティをテーマに解説します。前回は文字エンコーディングを利用した攻撃で、JavaScriptインジェクションやSQLインジェクションなどが可能であることを紹介しました。今回はなぜ、文字エンコーディングを利用して攻撃できるのか、簡単に紹介します。 文字エンコーディングを利用した攻撃の原理 文字エンコーディングを利用した攻撃には3種類の方法があります。 不正な文字エンコーディングを利用する方法 文字エンコーディングを誤認識させる（誤認識を利用する）方法 文字エンコーディングのエスケープ方式を利用する方法 この連載は攻撃方法を詳しく解説する事が目的ではありません。具体的なの攻撃方法の解説はできる限り控え、なぜこの3つ手法が攻撃に利用できるのか解説します。 前回も触れましたが、パス遷移攻撃には文字エンコーディングを利用した攻撃方法もあります。 文字
Lenovo、盗難PCをリモートで携帯から無効化する新機能 | エンタープライズ | マイコミジャーナル
Lenovoは11月25日(現地時間)、第3者によるPCの不正利用を防ぐセキュリティ技術「Lenovo Constant Secure Remote Disable」を発表した。これは手持ちのPCが紛失や盗難に遭った場合、携帯電話のSMS(Short Message Service)で短いコマンドを送信することでPCそのものをロックしてしまうというもの。2009年第1四半期以降に、同社のThinkPadの製品ラインに組み込んでいく計画だという。 2008 CSI Computer Crime and Security Surveyの調査によれば、企業と公共機関を含む米国内の組織でのコンピュータ関連のサイバー攻撃や事件のうち、42%がノートPCの盗難に起因するものだという。今回発表された技術は盗難や紛失が発覚した時点でリモートからノートPCを無効にする指示を出すことで、内部に保存された各種デ
「セキュアなPHPアプリケーションを作成するための7つの習慣」のサンプルがとんでもなく酷い - ockeghem's blog
はてブで250以上のブックマークを得ている以下のエントリ。 PHP アプリケーションを作成する際には、可能な限りセキュアなアプリケーションにするために、次の 7 つの習慣を守る必要があります。 入力を検証する ファイルシステムを保護する データベースを保護する セッション・データを保護する XSS (Cross-Site Scripting: クロスサイト・スクリプティング) の脆弱性から保護する フォームへの投稿を検証する CSRF (Cross-Site Request Forgeries: クロスサイト・リクエスト・フォージェリー) から保護する ほう。しかし、内容はどうだろうか。 読んでびっくりした。説明も微妙なところが多いが、サンプルが酷い。こんなサンプルでは悪い習慣が身についてしまう。全部は書ききれないと思うので、目についたところからピックアップして紹介する。 パストラバーサル
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
R-Folder Camouflage
PHPでのセキュリティ対策についてのメモ - Liner Note
not found