SPA の CSRF 対策や CORS について検証する - 30歳からのプログラミング
2021/4/23 追記 Twitter にて指摘を頂いたので追記。 詳細は当該ツイートを読んで頂きたいが、プリフライトリクエストを CSRF 対策として用いるのは適切ではないという内容。 この記事に書いた仕組みや挙動そのものが間違っているわけではないのだが、プリフライトリクエストはそもそもセキュリティのための機能ではない。 そして、詳しくは記事の続きを読んでほしいが、プリフライトリクエストが発生するということは、HTTP メッセージのやり取りが 1 回増えるということなので、パフォーマンス上、望ましくない。 代替案がないならともかく、リクエストのオリジンをチェックすれば対応できるのだから、敢えてプリフライトリクエストを利用する必要はない。素朴に書けば以下のようになるだろうか。 const ALLOW_ORIGIN = `http://localhost:${constants.SPA_P
Cloudflare Zero Trust の基本的なセットアップ手順
背景 この記事以外にもいくつかCloudflareのゼロトラストについての記事を書いています。今回はその第２弾として、Cloudflareのゼロトラストネットワークを構築する手順について書きます。 「Cloudflare Zero Trust」 で組織のゼロトラストネットワークを構成する Cloudflare Zero Trust の基本的なセットアップ手順 Cloudflare Zero Trust クライアント側のセットアップ手順 Cloudflare Zero Trust 経由でAWS上のEC2（グローバルIPアドレス無し）にSSHでログインする 社内外を問わず、どこからインターネットにアクセスしてもトラフィックやDNSクエリに基づいて、ウイルススキャンやアクセスブロックをしてくれて、社内や自宅からクラウド上の自社サーバーに安全にアクセスできるサービスを50人まで無料で提供してくれる
JWTを認証用トークンに使う時に調べたこと - Carpe Diem
概要 JWTを認証用トークンに使う時に調べたことをまとめます。 JWTとは JWTはJWSやJWEの構造の中にエンコードして埋め込まれるJSON形式のclaimのセットです。 一般的にはJWS形式のJWTが使われるのでそれを前提に進めます。 JWS形式のJWTは以下のフォーマットです。 {base64エンコードしたheader}.{base64エンコードしたclaims}.{署名} 以下の特徴があります。 発行者が鍵を使ってJSONを署名（or HMAC）し、トークンとして扱う。 暗号化ではないので、JSON の中身は誰でも見られる。 発行者は鍵を使ってメッセージの検証ができるので、改竄を検知できる。 以上の点からトークンとして向いているため、認証トークンとして用いられるようになってきました。 Cookieとの認証フロー比較 ref: Cookies vs Tokens. Getting
Flask-JWTでトークンによる認証を実装する - Qiita
はじめに Flaskで作ったアプリケーションにJWTによるトークンでの認証機能を実装したので、 その時に調べたことなどをまとめました。 この記事に書いてあること JWTとは何か JWTによる認証のメリット、注意点 Flask-JWTを使って、トークンによる認証機能を実装する方法 JWTとは JSON Web Tokenの略で、「ジョット」と読みます。 JWTは署名の出来るJSONを含んだURL Safeなトークンで、 主に次の特徴があります。 発行者だけが、秘密鍵を使ってトークンが正しいことを検証できる JSONの中身は誰でも見ることができる トークンはBase64でエンコードされただけの文字列 署名により、JSONの改ざんを検知できる JWTによる認証のメリット、注意点 メリット ステートレス JWTによるトークン認証における大きなメリットは、ステートレスであることです。 このことによっ
SASL authentication failure: No worthy mechs found - 禿散らかしてました
Dovecotは自前でSASL持っててCyrus SASLいらないんじゃ？ という認識が間違っていて、強烈にハマった件。 ■環境 CentOS6 postfix-2.6.6-2.2.el6_1.i686 dovecot-2.0.9-2.el6_1.1.i686 dovecot-mysql-2.0.9-2.el6_1.1.i686 Postfix＋Dovecot＋MySQLのバーチャルドメイン環境で 一応SMTP AUTH＋SSL/TLS化している環境。 ■背景 KDDIひかりユーザなので、以下の対応を使用としてハマった。 【重要】中継リレーサーバ提供終了にともなうメールソフト設定変更のお願い http://www.auone-net.jp/news/111215.html 「Outbound Port25 Blocking」の救済処置である２５番ポートで自鯖できる 『中継リレーサーバ (r
AWS Amplify と Vue.js を使って、基本的な認証と CRUD 操作ができる Web アプリケーションを作る- builders.flash☆ - 変化を求めるデベロッパーを応援するウェブマガジン | AWS
こんにちは、JAWS-UG 浜松支部の松井です。 普段からモノリシックな環境やそれに準じる環境での Web アプリケーションの開発、保守に取り組んでいますが、継続的にサービスを運用していく上では様々な悩みが尽きません。 OS のバージョンアップ、セキュリティパッチはどうするか ? 言語やミドルウェアのバージョンはどうするか ? ステージング、本番等の環境のデプロイはどうするか ? コスト最適化はどうするか ? etc・・・ そこで、サーバーレスアーキテクチャを採用することにより、こう言ったホストマシンやネットワークの管理に起因する悩みを軽減することができます。 とはいえ、いきなりサーバーレスに着手するとしても、 本当にちゃんと動くのか ? 設計、構築が難しいのではないか ? コストはどのくらいかかるのか ? まずどこから手をつければ良いのか ? と言った疑問があると思います。 今回はそう言
Python の Flask Web API に JWT による認証を組み込む - Qiita
はじめに Python で作成した Flask Web API に対して、JWT (JSON Web Token) 認証を組み込んでみました。 参考：Python + Flask + MongoDB を利用した Web API の作成と Azure VM + Nginx への配置（ホロライブの動画配信予定を収集 その３） 2023/1/30 更新 Python 3.11系で Flask-JWT を利用できないため、あらためて投稿しました。 Python の Flask Web API に JWT認証（Flask-JWT-Extended）を組み込んだ JWT (JSON Web Token) とは JWT は JSON Web Token の略で、要求情報（Claim）を JSON オブジェクトとしてやりとりするトークンの仕様です。 仕様は RFC7519 で定められており、二者間の通信時
【JWT】 入門 - Qiita
JWTとは 公式サイト JSON Web Tokenの略 電子署名により、改ざん検知できる。 認証用のトークンなどで用いられる。 構成 ヘッダ、ペイロード、署名の3つから成る。 それぞれは、Base64でエンコードされている それぞれは、 . (ドット) で結合されている。
Twitter API Wiki / OAuth FAQ
General What is OAuth? OAuth is an authentication protocol that allows users to approve application to act on their behalf without sharing their password. More information can be found at oauth.net or in the excellent Beginner's Guide to OAuth from Hueniverse. Where do I create an application? We're working on a better site, but in the mean time you can create new applications at http://twitter.co
TwitterのbotをOAuthに対応させる - しばそんノート
Twitterの認証方式について Twitterの認証方式にはOAuthとBasic認証の二通りの仕組みがあります。 Twitter API Wiki / Authentication Basic認証はお手軽なので、世に存在するTwitter APIを利用する一般的なクライアントは、大抵がこちらの方法を使っているのではないかと思います。 ですが、実はこのBasic認証はセキュリティ上の理由から、将来的に非推奨になることが予告されています。 Twitter API Wiki / OAuth FAQ 既にTwitter API Wikiでは「今後作成するクライアントはOAuthを利用することを強く推奨する」と表明されており、それに応じてOAuthを使うクライアントも増えてきています。 …が、現状Basic認証を利用しているクライアントが既に大量に存在していることを考えると、今日明日でBasic
twitter/ツイッターでスパム送ってるよ、といわれたときの対策 | twitter / ツイッターマスター
twitter/ツイッターが普及するにつれて スパムも普及してきました。 twitter/ツイッターのスパムの特徴として、 アナタの知り合いから スパムDM、スパムダイレクトメッセージが送られる ということです。 もしうっかり、自分がtwitter/ツイッターで スパムを送っているよ、といわれたときの対策はこれです。 ■Twitterのホーム画面から ページ右上の「設定」＞「このユーザーに対する操作」タブで 覚えのないものを「許可を取り消す」をクリック それでもダメなら、パスワードを変更 自分がtwitter/ツイッターでスパムを送ることになったのは 大体こんな感じだと思います。 知り合いから、英文でURL付きのDMが送られてきて、 なに英文で送ってるんだ、怪しいなあと思うと思います。 で、怪しいなあと思いつつも、 まあ知り合いだし大丈夫だろう、と思って クリックしますよね。 すると、OA
avnetlabs.com - avnetlabs リソースおよび情報
This domain is registered at NameSilo. If you are the owner, start administering it at NameSilo.com. If this is not your domain, find similar names that work for you. This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it
restful_authentication - happy lie, happy life. » Diary
restful_authentication プラグインのメモ。検証は Rails 2.0.2 で行っています。 プラグインについて RESTful なユーザ認証を行う事ができます。 通常のセッションを用いた認証、ベーシック認証、 Cookie による認証が利用できます。特に Cookie を用いた認証は、ブラウザを閉じた場合でも有効期間内なら有効になります（設定有効時）。 インストール プラグインをインストールします。Rails 1.2.6 以降でないと動作しないので注意して下さい。 また、 authenticated_system.rb は RAILS_ROOT/lib 以下に展開されます。 ruby script/plugin install http://svn.techno-weenie.net/projects/plugins/restful_authentication/追記
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
