"JWT=ステートレス"から一歩踏み出すための考え方
おはようございます、ritouです。 この話に乗っかっていきます。 3行で ログアウト時にJWTを無効化できない実装は今後脆弱性診断で「OWASP Top 10 2021違反」と指摘されるようになりそう(今も個別にされてるかもしれないけど) JWTは単純なフォーマットなので、ステートレスなセッション管理においてログアウトしたときに文字列自体を無効化できない件は独自エンコード方式(一般的にフレームワークのCookieストアと呼ばれているもの)でも起こり得る 「セッションID vs JWTで内包」 以外にも 「セッションIDをJWTに内包」もあり得る。既存の機能を残しつつ「JWTで武装」する選択肢も考えてみてはどうか。 ステートレスなセッション管理でログアウトの際に文字列自体を無効化できない問題 これは前から言われていますし、駆け出し何とか勢のQiita記事に書かれるぐらいには一般的です。 2
"パスワードの定期変更"はもはや無意味! セキュリティの現実を直視すべし─NTTデータ先端技術、辻氏
特定の企業や組織を狙った「標的型攻撃」への対策を見つけるためのポイントをわかりやすく解説する、注目のセミナーがまもなく開催される(2013年8月29日「攻撃手法・検討項目・対策製品までを徹底解説!! 標的型攻撃対策セミナー」)。ここでは、このセミナーで登壇予定のNTTデータ先端技術 セキュリティ事業部 辻伸弘氏に、その講演の内容について聞いてみた。 変化の速いITの世界でも、とりわけ脅威や技術の変遷が目まぐるしいのが情報セキュリティだ。では、今まさに注目すべきセキュリティ上のテーマとはどのようなものなのか。世界中のサイバー攻撃者の"裏事情"にも精通していることで知られる辻氏に、最新かつ現実的なセキュリティトピックスについて解説をお願いした。 パスワードの定期変更という"常識"は現実的ではない!? 辻氏が挙げる情報セキュリティの"旬な"トピックとは次の5つだ。 1. 「パスワード」 2. P
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AWSでのセキュリティ対策全部盛り[初級から中級まで]![AWSでのセキュリティ対策全部盛り[初級から中級まで]](https://cdn-ak-scissors.b.st-hatena.com/image/square/b014e56d2eedba5a43b5c5f7524c22b8b030d6e1/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2Faba22209644646ee9ff21ef72d5a439d%2Fslide_0.jpg%3F14040252)
メールの暗号化 - とみたまさひろ - Rabbit Slide Show
