FuelPHP でのセキュリティ対策(1) - A Day in Serenity @ kenjis
FuelPHP Advent Calendar 2011 の 20日目です。 昨日は、@regepan さんの「FuelPHPでメールフォーム雑感。」でした。今日は、FuelPHP でのセキュリティ対策について解説します。1回では終わりそうにないので、何回か続く予定です。 では、FuelPHP での主要なセキュリティ対策について解説していきます。この記事は FuelPHP 1.1 を前提としています。 FuelPHP では、デフォルトのセキュリティ機能として以下が用意されています。 デフォルトのセキュリティ機能 出力フィルタ URI フィルタ SQL インジェクション対策 また、デフォルトではありませんが、以下のセキュリティ機能もあります。 セキュリティ機能 入力フィルタリング CSRF 保護 XSS フィルタリング Validation クラス Validation については、4日目の
yumでセキュリティパッチだけを適用する
Red Hatが提供するアップデートには以下のものがある。 ・セキュリティに関する修正 RHSA(Red Hat Security Advisory) ・バグに関する修正 RHBA(Red Hat Bug Fix Advisory) ・機能強化や追加に関する修正 RHEA(Red Hat Enhancement Advisory) 通常yum update をするとこれら全ての修正がアップデート対象になりますが、"--security"という オプションを付与するとRHSAに関する修正だけをアップデート対象にする事ができます。 このオプションを使うと、例えばハードウェアベンダーのサポートがRHEL5.7でないと 受けれない場合、（表現の仕方が正しいかは微妙ですが）RHEL5.7をHOLDしたまま アップデート・パッケージを適用するといった運用ができるようになっ
Laravel4、セキュリティーを高める準備
タグ： Laravel4 Laravelの人気爆発に備え、Laravel本体でセキュリティーを上げる手法をまとめておいたほうが良いかと思いました。いくつかポイントを上げておきます。 念のために確認しておきますが、どのＣＭＳやフレームワークを使用しようと、それが動作するＰＨＰの設定、更にＰＨＰが動作するサーバーの設定が緩ければ、意味がありません。 アプリケーションキーの生成 アプリケーションキーは認証などで施用するHashクラスで、ハッシュ値を生成するために使用されます。そのため、認証やHashクラスを使用する場合は、必ず設定しておく必要があります。 ３２文字の英数字ですが、自分で設定するのは面倒なのでランダムに生成するArtisanコマンドが用意されています。 artisan key:generate Laravel本体をインストールするときに、composer create-projec
第1回 まずは「クッキー」を理解すべし
Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気
他人のCookieを操作する - T.Teradaの日記
少し前の話ですが、Googleが自身のWebサイトの脆弱性発見者に対して、報酬（現金 500 USD以上）を支払うプログラムをはじめています。 Google Online Security Blog: Rewarding web application security research 過去にも、脆弱性の発見者に報酬を支払うプログラムはありましたが、Webブラウザ等のソフトウェアの脆弱性が対象でした（参考）。 今回のプログラムでは、Webアプリの脆弱性が対象だというところが特色です。しかも、実際に運用されている本番のGoogleサイトの脆弱性が対象です。その脆弱性の発見者に報奨金を払うということは、（一定の制約は設けていますが）基本的に自由に本番サイトの検査をしてよいといっているわけです。 実際にやってみる Webアプリの診断をやっているものにとっては、これ以上のお小遣い稼ぎはない！と思
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
俺の脳内選択肢が、SQLインジェクション対策を全力で邪魔している — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
PHP Advent Calendar 2013 in Adventarの19日目です。昨日も私の「PDOでの数値列の扱いにはワナがいっぱい（2）」でした。 うっかりtogetterなんか見てしまい、無駄に時間を使ってしまったと後悔した上に混乱してしまい余計にわからなくなってしまった人もいるかも知れません。 そこで、せっかくの機会なので、SQLインジェクション対策について、現在の私の考えをまとめておこうと思います。 選べ ①SQLインジェクション対策にプリペアドステートメントを使う ②SQLインジェクション対策にエスケープを使う もし、上記のような選択にはまってしまったら、あなたのSQLインジェクション対策は、現実的には、ほぼ100％間違っていると言えるのではないでしょうか。プリペアドステートメントとエスケープは、このような対立構造にはありませんから。 なお、この記事は、SQLインジェクシ
セキュリティ対策はどこまでやればよいか？よく聞かれるのでまとめてみました。 - ソニーデジタルネットワークアプリケーションズ
企業でセキュリティ対策を担当されている方が悩まれることの一つに「今実施しているセキュリティ対策で十分だろうか？それともセキュリティ業者の言われるがままで、過剰なコストをかけていないだろうか？」というテーマがあります。製品やサービスの売上や利益に直接つながる活動であればその投資対効果を測ることができますが、セキュリティ対策は事故を防ぐ予防活動や事故が起こった後処理といった、いわば保険的な活動である為、投資対効果を測ることが難しいのが現実です。 そこで今回は「適切なセキュリティ」に関する私なりの回答をご紹介したいと思います。読者の皆様がセキュリティ対策を検討されるときの参考になれば幸いです。 セキュリティ対策を検討する際に最初に考えるのは「他社はどのくらいやっているのだろうか？」だと思います。いかにも日本人的な考えですが、他社がやっているのに自社がやっていないことが分かれば不足、他社より多くの
SSL 3.0の利用を推奨するサイトを調べてみた: 駄文と書評
既にイロイロなネットニュースで取り上げられているようにSSL 3.0に深刻な脆弱性「POODLE」が見つかった。 SSL 3.0に深刻な脆弱性「POODLE」見つかる Googleが対策を説明 - ITmedia ニュース グーグルのセキュリティチーム、SSL 3.0の脆弱性「POODLE」を説明 - CNET Japan SSL 3.0に深刻なセキュリティ脆弱性 | マイナビニュース ってことで「SSL 3.0は脆弱性（というか設計に問題）があるので使わないほうがよいんじゃないか？」とGoogleさんなどが積極的に呼びかけているようだ。 Google Online Security Blog: This POODLE bites: exploiting the SSL 3.0 fallback また、ブラウザ側でもSSL 3.0の利用をしないようにGoogle Chrome、Firefo
ITmedia エンタープライズ：知ってるつもり？ 「セキュリティの常識」
第15回 フリーツールで行うネットワーク脆弱性検査 Webアプリケーションの検査に加えて、サーバやネットワークの検査も重要だ。改めてネットワーク脆弱性検査の重要性を認識するためにも、今回はフリーツールを使ったネットワーク脆弱性検査を紹介する。 第14回 Webアプリケーションセキュリティの常識 Webアプリケーションの脆弱性のほとんどは、開発時のささいなミスから生じる。Webアプリケーションの攻撃から保護するには、専門家によるペネトレーションテストが有効だ。 第13回 マネジメントから見た情報セキュリティ 費用対効果や即効性から技術的な対策が中心となってきた。しかし、これらの対策を利用するのも、管理するのも「人」である。マネジメントシステムにより有効性を高める視点も忘れてはならない。 第12回 イベントログ集中管理ツール「SIM」の常識 多くのセキュリティ機器を導入した結果、イベントログの
あなたのMacは大丈夫ですか？Mac用ウィルス対策方法と対策ソフトを検討しみよう｜男子ハック
MacおすすめアプリあなたのMacは大丈夫ですか？Mac用ウィルス対策方法と対策ソフトを検討しみよう2011年5月17日72 @JUNP_Nです。つい先日もMacでもマルウェア「MAC Defender」が発見されました。以前Appleは「Macはウィルス対策いらない」みたいなCMを流していましたが、たしかにMacでウィルス対策は意識していない人が多いみたいなので1度まとめてみたいと思います。 Macにはウィルスがないというのは大間違い たしかにWindowsと違いウィルスは少ないですし、そういったニュースもあまり見かけません。 それはウィルスを作る側にとってメリットがないというだけです。 ウィルスを作る側は悪意をもってビジネスにしようとしているわけで、ユーザーが少ないMacを対象にするよりWindowsを対象にしているだけの話し。 現にMacでもウィルスはありますし、マルウェアだってあり
Mac初心者が最初にやるべきセキュリティ | nanapi [ナナピ]
2020年8月31日(月)をもちまして、nanapiに関わるすべてのサービスは終了いたしました。 nanapiは、2009年のサービス開始より「みんなで作る暮らしのレシピ」という考えのもと、ユーザーの皆さまに生活に関する様々な「ハウツー」を投稿していただく投稿型ハウツーサービスとして運営してまいりました。 約11年間にわたって皆さまからご支援をいただきサービスを継続できたこと、nanapi編集部一同、心より御礼申し上げます。 掲載されていたコンテンツなどのnanapiについてのお問い合わせは、nanapi@supership.jp までお願いいたします。 長きに渡りnanapiを応援してくださり、本当にありがとうございました。
Apacheの安全を確保するための10の対策 - builder by ZDNet Japan
あなたは自分の会社のウェブサイトをサービスするApacheをインストールしたところだとしよう。Apacheはスムーズに動作しており、万が一の場合にもLinuxのセーフティネットが助けになるはずだと思う。ところが、2週間ほど経ったところで、いろいろとおかしなことが起こり始める。なぜだろう。ApacheとLinuxを使っているのに・・・おかしくなることなどあるだろうか？ もちろん、注意を払わなければ、おかしくなることはいくらでもあり得る。Apacheを安全にする方法はあるが、もちろん何もしなければ安全にはならない。以下に示すのは、Apacheをより安全なウェブサーバにするための簡単な10の方法だ。 #1: とにかくアップデート LinuxでApacheを動かしているからと言って、アップデートが不要だということにはならない。常に新しいセキュリティホールやリスクが登場している。あなたは、最新のパッ
Apacheのセキュリティ
Webを公開する際には、セキュリティに十分な配慮が必要になることはいうまでもないが、具体的にはどうすればセキュリティが保たれるのであろうか。Apacheの設定ファイルhttpd.confの設定についてその点を調べてみた。 起動ユーザーの変更 Apacheが実行時に利用するユーザ権限とグループ権限の指定においては、nobodyが初期値として指定されている場合がある。しかし、nobodyは各種サービスでも利用される汎用のユーザアカント、グループアカントなので、apacheやwww等のApache専用ユーザ、グループを作成し使用するのが望ましい。 User apache Group apache httpd.confファイルのUserおよびGroupをapacheに変更する。apacheにはroot権限がないが、もしapacheの権限が奪取された場合、Apacheが使用している他のプロセスに影響
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PHP の DB アクセスは MDB2 と PDO のどちらがいいのか？: ある SE のつぶやき
MySQL :: MySQL 5.1 リファレンスマニュアル :: 4.6 セキュリティ問題
Linuxでwwwサーバをたてています。apacheを使っています。…