【PoC編】XSSへの耐性においてブラウザのメモリ空間方式はLocal Storage方式より安全か？ - Flatt Security Blog
はじめに こんにちは。 セキュリティエンジニアの@okazu-dm です。 この記事は、Auth0のアクセストークンの保存方法について解説した前回の記事の補足となる記事です。前回の記事の要旨をざっくりまとめると以下のようなものでした。 Auth0はデフォルトではアクセストークンをブラウザのメモリ空間上にのみ保存するin-memory方式であり、XSSへの耐性のなさ等の理由でlocalStorageで保存することを推奨していない しかし、XSSでアクセストークンを奪取できるのはin-memory方式でも同じのはず(検証は行いませんでした)。localStorage方式を過度に忌避する必要はないのではないか なお、Flatt Securityの提供するセキュリティ診断はAuth0に限らずFirebase AuthenticationやAmazon CognitoなどのIDaaSのセキュアな利用
WebAssembly製のx86仮想マシン「WebVM」が登場、Webブラウザ上でLinuxや各種コマンド、アプリがそのまま実行可能
WebAssembly製のx86仮想マシン「WebVM」が登場、Webブラウザ上でLinuxや各種コマンド、アプリがそのまま実行可能 Leaning Technologiesは、Webブラウザ上でx86バイナリをそのまま実行できるWebAsesmbly製の仮想マシン「WebVM」を発表しました（同社による紹介記事「WebVM: server-less x86 virtual machines in the browser」）。 Google ChromeやMicrosoft Edge、Firefox、Safariなどのモダンブラウザであれば、上記のURLにアクセスすることで誰でもWebブラウザ上にx86仮想マシンを走らせることが出来ます。 WebVMではx86仮想マシンの上でLinux OSのDebianがバイナリが変更なしにそのまま稼働し、さまざまなコマンドも実行可能。 Linuxアプリ
2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか
サマリ2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日にFirefoxも同様の仕様が導入されました。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブサイト側でCSRF対策をしていなくてもCSRF攻撃を受けなくなります。この記事では、デフォルトsamesite=laxについての基礎的な説明に加え、最近のブラウザの挙動の違いについて説明します。 （2022年1月29日追記） 本日確認したところ、Firefoxにおけるデフォルトsamesite=laxはキャンセルされ、従来の挙動に戻ったようです（Firefox 96.0.3にて確認）。デフォルトsamesite=lax自体は先行してGoogle Chromeにて実装されていましたが、細かい挙動の差異で既存サイトに不具合が
長くいたチームから移る日のこと｜Kinuko Yasuda
長年 Chromium (Chrome) ブラウザの開発に携わっていたのですが、やめてチームを移ることにしました。2021年10月1日が最後の日です。 チームを変わるだけで転職ではないのですが、結構いろいろやったなと思ったのと、瞬間最大風速的に沢山お礼を言ってもらって嬉しかったので、記録として書いておくことにしました。最初は褒めてくれてるtweetだけ貼ってﾄﾞﾔｧ的なやつを作ろうかと思ったのですが😇、いい機会なのでやったことも書ける範囲で書いてみました。オープンソースはこういうとき気楽でいいです。 Personal update. After 10+ years I’m leaving Chrome and doing something else. I started with a small API and ended up owning entire Loading & Netw
HTML tableの実装がこれまでと変わる！Googleデベロッパーによる変更点の解説 -TablesNG
GoogleではCSSの新機能を導入するだけでなく、既存の機能を向上することにも取り組んでいます。その中の一つ「TablesNG」で、HTMLのtableの実装がこれまでと変わるのでその変更点を紹介します。 tableは古くからあり、その後さまざまなCSSの機能がブラウザに実装されました。当然、それらの新しい機能にtableは対応していません。それらに対応し、不整合を修正するのが今回の取り組みです。 TablesNG Resolves 72 Chromium Bugs for Better Interoperability by Una Kravets, Aleks Totic 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様にライセンスを得て翻訳しています。 はじめに TablesNGの取り組み 1. テーブルの行にposition: sticky 2. バック
ブラウザレンダリングの仕組み
フロントエンド用語を100秒で解説するチャンネルを作りました！ よかったらチェックしてみてください！ はじめに 以前書いた記事「Webページがブラウザに表示されるまでに何が起こるのか？」で ブラウザレンダリングについて詳細に知りたいという意見をいただいたので、調べてまとめてみました。 全体図 レンダリングの大まかな流れです。 HTMLのダウンロード サーバから送られてきたHTMLをダウンロードします。 HTMLの解析 サーバから送られてきたHTMLファイルは、「0」と「1」でできたデータになっています。 ブラウザは、サーバから受け取ったデータをそのままHTMLとして解釈することはできないので、自分で扱うことができる形、つまりDOMに変換する必要があります。この作業を 解析 ( Parse ) と言います。 HTMLをダウンロードしたら、すぐにこの解析作業に入ります。作業は以下のようなステッ
フロントエンドのパフォーマンスチューニングを俯瞰する - 30歳からのプログラミング
去年からフロントエンドのパフォーマンスについて断続的に学んでいるが、自分の頭のなかにある知識はどれも断片的で、まとまりを欠いているような感覚があった。 知識と知識がつながっておらず、各施策が何のために行われるのかも、必ずしも自明ではなかった。何となく「パフォーマンスに効果がある」と言ってしまうが、それが何を指しているのかは実は曖昧だった。 このような状態では新しい知識を得ていくのが難しいというか、効率的に行えないように思えた。議論の背景が分からないし、文脈や問題意識を上手く掴めないから。何の話をしているのかよく分からない、という状態になりがち。書かれてあることの意味は分かっても論旨を掴めているわけではないから、自分のなかに定着しない。 そこで、現時点で自分が知っていることを整理して、自分なりに分類しておくことにした。 当たり前だが、どのテクニックがどの程度有効なのかは、状況によって違う。
Webブラウザ上で純粋なHTTPだけで単方向リアルタイム通信を可能にするHTTPのストリーミングアップロードが遂にやってくる - nwtgck / Ryo Ota
Web標準のHTTPクライアントfetch()でストリーミングしながらアップロードできるようになる。
2024年に最適なfont-familyの書き方 - ICS MEDIA
ウェブサイトのフォントは何を指定すればよいのでしょうか？ CSSのfont-familyプロパティーに指定可能なフォントは選択肢が多く、HTMLコーダーなら誰もが一度は迷ったことがあるはずです。 font-familyの組み合わせを紹介している記事は多々あります。しかし、必要のない指定や、考察不足なまま紹介している記事を見かけることは少なくありません。それもそのはず、フォント事情は日々変化するもので、古い情報は役立たないことが多いためです。 本記事ではフォントに関わるここ最近のビッグニュースを取り上げつつ、教訓から学んだ変化に強い「無難」なフォント指定を紹介します。 結論 いきなり結論ですが、以下のフォントの組み合わせがオススメです。CSSのbodyセレクターなどにコピー＆ペーストして利用ください。 body { font-family: "Helvetica Neue", Arial,
Chrome誕生10年。やめたくてもやめられない理由
Chrome誕生10年。やめたくてもやめられない理由2018.09.06 22:0047,415 Adam Clark Estes - Gizmodo US ［原文］ （ satomi ） Google Chrome誕生から早いもので10年。 僕もOS X対応版が出た2009年から使ってますけど、もうこれなしでは生きていけない蟻地獄になっています。電気をどんどん食って、データをばんばん吸い取るこのソフトをほぼ1日中使ってます。何も好きこのんでChrome漬けになってるんじゃないですよ。いくらがんばってもやめられないだけです。 かつて感じた優越感人間としてダメだということに尽きますけど（これについては後ほどくわしく）、やっぱりChromeでウェブ閲覧そのものが変わってしまったんですよね。 Chromeが出た当時はとにかくスピードがすごくて、初期ベンチマークではFirefox、Safari、I
IE対応と言われたら金額倍くらいを提示したい
ウェブ系の仕事をしてるが気軽にIE対応とか言われることがあるが気軽に対応できるものではない IEは最新の11ですらもう何年も前のものだ もう5年くらいは経つのだろうか セキュリティのアップデートはあるようだが、機能の更新はない ChromeやFirefoxは1,2ヶ月程度に1回アップデートをしていて毎回様々な機能が追加されている 今ではもうIEとで使える機能の差はとても大きい 未だに昔ながらのjQueryのみという作りをしているのであれば大して気にすることではないがモダンブラウザをターゲットに最新機能をどんどん導入している場合はIE対応がかなり辛い 実際に倍くらいの時間がかかることもある JavaScript コア部分であれば Babel で変換したりpolyfillである程度の対応はできるが DOM などブラウザ固有の WebAPI はそうではない 別途それぞれのpolyfillを集めて
IPアドレス・クッキー・JavaScript・UAなどを使わずユーザーを個別に追跡する方法
by Vernon Swanepoel ウェブサイトのユーザーがどれぐらいページを見てくれているのか、訪問頻度はどれぐらいなのかといった情報を追跡するのにはクッキー(Cookie)やJavaScriptなどが使用されますが、そうやって追跡されるのがイヤだということでCookieを受け入れないように設定したり、JavaScriptをオフにしているという人もいるはず。しかし、それでもユーザーを個別に追跡する方法があります。 Lucb1e.com :: Cookieless Cookies http://lucb1e.com/rp/cookielesscookies/ これはオランダ在住でコード・セキュリティ・ネットワークを愛しているというlucb1eさんが明らかにしたもの。手法としては新しいものではなく、多数のサイトで使われているにもかかわらず、そのことを認識している人はほとんどいないというも
[iPad] 最強のブラウザはどれだ？iPadのブラウザ3つを比較してみた。 | DOSANKO APPS
iPadをお使いのみなさん、ブラウザはどれを使っているでしょうか。 日本でも先週にようやくiPad2が発売になり盛り上がっています。iPadの特徴といえば、やはりコンテンツに直接触れているかのようなブラウジングですよね。 そこで、今回はiPadのブラウザアプリのレビューをしてみたいと思います。やっぱり標準が最高？Safari これについてはもはや説明不要だと思います。 多くの方はiPadの標準ブラウザであるSafariを使ってるんじゃないでしょうか。 iOS 4.3のアップデートでSafariの動作速度が向上し、体感的にもかなりページの読み込みが早くなりました。後述する2つのアプリと比較しても、ページの読み込みについては最も高速に感じられます。 タブの切り替えはサムネイルが一覧で表示されるので美しく、かつ直感的に表示したいタブを選択することが可能。 欠点を挙げるとすれば2点。 1つ目は、タ
Haus der Lüge - FC2 BLOG パスワード認証
ブログ パスワード認証 閲覧するには管理人が設定した パスワードの入力が必要です。 管理人からのメッセージ 閲覧パスワード Copyright © since 1999 FC2 inc. All Rights Reserved.
HTML5はFlashの3倍重かった! 描画パフォーマンスの比較 | ClockMaker Blog
最近のHTML5の盛り上がりには勢いがありますが、実際の所HTML5はどうなのか気になったので描画パフォーマンスを測定してみました。上記のグラフが結果ですが、HTML5で一番よい実装よりもFlashのほうが3倍弱高速という結果がでました。ブラウザによってはFlashのほうがHTML5より18倍も高速という結果もでています。 さらに言えば、HTML5の描画パフォーマンスが最も良かったのはSafariですが、ブラウザによってはそれの15%ぐらいのパフォーマンスしかでないブラウザもあり処理速度にばらつきが大きいのが特徴でした。ですが、Flashはどのブラウザでもスコアの振れ幅が小さくブラウザ間の処理速度は安定しているように思います(プラグインなので当然といえば当然の結果ですが)。 検証デモ HTML5やFlashと言っても様々な実装方法があるので、よく使われる方法を幾つか用意して検証しています。
Microsoft、IE 6の米国でのシェア1％切りを祝う
米Microsoftは1月3日（現地時間）、同社の旧版Webブラウザ「Internet Explorer（IE）6」の米国でのシェアが2011年12月に1％を切ったと発表した。 同社は、セキュリティ上の問題回避や開発者への負担軽減を目的に、IE 6からIE 8あるいはIE 9へのアップデートをユーザーに呼び掛けており、昨年3月にIE 6終了促進のカウントダウンサイトを立ち上げた。 このサイトには米調査会社Net Applicationsの最新データに基づくIE 6のシェア分布図が掲載されており、Microsoftは新たに1％を切る国が増えるごとに“お祝い”をしている。 米国は、オーストリア、ポーランド、スウェーデン、デンマーク、フィンランドに続く6番目の“1％切り”国になった。同月には、チェコ、メキシコ、ウクライナ、ポルトガル、フィリピンも1％を切っている。 日本の12月のIE 6のシェア
マイクロソフト、「Internet Explorer」のアップデートを自動化へ
Microsoftは2012年1月より「Internet Explorer」（IE）の自動アップデートを開始する予定である。「Windows Update」で「Automatic Updates」（自動更新）を有効にすると、「Google Chrome」のようなシームレスなアップデートが実行される。 これによって、古いバージョンのブラウザを使用しているユーザーはバージョンが急に上がったことに気付くことになる。「Windows XP」でIE6およびIE7を使用する場合はIE8に、「Windows Vista」の場合はIE9に自動更新される。なおIE9は、Windows XPに対応していない。 IE担当シニアディレクターのRyan Gavin氏は「最新ブラウザを使うメリットを誰もが享受できるよう、（アップグレードの）方法を顧客と話し合ってきた。セキュリティの観点だけを見ても、これは重要な変更だ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://japan.internet.com/webtech/20130404/7.html
スマートフォン対応、気をつけたいトラブル
TechCrunch | Startup and Technology News
