もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
田中美保と稲本潤一がお泊りデートしてるのをホテル従業員がtwitterでバラして話題に
aoi_tkng 稲本潤一と田中美保がご来店 田中美保まじ顔ちっちゃくて可愛かった…今夜は2人で泊まるらしいよ お、これは…（どきどき笑） aoi_tkng http://twitter.com/aoi_tkng（←アカウント消去済み） twilog http://twilog.org/aoi_tkng ↓過去にもこの二人の目撃情報がtwitterに bakameguro 隣の個室に稲本、田中美保カップルなう。 http://twitter.com/bakameguro/status/21157194716160000 maringorira ヒルズで映画みたら、隣席にサッカーの稲本と田中美保が。異色な組み合わせだわね！(◎_◎;) http://twitter.com/maringorira/status/20059037697576960 pipitan14 稲本選手と田中美保がご来店
Google「お使いのアカウントで不正な操作が検出されました。アカウントへのアクセスを直ちに回復するには、携帯電話番号を入力してください」 - ネタフル
HOME小ネタ2011Google「お使いのアカウントで不正な操作が検出されました。アカウントへのアクセスを直ちに回復するには、携帯電話番号を入力してください」 急にiPhoneからGmailにログインできなくなり、Macで確認したら「お使いのアカウントで不正な操作が検出されました」というアラートが表示され、大変驚いたのでツイートしてしまいました。 表示されていた内容は以下のようなものです。 「お使いのアカウントで不正な操作が検出されました。アカウントへのアクセスを直ちに回復するには、携帯電話番号を入力してください」 ツイッターで頂いたリプライによると、既に遭遇されている方がいました！ ぼくのアカウントがなぜ「不正な操作」と判定されたのか分かりませんが、Googleアカウントを利用する別サービスで、勝手にメールを出されまくって‥‥というようなケースもあるようです。 メインのメールアカウント
divタグが多用されている経済産業省のページのdivタグを可視化してみた - Pastalablog in はてな
はてなブックマークとかで盛り上がってたのを見て、せっかくなので、divにborderかけてみたらすごいことになった。 話題なのはこのページ 経済産業省 会見・スピーチ 大臣記者会見 ページ自体は古め*1 divの数は下のコードで数えたらページ全体で309個あった。 検証方法 firebugにjQuery検証機能を付けるFireQueryというのを使ってjQueryで適当に以下のコードを実行した。 var c=new Array("red","yello","blue","green","black","pink"); $("div").each(function(i){ $(this).attr("style",("border:1px solid "+c[i%6])) }) 結果 こんなHTMLどうやって作ったんだろうか。 もし手打ちなら根気の居る作業だったんだろうなぁと思いました。 追
平文メールにパスワードを書いて送ってくる糞企業一覧
ぼく就活生。リクナビからJR東海にプレエントリーして驚いた。 ■■■ＪＲ東海からID・パスワードのお知らせ■■■ あのに 増田 様 ◆あのに 増田さんのＩＤ・パスワード◆ ＩＤ：12345678 パスワード：mypassword こんにちは！ＪＲ東海人事部です。 このたびは当社にプレエントリーを行って頂きまして、 誠にありがとうございました。 こんなメールが届いたの。 なにに驚いたって？登録画面で入力したパスワードが平文メールに書かれてたってとこ。 「mypassword」って書いてるところにぼくの大事なパスワードが書かれてたの。Gmailでも使ってる大切なやつ。 同じパスワード使ってるぼくも相当間抜けなんだけど、いまの時代いくらなんでも平文メールにパスワードはないでしょ。 とっても怖かったのでJR東海とGmailのパスワードを変更して寝ました。 恐怖はこれで終わらずに２ヶ月後。こんなメー
なんとFacebookは不正ログイン防止の仕組みまでが感動的にソーシャルだった | Token Spoken
普段、視点や環境を変えなければまったく気づかないこともあります。 しかも、その日常に慣れきっていればいるほど、そこに驚きがあるなどとは誰も予想もしていません。 もう何百回も繰り返している、そんな日常の作業の中で、予想もしない感動に出会う。 今日、Facebookを使って日々の業務をこなそうとしていたところ、そんな出来事に遭遇しましたので、皆様と共有させていただきたいと思います。 大げさですみません、しかし、個人的には少し感動しすぎてしまったものですから。。。 事の発端は、こんな事から始まりました。 実は、出張先の韓国のソウルよりSeesmic Desktop Proというアプリケーションで、Facebookアカウントの認証を行おうとしたら、こんなエラーメッセージが表示されたのです。 ここまでは、セキュリティ対策としてはよくあるパターンですので特に何とも思いません。 普段アクセスしているIP
WWWへのアクセス権を持つ7人
7ってところがまたいいですね。 上の画にあるこのカード。世界で7人だけが保持している、大災害時にWorld Wide Webを再起動させる力を持つカードなのです。 もしインターネットで大変動・大惨事が生じたら。例えばDNSSEC（Domain Name System Security）がダメージを受け、URLから目的のウェブサイトに誘導できなくなった時等。そういった緊急事態にこのカードを保持している人が出動するそうです。 7人は、イギリス、アメリカ、ブルキナファソ、トリニダード・トバゴ共和国、カナダ、中国、チェコ共和国の7カ国から選出されており、再起動する際はアメリカにあるベースにこのカードを持って集合しなければなりません。 再起動のためには7人中5人が必要です。それぞれのカードには断片的な情報しかはいっておらず、5人集まると起動が可能に。 マンガみたいだ。かっこいい。 [BBC via
「HTML5は優先順位を間違った。もういちどセキュリティの設計からやり直すべきだ」と語るJavaScript大家のDouglas Crockford氏
「HTML5は優先順位を間違った。もういちどセキュリティの設計からやり直すべきだ」と語るJavaScript大家のDouglas Crockford氏 「HTML5の最大の問題は、優先順位を間違ったことだ。機能について議論する前に、セキュリティの扱いについて検討すべきだった」こう語るのは、JSONの発明者として知られ、Yahoo!のシニアJavaScriptアーキテクトでもあるDouglas Crockford氏。5月4日に行われたオライリーのWeb2.0 Expo 2010でのインタビューでのことです。 「もうそれを議論するには遅すぎるという人もいるが、そうは思わない。正しいことをするのに遅すぎることはないのだから」（Crockford氏） Crockford氏はHTML5は機能が重複しすぎていることも指摘しています。「Local StorageとLocal Databaseの両方が本当
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LastPass