開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
@IT: 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
ある日、大手SNS（Social Networking Site）のmixiの日記にこのような書き込みがあった。それも1人だけでなく、同日に数多くのユーザーの日記に同じ文面が掲載されていた。 これは、単にこのような文章がはやり、ユーザー自身が意図して掲載したのではなく、ある仕掛けによってユーザー自身が気付かないうちに引き起こされた現象なのである。その仕掛けとは、CSRF（Cross-Site Request Forgeries）と呼ばれる攻撃手法の一種だ。 編集部注： 現在、「はまちちゃん」トラップは、mixi運営者により対策されています。上記のサンプルは、mixi風に再構成したものです。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください
『【緊急】アメーバなう利用中の皆さんへ【ご注意！】』
お友達の書き込みに「こんにちはこんにちは！！」というものがあったら 絶対にクリックしないでください！！！！ アメーバスタッフさんの記事によると、 その書き込みをクリックすると自分の日記にも 自動的に同じ内容の記事が投稿されるそうです！ その結果、それを見た他のアメンバーさんにも、どんどん感染していきます！ これはワームというウイルスで、 まるでチェーンメールのように悪質です！！ その上、プロフィールなどの個人情報が漏洩する場合があるかもしれません！ 詳細は不明ですが、とても不気味です…！ 「こんにちはこんにちは！！」というタイトルの日記が いつのまにか投稿されていないか、 自分の「ブログ」と「アメーバなう」で、どうかご確認を！ あったら即刻削除してください！！！！！！ (１日のタイムラグの後にウイルス発動するという説もあります！) 現在、ameba管理者の方でも対応できないほどのスピードで
GENOウイルスまとめ
日本での最初の感染が通販サイトのGENOだったため、２ちゃんねるその他でそう呼ばれました。 このwikiでは2009年4～5月頃に話題となったウイルスを「GENOウイルス」と表記します。 （名前が名前なため、一般的には、攻撃元のURLより「Gumblar」と呼ぶことが多いようです。） これの何が怖いって、普通にホームページを見ただけで感染するから大騒ぎしたのです。 しかし、2009年5月、攻撃元がなくなったため、次第に事態は収束していきました。 2009年10～11月頃、「GENOウイルス」と非常によく似たウイルスが猛威を振るい始めました。 これはKasperskyのウイルスニュースより「Gumblar.X」と呼ばれています。 （似てはいるものの、基本的に「GENOウイルス」とは別物と考えてください。）
iPhone 3G／3GSでストリーミング動画中継――「Ustream Live Broadcaster」
iPhone 3G／3GSでストリーミング動画中継――「Ustream Live Broadcaster」：App Town 写真 iPhone 3GやiPhone 3GSで、手軽にリアルタイムの動画中継ができるアプリケーション「Ustream Live Broadcaster」がリリースされた。App Storeから無料でダウンロードできる。 Ustream.tvは、米国の動画共有・映像配信サービスで、ストリーミング動画のリアルタイム配信が無料でできるのが特長だ。カメラとPC、そしてインターネットに接続する手段さえ用意すれば、誰でも簡単に世界へ向けて動画中継ができる。 Ustream Live Broadcasterは、iPhoneをこの“インターネットに接続されたカメラ”にしてしまうアプリ。つまり、iPhoneにこの無料のアプリをインストールすると、誰でも簡単に動画中継ができてしまう（
「有能な人がコードを書くべき」「意志決定はできるだけ先延ばし」「契約を変えるのは難しい」アジャイルの専門家の答え － Publickey
日本での開発プロジェクトのほとんどではウォーターフォール型の開発手法が採用されており、アジャイルソフトウェア開発手法の採用はまだ数％程度といわれています。12月8日に都内で開催されたイベント「Agile Conference tokyo 2009」では、米国でアジャイルソフトウェア開発のコンサルタントなどを行っているThoughtWorksのマネージングディレクター、Xiao Guo氏が会場からの質問に答えるトークセッションが行われました。 このセッションでは、多くのエンジニアが現場でアジャイル開発ソフトウェア手法の導入や運用で悩んでいること、疑問に思うことを率直にGuo氏に投げかけています。セッションでやり取りされた質問と回答の一部を紹介しましょう。 意志決定を先延ばしすること 質問 日本のSIerに務めています。日本では、設計書をエクセルを使って画面や処理などの書類を作成しています。海
GoogleAppEngine + JRubyでクリスマスまでに彼女をつくる方法 - KAYAC engineers' blog
こんにちは。typesterの陰謀によりVimmerはモテないというデマが流れておりますが、残念ながらそれがデマだということを身をもって証明できないでいるVimmerの外村です。 先日、お悩み相談の記事がホットエントリーに入ったら彼女ができるという噂が立ち、何を間違えたかホットエントリーに入ってしまったのでどうしようかと思ったのですが、プログラマたるもの問題があればプログラムで解決すべきだろうと考えました。 というわけで彼女を作ってみました。どういうものかというと、 僕だけに定期的につぶやく 僕のリプライだけに反応してリプライを返してくれる まさに僕だけのボット彼女です。今回はこれをGoogleAppEngine+JRubyで実装したので、環境をつくるところか実際に動かすところまで説明します。 1. 環境をつくる まずはGoogleAppEngineのアカウントがないと始まらないので以下か
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
