[B! html5][security] tarchanのブックマーク

攻撃シナリオを使って解説するApplicationCacheのキャッシュポイズニング

攻撃シナリオを使って解説するApplicationCacheのキャッシュポイズニング吾郷協最近ウィンナーと燻製の自作にはまっています。@kyo_agoです。この記事は1/28に行われた、第44回HTML5とか勉強会（HTML5とセキュリティ編）で発表した内容を元に書いています。今回はApplicationCacheのキャッシュポイズニングに関してお話したいと思います。最初に用語について説明します。キャッシュポイズニングとは、キャッシュに対して攻撃コードを送り込み、そのキャッシュ経由で攻撃コードを実行させる攻撃手法です。 Googleで「キャッシュポイズニングを検索」した場合、検索結果の上位はDNSのキャッシュポイズニングに関する内容がほとんどですが、最近はクライアントサイドのキャッシュポイズニングも話題に上がるようになっています。「クライアントサイドのキャッシュポイズニング

tarchan 2014/02/14

＞中間者攻撃（MitM）が成立している時点で、攻撃者は対処コードを除外した形でキャッシュを汚染することが可能です。

リンク

重要！まずは「オリジン」を理解しよう

連載目次皆さんこんにちは。ネットエージェントのはせがわようすけです。今回から、HTML5やJavaScriptに関連したセキュリティの話題について連載することになりました。よろしくお願いします。もう読みましたか？ HTML5のWebアプリセキュリティに関する報告書皆さんすでにご存じかと思いますが、2013年10月30日にJPCERTコーディネーションセンター（以下、JPCERT/CC）から「HTML5 を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」が公開されました。この報告書の調査の一部は、弊社が行いました。また、JavaScriptのセキュリティ上の問題について次々と鋭い指摘を行っているmalaさんにもさまざまな技術的アドバイスを頂いた上、日常的にWebアプリケーションのセキュリティ検査や構築を実際の業務として行っておられる専門家の方々にも査読をお願いして

tarchan 2013/11/26

＞ChromeやFirefox、Safariなどでは、JavaScriptからlocation.originというプロパティを読むことで、現在表示しているドキュメントのオリジンを文字列として取得できます。

リンク

HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書

HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題

tarchan 2013/11/26

リンク

HTML5時代のWeb開発者が知らないとガチヤバな3つの未来予測と6つの脆弱性対策

8月21～23日にパシフィコ横浜で開催された「CEDEC 2013」では、Webの世界に関するセッションも数多く行われた。本記事ではその中から、サイボウズ・ラボの竹迫良範氏による「HTML5のこれまでとこれから、最新技術の未来予測」と、セキュリティコミュニティでは大変著名なネットエージェント、長谷川陽介氏による「HTML5時代におけるセキュリティを意識した開発」の2つのセッションの様子をお送りしよう。竹迫氏が「HTML」の周りの最新技術と、3つの未来予測を語る未来予測その1：通信は暗号化が標準に――「スタバでドヤリング」から考える最新技術竹迫氏はまず、スターバックスでスタイリッシュなMacBook Airをこれ見よがしに使う、「ドヤリング」という技術（？）について写真を出すところから講演を始めた。実は、この「ドヤリング」、公衆無線LANを利用すると盗聴のリスクがあることが指摘されて

tarchan 2013/09/09

＞Facebook、Twitter、Google、Amazon、Dropbox、Evernote、WordPress、Flickr、bit.lyなど―― へログインしているユーザーを探し出し、そのユーザーに“なりすます”ことが可能

リンク

葉っぱ日記

在宅生活が本格化してからは多い時では1日10杯以上コーヒーを飲んでいたけど、さすがに飲みすぎなので1日1杯に減らした話。 2年以上ぶりにブログを書いてるんだけど、ほんとに個人的などうでもいい話です。このブログにはテクニカルな話は今後もほとんど書くことはないと思うので、テクニカルな話が読みたい人は会社のエンジニアブログを読んでください！（それもあんまりテクニカルな内容じゃないけど）もともとコーヒーが好きで、あんまり覚えてないんだけどたしか小学校3,4年生くらいのころから日常的にコーヒーを飲むようになったような気がする。親が飲んでたコーヒーがいい香りだったのでわけてもらって飲み始めたのがきっかけだったような記憶が。で、コロナ禍以前はオフィスで自分で淹れたりバリスタの研修を受けた同僚に淹れてもらったりで毎日6,7杯は飲んでた。朝起きてコーヒー飲んで、会社についたら1杯、午前中にもう1杯、ラン

tarchan 2013/04/10

リンク

はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知

はてなグループの終了日を2020年1月31日(金)に決定しました以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記はてなグループ日記のエクスポートデータは2020年2月28

tarchan 2012/10/11

＞デフォルトでHTMLエスケープをするテンプレートエンジン (普通はそう) を使う場合には、余計なエスケープの心配をする必要が一切なくなります。

リンク

Using the HTML5 Fullscreen API for Phishing Attacks » Feross.org

This blog post contains JavaScript and other dynamic content that will not display correctly in most RSS readers. I recommend reading this post directly in your web browser. Quick! Click this link to Bank Of America. There’s nothing fishy about it at all! I promise! Go ahead – hover your mouse over the link to see where it goes. You’ll find that it’s a completely normal link to https://www.bankofa