間違いだらけの「かんたんログイン」実装法
今回は、そのかんたんログインの問題点について説明します。 「契約者固有ID」を用いるかんたんログイン かんたんログインとは、携帯電話の「契約者固有ID」を用いたログイン手法です。 第1回で説明したように、携帯電話のブラウザのリクエストヘッダには契約者固有IDと呼ばれるIDを付けることができます。契約者固有IDは、携帯電話事業者によって詳細は異なりますが、すべての携帯電話事業者が対応しています。 図1は、NTTドコモの携帯電話がサポートしている契約者固有IDである「iモードID」がサーバに送信される様子です。この情報は、ユーザーがそれと意識することなく送信されます。携帯電話のかんたんログインとは、契約者固有IDのみを用いて認証を行い、ログイン機能を実現することです。 かんたんログインは、ベーシック認証のようにIDとパスワードを管理する必要もなく、Cookieのように対応する端末を考慮する手間
セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?
(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに
Gmail・Flickr・Twitterなど、主なオンラインサービスをバックアップする方法 | ライフハッカー・ジャパン
クラウドコンピューティングのおかげで、コミュニケーションに関するもののみならず、データの保存や共有にも様々なオンラインサービスが提供されています。ユーザにとっては便利になり有難い限りなのですが、このようなオンラインサービスを活用するということは、メール・画像・ドキュメント・連絡先・ブックマーク・投稿記事など、自分の大事なデータを第三者に委ねてしまっているということでもありますね。リスクマネジメントの観点から「いざ」というときに備えておくことも大切です。 米Lifehackerの生みの親・Gina Trapaniは、Gmail・Twitter・Flickerなど、主なオンラインサービスにおけるバックアップ方法について、以下のように述べています。 1. メールアカウント Gmail・Yahoo!メール・Hotmailなど、ウェブベースのメールアカウントは、定期的にメッセージをダウンロードしてお
ウェブセキュリティ最前線--「パラノイド」：それはヤフーのセキュリティチーム
編集部注記：今回はウェブセキュリティの現状と将来について検証する、4回にわたるシリーズの第2回目です。 グーグルが感じる「再取り組み」の必要性 「パラノイド」：それはヤフーのセキュリティチーム MSがデスクトップから学んだ教訓 問題の解決への道 Arturo Bejar氏は8年前、Yahooのセキュリティチームにぴったりの名前を思いついた。「Paranoid」（病的なまでの心配性）だ。 「Chief Paranoid Yahoo」の肩書きを持つBejar氏は、自身が指揮する部署の愛称として、堅苦しくなく、セキュリティの役割を身近に感じられる名前を付けたかったのだ。 「われわれは、セキュリティをもっと気楽にとらえてもらえるよう取り組んでいる。セキュリティはたしかに重要だが、深刻になりすぎないほうが導入が進む、というのが私の考え方だ」とBejar氏は話す。 型破りのネーミングは、かつてドットコ
PHPでの入力値チェックのすり抜け - T.Teradaの日記
Webアプリケーションでは、外部からの変数に対して、形式チェック（Validation）を行ないます。PHPでこれを行なう場合に、ありがちなミスをいくつか挙げてみました。 この日記は、がるさんの日記に触発されて書いたもので、いくつかの例を引用しています。 がるの健忘録(2006/11/08) - 素晴らしき自動的な世界〜或いは「型のない」世界〜 型の問題 数値と文字列の比較 <?php $input = "2'; DELETE FROM hoge; --"; if ($input == 2) { // ↑TRUEと評価される がるさんの日記で紹介されていた例に、手を加えたものです。 if文中の式がTRUEになるのは、PHPの「==」演算子が、数値型と文字列型変数を比較する際に、文字列を（かなり強引なやり方で）数値型に変換するからです。変数の比較は、同じ型同士で行なうのが無難だと思います。
PHP と Web アプリケーションのセキュリティについてのメモ
このページについての説明・注意など PHP は、Apache モジュールや、CGI、コマンドラインとして使用できるスクリプト言語です。このページでは、主に PHP における、Web アプリケーションのセキュリティ問題についてまとめています。 Web アプリケーションのセキュリティ問題としては、以下の問題についてよく取り挙げられていると思いますが、これらのセキュリティ問題について調べたことや、これら以外でも、PHP に関連しているセキュリティ問題について知っていることについてメモしておきます。 クロスサイトスクリプティング SQL インジェクション パス・トラバーサル(ディレクトリ・トラバーサル) セッションハイジャック コマンドインジェクション また、PHP マニュアル : セキュリティや、PHP Security Guide (PHP Security Consortium) には、PH
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://php-coding-practices.com/php-security/introduction-to-php-security-vulnerabilities/