ブラウザ上でMarkdownを安全に展開する - 葉っぱ日記
不特定のユーザーが入力したMarkdownをブラウザ上でJavaScriptを使ってHTMLに変換するという場面においては、JavaScriptで変換してHTMLを生成するという処理の都合上どうしてもDOM-based XSSの発生を考えないわけにはいかない。かといって、MarkdownをパースしHTMLを生成するという処理すべてをXSSが存在しないように注意しながら自分で書くのも大変だし、markedやmarkdown-jsなどの既存の変換用のJSを持ってきてもそれらがXSSしないかを確認するのは結構大変だったりする。 そういった場合には、Markdownから生成されたHTMLをRickDOMを通すことで、万が一HTML内にJavaScriptが含まれていたとしてもそれらを除外し、許可された要素、許可された属性だけで構築された安全なHTMLに再構築することができる。さらに、そうやって生成
kbpgp·サーバ/Webブラウザ両方で使えるPGP暗号化 MOONGIFT
最近、Webサービスのセキュリティが問題視されるケースが増えています。大量のデータがある分、一度セキュリティインシデントが起こると大きな被害に繋がる可能性があります。それを防ぐには運営者からも読み取れないデータの保存が一番です。 そこで使えそうなのがkbpgp、JavaScriptによるPGPライブラリです。クライアントサイド、サーバサイドの両方で使えるライブラリになります。 kbpgpの使い方 Web上でのデモ。鍵ペアを生成できます。 使い方としては生成された秘密鍵を読み込みます。 alice_pgp_key = "-----BEGIN PGP PRIVATE ... etc." alice_passphrase = "rat:beast::np:complete" kbpgp.KeyManager.import_from_armored_pgp { armored: alice_pgp
Fingerprintjs - Cookie不要でブラウザを特定する技術を体感
ブラウザを特定するためにCookieを使うのが一般的です。しかしプライバシーの問題があり、個人のブラウザ遷移を記録することないようDo Not Track機能が追加されたりと徐々に厳しくなってきています。 そんな中、新たに注目を集めているのがJavaScriptだけでブラウザを特定する技術になります。今回はそれを体感するFingerprintjsを紹介します。 Fingerprintjsの使い方 この数字は同じブラウザである限り、常に同じものが出ます。実に94%の精度でブラウザを特定できるとのことです。ブラウザの言語やユーザエージェント、セッションストレージの有無などに加えて、Canvasを使った画像生成による違いも使っています。 この数字はブラウザをシークレットモードにしても変わらないようで、非常に怖い技術と言えます。広告のトラッキングなど悪用されると相当な精度で個人のブラウザ遷移が追わ
単純ではない、最新「クロスサイトスクリプティング」事情
単純ではない、最新「クロスサイトスクリプティング」事情：HTML5時代の「新しいセキュリティ・エチケット」（2）（1/3 ページ） 連載目次 皆さんこんにちは。ネットエージェントのはせがわようすけです。第1回目は、Webアプリケーションセキュリティの境界条件であるオリジンという概念について説明しました。 現在のWebブラウザーでは、同一オリジンのリソースは同じ保護範囲にあるものとし、オリジンを超えたアクセスについてはリソースの提供元が明示的に許可しない限りはアクセスできないという、「同一オリジンポリシー（Same-Origin Policy）」に従ってリソースを保護しています。 その保護範囲であるオリジンを超え、リソースにアクセスする攻撃の代表事例であるクロスサイトスクリプティング（XSS）について、今回、および次回の2回に分け、HTML5においてより高度化された攻撃と、その対策を説明しま
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
