oreilly.co.jp -- Online Catalog: Ajaxアプリケーション & Webセキュリティ
TOPICS Programming , Web , Security 発行年月日 2008年02月 PRINT LENGTH 284 ISBN 978-4-87311-358-6 原書 Securing Ajax Applications FORMAT Ajaxは、昨今のWebサービスでは欠かせないものとなっていますが、そのインタラクティブ性の高さゆえに多くの脆弱性を抱えており、セキュリティがますます重要になってきています。本書はAjaxアプリケーションをはじめ、Web 2.0関連のテクノロジやWebサービス全般に関しても幅広くカバー。セキュリティに関する基本知識やWebアプリケーションの持つ脆弱性にも詳しく触れています。実際に多数のアクセスを集めているWeb 2.0サイトでのケーススタディなども交え、安全なWebアプリケーションを構築するために必要な知識をコンパクトにまとめています。
Linux/Apache系Webサイトを狙った正体不明の攻撃についての現状報告 | OSDN Magazine
セキュリティ調査会社のFinjanから今月中旬に出されたプレスリリースにて、ある一群のWebサーバに何らかの不正操作を施された結果、そこにアクセスする多数のWindowsマシンが連日マルウェアに感染させられ続けており、こうして汚染されたマシンは未だ正体のつかめぬ犯罪組織の意図するボットとして活動するようになっているという警告が報じられている。この問題の発覚後、セキュリティ企業のScanSafeおよびSecureWorksもこの件に取り組んではいるが、感染されたサイト数の正確な数は未だ把握しかねているとのことだ。ただし今のところ、被害にあったサーバはLinuxおよびApacheの組み合わせという点において、すべてのレポートが一致している。 ServerTune.comの掲載記事にある説明では、今回の手口では不正操作を受けたサーバにルートキットの一種がインストールされており、それが正規のシステ
yohgaki's blog - いろいろ変わったXSSがありますが...
私が知らなかっただけかもしれませんが、これにはかなり驚きました。いろんな所で問題が指摘されていますが、ECMAScriptにXML機能を追加したのはどうなんでしょうね…. 確かにかなり便利なのですが以下のコードでスクリプトが実行されることはほとんど知られていないでしょうね。 <script> 123[”+<_>ev</_>+<_>al</_>](”+<_>aler</_>+<_>t</_>+<_>(1)</_>); </script> 好むと好まざる関係なくFirefox 1.5から使えるのでWeb開発者は知っておかなればならないです。 日本語訳 http://www.ne.jp/asahi/nanto/moon/specs/ecma-357.html 原文 http://www.ecma-international.org/publications/standards/Ecma-357.
はてなスターの認証強化について - はてなスター日記
先ほど、はてなスターの仕組みを変更し、正常なはてなスターのコード以外で☆が付けにくくなりました。 これまでの仕様では、画像（img）タグなどに☆を追加するためのURLを仕込ませるだけで、そのページにアクセスしただけで☆をつけたことになってしまうなどの問題が発生していましたが、今回の変更により、セッションごとに暗号化された文字列を追加でやりとりするようになり、意図しない☆がつきにくい仕組みになりました。 なお、既存のはてなスターを設置のユーザー様は、特に設定の変更などは必要ございません。 新しい仕様でも、JavaScriptが実行可能な環境で意図的にスクリプトを仕込むことで意図しない☆が付く動作を実行させることが可能ですが、はてなダイアリーやグループなどのJavaScriptを自由に書くことができない環境ではこのようなことはできなくなっています。 はてなスターでは、外部のブログサイトなど様々
2007-07-31
1か月以上ご利用いただいていない日記の「スパムコメント・トラックバックの拒否」を有効にしました 先ほど、はてなダイアリーとはてなグループにおいて、1か月以上更新のない休眠状態のブログに対して「スパムコメント・トラックバックの拒否」設定をはてなにより有効とさせていただきました。 はてなダイアリー及びはてなグループにはコメントやトラックバックを外部から受け付ける機能があり、以前からご利用いただいております。しかしこの数ヶ月間、スパムコメントやトラックバックの数が非常に増加しており、日記一覧ページやアンテナで記事が更新されたと思って見に行ったらスパムコメントだけがついていたり、あるいは毎日のように大量のスパムトラックバックが飛んでくるため、いつもスパムへの誘導リンクを見てしまうといった被害が大量に発生しています。 はてなでは、先日からDNSBLを用いたトラックバックフィルターやコメント時の画像認
#6 IT戦士 天野 仁史／こんにちはこんにちは！ Hamachiya2（後編） Webアプリ開発でもっとも重要なこと | gihyo.jp
小飼弾のアルファギークに逢いたい♥ #6IT戦士 天野 仁史／こんにちはこんにちは！ Hamachiya2（後編） Webアプリ開発でもっとも重要なこと 天野 仁史さん、Hamachiya2さん（はまちちゃん）との対談の後編です。 編集部注） 本対談は2007年3月に行われたものです。 撮影：武田康宏 優れたエンジニアって 弾：毎度おなじみの質問です。優れたエンジニアとして重要なのはどんなことでしょうか。タグは綴じようとか（笑）。 天：俺は自分1人でどこまで作れるかっていうことだと思います。上から下まで自分でどのくらい作れるか。そういう意味では、自分はまだまだかなぁと思うんですけど。 は：そういう人がそばにいたら、何でもお願いしたくなっちゃうかも。アイディアが湧いたら「こんなの作って」とかって。この人に言ったら、上から下まで全部できちゃうみたいな。 弾：いやでも何でもやら
てっく煮ブログ - あまり語られていない Apollo のセキュリティについてまとめてみた
(2007年10月追記) この記事は、Adobe AIR と呼ばれている技術のα版時点でのセキュリティについて述べています。2007年10月現在での最新版についての情報は、以下のページを参照してください。akihiro kamijo: Adobe AIR ベータ 2 セキュリティ関連の変更点akihiro kamijo: Adobe AIR のデジタル署名機能について(追記ここまで) void element blog: いろんな意味でしゃれにならないApollo にて Apollo はセキュリティ的に危ないよ、という話が出ていたので、ちょっと調べてみました。Web 技術を使っているとはいえ、ローカル環境で動くので、ある程度の覚悟をもってインストールする必要があります。今回は、その心構え（？）のようなものをまとめてみました。セキュリティは専門ではないので、つっこみは大歓迎です。Apollo
第3回 Web 2.0で事態が悪化
前回ではWeb 2.0の興隆とともに，JavaScriptが多用され，使用をできないようにするととたんに，Webが使い物にならなくなる現状が，脅威を生んでいることを示した。今回は，RSSといった新しい技術や，ユーザーからの情報公開といったWeb 2.0の特徴がさらに火に油を注ぐことになることを示す。 RSS，ATOMのリーダー・ソフトなど新しいアプリケーションの台頭は，ブラウザ以外にもJavaScript実行環境が増えることにほかならない。 RSSやATOMのリーダー・ソフトは本来，最新情報のリストを表示するための仕組み。JavaScriptを解釈する必要はない。しかし多くが，Internet Explorerなど既存のソフトのコンポーネントを使用してリストを表示しているため，JavaScriptを解釈してしまうケースがある。 実際，無償で配布されているRSSリーダーのいくつかでXSSのぜ
第2回 Webブラウザが乗っ取られ，犯罪者の支配下に
Web 2.0という言葉で総称される新たなインターネット時代。Webサイトやエンドユーザーに仕掛けられる攻撃もまた，2.0と呼ぶべき進化を遂げようとしている。攻撃者はWeb 2.0の中核技術であるJavaScriptを悪用してブラウザを狙う。第2回目となる今回は，今そこにある危機に迫る。 Zone-Hの場合，犯人は自己顕示を目的としていたため，被害はページ改ざん程度で済んだ。しかし，犯罪者の狙い次第で危険度はもっと高まる（図3）。 図3●XSSのぜい弱性を突くことで可能になる攻撃 キー入力の盗難や他サイトへの攻撃などユーザーが知らないうちに，背後での攻撃が可能になる。 [画像のクリックで拡大表示] 例えば銀行や証券会社のWebサイトにXSSの穴があれば，クッキーを盗まれ，不正送金などにつながるかもしれない。盗んだクッキーを使って業務で使用しているWebメールを盗み見られれば，開発や営業の資
第1回 悪意のJavaScriptで情報が漏えい：ITpro
Web 2.0という言葉で総称される新たなインターネット時代。Webサイトやエンドユーザーに仕掛けられる攻撃もまた，2.0と呼ぶべき進化を遂げようとしている。攻撃者はWeb 2.0の中核技術であるJavaScriptを悪用してブラウザを狙う。従来の脅威対策は全く通用しない。今この瞬間にも，エンドユーザーは個人情報を盗まれる危険にさらされている。 ブログ/SNSなどユーザー発信型のサイト，Ajax，RSS──。華やかさがクローズアップされるWeb 2.0。ところがその裏側では，エンドユーザーに情報盗難などの危険が広がっている（図1）。インターネット・バンキングやEC（電子商取引）サイトのユーザーIDやパスワード，クレジットカード番号はもちろん，企業内のシステムにアクセスするためのパスワードや，パソコンに読み込んだ機密文書データなど，対象はあらゆる情報だ。 2006年12月末，米国のセキュリテ
デブサミ - ぼくはまちちゃん！
っていうのがあるよって教えてもらったので、早速いってきたよ！ なんだか Perlとか JavaScriptの変人さん達が、 日本中から集まっちゃってるような、超すごい感じの集会でした！ 終わったあとに、ぼくが心をこめてつくった手作り名刺を、そこらじゅうのひとにあげてたら しゃぶしゃぶのお店につれてってもらえて 最速たんとか、id:amachangとかが手とり足とり JavaScript教えてくれたよ！ チラシの裏に手書きで…！ やった！ 肉もおいしいし JavaScriptがすこしわかった気分です！ ありがとう！ 今度は、JavaScriptで、sleepとかヒアドキュメントとかやる方法を ききにいきたいので、できるようにしておいてください！おねがいします！
機密情報にJSONPでアクセスするな
2007年6月7日 はてなブックマークのコメントをうけて、「常にJSONP、JSON、JavaScriptに機密事項を含めないように」という主張を改め、「クロスドメインアクセスの対策をとっていない状態ではJSONP、JSON、JavaScriptに機密事項を含めないように」という主張に関して記述しました。 こんにちは、SEの進地です。 今回から週単位でWebアプリケーションのセキュリティに関するエントリーを書いていこうと思います。 僕自身、日々勉強して精進というところですので、もし何らかの誤りがあれば是非ご指摘ください。 つっこみ大歓迎です。 今回取り上げるのはWeb 2.0なアプリケーションでセキュリティ面で気をつけるべきことの一つ、機密情報にJSONPでアクセスするなです。 JSON(JavaScript Object Notation)はJavaScript(ECMAScript)の
クロスドメインでのデータ読み込みを防止するJavaScript ? - snippets from shinichitomita’s journal
GMailのコンタクトリスト漏洩のエントリのついでに。 JSONデータをscriptタグにのせて配信するサービス（JSONPなど）で、限られたサイトのみにしかそのデータを配信しないようにするためには、クライアントが送出してくるリファラ情報を使ってサービスコンシューマとなっているサイトを特定してアクセス制御する方法がある。 この方法はおそらく大部分のクライアント（ブラウザ）に対しては有効で、例えば実際にGoogle MapsなどもそれとAppKeyを組み合わせてサイトを判別しているっぽいのだけど、意図的にリファラ送出を切っているブラウザであったり、あるいはプロキシプログラムなどが自動的にリファラヘッダを除去してしまうようなクライアント環境に対しては無効になってしまう。 ということで、そんなクライアントでもなんとかならないだろうかと考えていたときにちょっと思いついた、もしかしたらこの方法なら許
AjaxでHTTPSを使わずに暗号化通信を行うライブラリが登場：CodeZine
HTTPSを使わずに、PHPやASPで暗号化通信を行うAjaxライブラリ「aSSL」が登場した。RC4暗号化アルゴリズムを使うことでSSLと同様の機能を実現する。 aSSLは自動的に送信内容を暗号化しながらサーバとやりとりをする。セッションが切れそうになるたびにキーを生成し、同一のキーは再利用されない。 aSSLライブラリはJavaScriptファイルとサーバーコンポーネントから成り、PHPとASP環境で利用できる。将来的にはPerlやPython、TKLなどでも使用できるようにするという。 ただ現在、脆弱性のバグが見つかり、修正しているようだ。 aSSL - Ajax Secure Service Layer
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
3月はスパム活動に新たな兆候、引用符によるHTMLリンク分割など
http://www.seshop.com/event/dev/2007/data/
http://youmos.com/reference/greybox_sample.html
JavaScript XmlHttpRequest tests
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/jsonp-security.php
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/crosssite_security.php