ウェブアプリのセキュリティをちゃんと知ろう (毎週のハンズオン勉強会の資料) - Download as a PDF or view online for free
2011-01-06: IE8ということを追記 & ちょっと間違いを修正。あけましておめでとうございます。 年明け早々ですが、Internet Explorerの話題です。IEはご存じの通り、Content-Type だけでなくコンテンツの内容なども sniff することでファイルタイプを決定しているため、画像ファイルやテキストファイルをHTMLと判定してしまい、クロスサイトスクリプティングが発生することが昔からたびたび報告されていました*1。現在は幾分マシになったとはいえ、IEのファイルタイプの判定アルゴリズムは非常に難解であり、現在でも状況によってはWebサイト運営者のまったく意図していないかたちでのXSSが発生する可能性があったりします。そういうわけで、IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合に
新たな報道によると、ユーザーが自分の位置情報を共有することを可能にする「iOS」のセキュリティ機能は、同OS向けアプリケーションがユーザーの写真をひそかに取り込む経路にもなっているという。 The New York TimesのBitsブログは米国時間2月28日、ユーザーの現在位置情報にアクセスを要求する場合と同じユーザーダイアログウィンドウを通じて、開発者がユーザーのフォトライブラリ全体へのアクセスを得る方法を詳述した。記事によると、ユーザーが「OK」ボタンをクリックすると、開発者はユーザーに警告することなく、(GPSメタデータが埋め込まれた)写真をリモートサーバにコピーできるという。 ただし、早まって「iPhone」を破棄したり燃やしたりしないように。Bitsによると、実際にこうした挙動をするアプリケーションがこれまでに「App Store」で提供されてきたかどうかは「不明」だという。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く