業務システムにおけるロールベースアクセス制御 - Qiita
RBACの基礎 業務システムの権限制御の基本形はロールベースアクセスコントロール(RBAC)です。簡単化すると、以下のようなモデルです。 Subject(システムユーザ)は、複数のRole(ロール)を持っている。 Role(ロール)は、Permission(権限)のセットからなる。 Permission(権限)は、オペレーション(許可される操作)のセットからなる 具体的に、Redmineでの例をみてみましょう。 ユーザにはデフォルトで「管理者」「開発者」「報告者」のロールが割当可能である。 「報告者」ロールは、「Add Issues」の権限をもつ。 「Add Issues」の権限をもつユーザは、「Issueの新規作成」ができる。 このモデルをRedmineでは、以下のように表現しています。 Redmineは1人のユーザを、複数のプロジェクトに異なるロールでアサインすることができるので、上記
これで怖くない！？コードリーディングで学ぶSpring Security #中央線Meetup
The document discusses Spring configuration and Java-based configuration. It covers topics like using @Configuration classes to define beans, @ComponentScan to find beans, @Bean to define beans, and using Java configuration as an alternative to XML configuration in Spring. It also provides examples of configuring ViewResolvers, controllers and enabling Spring MVC features with annotations like @En
初めてでも30分で分かるSpring 5 & Spring Boot 2オーバービュー
This document contains diagrams and notes from a presentation about new features in Spring Framework 5.0 for Java 8 and 9. It discusses updated features in areas like core, web, data access, security, testing and Spring Boot to take advantage of newer Java versions. Specific topics mentioned include HTTP/2 support, Bean Validation 2.0, OAuth 2.0 authentication, JUnit 5 integration, and Java 9 modu
Spring Security 5.0 解剖速報
2017年11月24日のSpring Fest 2017での発表に使用した資料です． WebFlux対応の内容は堅田さんに作成頂いたものですが，許可を得て公開しております．Read less
HTTPS Checkerはhttps変更作業にとても役立ちます。 - 超メモ帳（Web式）＠復活
今日はhttps対応をしていて見つけたテクニックやツールなんかを紹介してまいろう。 まずはContent-Security-Policy: upgrade-insecure-requestsでhttpをhttpsとして強制的に読み込む方法。これはコバろぐさんで紹介されているのを知って、ひとまず追加しておくことにした。 www.cobalog.com <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 一応、おまじないとしてheadに追加しておくのもありなんだが、技術的な情報もまとめておこう。Content-Security-Policyとはこんな機能。 www.suzukikenichi.com ここで役に立つのが、Content-Security-Policy の upgradin
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
heartbleedをiptablesで止めることについて - yasulib memo
前書き OpenSSLの脆弱性（CVE-2014-0160）が公開されました。 詳細はpiyokangoさんの素晴らしいまとめを参照してください。 OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた - piyolog エフセキュアブログにて、トーマツの岩井さんが書いた興味深い記事がありました。 エフセキュアブログ : Openssl Heartbleed 攻撃の検知について ＃根本的な対策ではなく、あくまで攻撃検知という意味で。 iptables log rules iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" iptables block rules i
本格化するMITB攻撃に備え、マイナンバーカードにトランザクション署名を
2013年以降、マルウェア感染による不正送金被害が国内でも増加している。警察庁のまとめによると、ウイルスに感染してIDやパスワードを盗み取られ、他人の口座などに不正送金される被害は、2013年は前年の約14倍に当たる1325件に上った。2014年に入ってもその傾向は変わらず、2月末の時点で500件、約6億円に上る被害が生じているという。 不正送金で、最近増えているとされるのが「Man-in-the-Browser」（MITB）と呼ばれる手法だ。被害者のPCに侵入したマルウェアが、オンラインバンキングなど特定のページにアクセスしたときにだけ動作してWebページの表示に改ざんを加え（＝Webインジェクション）、IDやパスワード情報を盗み取ったり、送金先口座を変更してしまったりする。 産業技術総合研究所が2014年3月13日に開催した「第2回 セキュアシステムシンポジウム」において、同研究所の高
IPA、テクニカルウォッチ「ウェブサイトにおける脆弱性検査手法の紹介」を公開
「ウェブサイトにおける脆弱性検査の紹介（ウェブアプリケーション編）」では、Webサイト管理者がコストをかけずに簡易に利用できるよう、7つのオープンソースの脆弱性検査ツールからタイプ別に「OWASP ZAP（Zed Attack Proxy）」「Paros」「Ratproxy」の3種を選定し、手順に沿った検査によるツールの評価を行い、ツールの特徴や使い勝手をまとめている。 オープンソースの脆弱性検査ツールは、検査方法、その精度、実施者に求められる経験など一長一短があるため、検査実施にあたってはWebサイトの運用環境や検査実施者のスキルなどを考慮し、適切なツールの選択が必要となる。同レポートを参考にすれば、ツール利用と脆弱性検査の有効性を確認できる。 IPAは、多くのWebサイトが安全な運用のために、オープンソースのツールを利用した脆弱性検査を、運用開始前だけでなく運用中のWebサイトの脆弱性
HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
JAASを使った認証と承認
認証・承認を行うプログラム ユーザー認証や権限の制御を行うために標準APIとしてJAAS(Java Authentication and Authorization Service) APIがあります。 JAASには、ユーザーが正当であることを確認する認証と、ユーザーの権限に応じて要求を制御する承認の2つの要素があります。 認証 認証で使用する主要APIは以下です。 javax.security.auth.login.LoginContext javax.security.auth.spi.LoginModule javax.security.auth.callback.CallbackHandler javax.security.atth.callback.Callback 認証のフローは大まかには以下です。 アプリケーションがLoginContextクラスをインスタンス化する Logi
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Spring securityで学ぶＳＳＯ入門
マイクロサービス時代の認証と認可 - AWS Dev Day Tokyo 2018 #AWSDevDay
次世代認証プラットフォーム “Auth0” を使ってみた / Next Geneartion Identity "Auth0" - Speaker Deck
wavsep - Project Hosting on Google Code
Securing and Encrypting Data on iOS | Envato Tuts+
https://www.ietf.org/rfc/rfc2898.txt