HTML5のLocal Storageを使ってはいけない（翻訳）｜TechRacho by BPS株式会社
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Randall Degges - Please Stop Using Local Storage 原文公開日: 2018/01/26 著者: Randall Degges 日本語タイトルは内容に即したものにしました。 画像は元記事からの引用です。 初版公開: 2019/10/19 追記更新: 2024/04/05 -- リンク情報を記事末尾に移動しました 本気で申し上げます。local storageを使わないでください。 local storageにセッション情報を保存する開発者がこれほど多い理由について、私にはさっぱり見当がつきません。しかしどんな理由であれ、その手法は地上から消えてなくなってもらう必要がありますが、明らかに手に負えなくなりつつあります。 私は毎日のように、重要なユーザー情報をlocal storageに保存す
自作Cコンパイラで Ken Thompson のログインハックを再現してみた - 0x19f (Shinya Kato) の日報
UNIX 開発者の一人である Ken Thompson が初期の UNIX にバックドアを仕掛けていたと言われている通称 Thompson hack を自作Cコンパイラで再現してみました。 Thompson hack は UNIX のログイン処理のコンパイル時にバックドアを仕掛けるようなコンパイラを作り、さらにコンパイラのソースコードからその痕跡を消し去るという神業です。 元ネタは Reflections on Trusting Trust という1983年に Ken Thompson が Dennis Ritchie と共にチューリング賞を受賞した際の記念公演です。 Ken Tohmpson はこの細工をしたコンパイラを配布したことはないと主張しているそうですが、このバックドアを利用したと見られる不審なログインがあったという報告もあったとのことで、実際にはベル研究所の外部に配布されていた
コードを静的解析して脆弱性を検出する「SCALe」、米CERTがオープンソースで公開
米Software Engineering Institute（SEI）のCERT部門は、静的解析によってコードの脆弱性を検出するアプリケーション「SCALe」（Source Code Analysis Laborator）をオープンソースで公開しました。 SCALeは、複数の静的解析ツールをまとめて実行するためのフレームワークでできており、今回公開されたアプリケーションにはセキュリティに関するコーディング規約「SEI CERT Coding Standards」およびSQLインジェクション、クロスサイトスクリプティング、バッファオーバーフローなど多くのソフトウェアの脆弱性を体系的に一覧化した「CWE（Common Weakness Enumeration）」（共通脆弱性タイプ一覧）の2つをベースにしたツールが含まれています。 SEI CERT Coding Standardsは現在、C/
「偽のバグを大量に埋め込む」ことでソフトウェアのセキュリティがアップすると研究者が指摘
ソフトウェア開発では、バグの数をゼロに近づければ近づけるほど、セキュリティが高くなるとされています。しかし、かなり特殊な条件下でしか発生しないバグについては発見するのも困難で、バグを全てつぶすことは不可能とも言われています。ニューヨーク大学タンドン工科校で計算機科学の助教を務めるブレンダン・ドーラン＝ギャビット氏らの研究チームは、ソフトウェアのセキュリティを高める方法としてバグを減らすのではなく、「偽のバグ」をプログラム内に大量に埋め込む方法があることを示しました。 [1808.00659] Chaff Bugs: Deterring Attackers by Making Software Buggier https://arxiv.org/abs/1808.00659 Cramming Software With Thousands of Fake Bugs Could Make It
systemdの不具合について、「安全ではない言語を使っている」のが原因との指摘 | スラド デベロッパー
先日、systemdにバグがあることが発見され、誰でも比較的簡単にLinuxシステムをクラッシュさせることができることが発覚した。この問題を指摘したAndrew Ayer氏によれば、systemdには設計上の欠陥があるという。バグのないソフトウェアを書くことは非常に困難だが、良いプログラマはバグの可能性を最小にするか、その影響を低減させる方向へソフトウェアを設計することの重要性を理解している。しかしsystemdの開発者たちはこれを理解していないと主張。不必要な複雑性を膨大に詰め込むことを決定し、メモリを安全ではない言語で記述したと非難している（Andrew Ayer、iWire）。 また、TechCrunchの記事では、安全ではない言語がキーポイントだとし、メモリ管理が安全でない言語を使って安全なコードを書くことを期待するのは現実的ではないと指摘している。一方でAndrew Ayer氏は
Webとセキュリティとソフトウェア工学 - こめんと(2016-06-20)
■ [Security] Webとセキュリティとソフトウェア工学 超久しぶりに、かつ真面目な内容で更新です。 徳丸浩さんのTwitterでの 何度でも言うが、自力でトラブルシューティングできない人や組織は、自前でWordPres立ててはいけない / “一般ブロガーがAmazon Web Service(AWS)で独自ドメインのWordpressサイトを10分で作る方法…” に対して、 山田さんの（恐らく）達観したコメント「こうやってセキュリティが素人プログラマーや、見習いプログラマーを殺すんだろうなぁ。想像していたとはいえ、現実になってくると絶望しかない。」 を、 奥くんのコメント経由で見たわけです。 正直なところ、徳丸さんの元のコメントには100％同意で、山田さんもわかった上での達観なんだと思うのです（少なくとも「批判」ではないと思う）が、 ソフトウェア科学→セキュリティ→ソフトウェア工
Stateless Session for Multi-Tenant Application Using Spring Security - DZone
Once upon a time, I published one article explaining the principle to build Stateless Session. Coincidentally, we are working on the same task again, but this time, for a multi-tenant application. This time, instead of building the authentication mechanism ourselves, we integrate our solution into Spring Security framework. This article will explain our approach and implementation. Business Requir
New MIT Scanner Finds Web App Flaws in a Minute
A Berkeley postdoctoral researcher and former MIT student will soon unveil Space, a static-analysis web-application security tool that can find vulnerabilities in a minute. A new web application security scanner, developed by a former MIT student now Berkeley postdoctoral researcher, could be a real find for developers wishing to lock down bugs that live outside the OWASP top 10. The static-analys
あなただけのプログラミングパートナー、『kite』がなんかすごい | 100SHIKI
なにこれすごい。 Kiteはお使いのエディターやターミナルと連動するプログラミングサポートツールだ。 これを横でたちあげておくと「この命令はこういう意味だよ」「そこ間違ってるし」「サンプルコードはこちら」といったことを教えてくれるのだ。 秀逸なので自分が使っているツールをそのまま使える点だ。 まだリリース前だが、是非サイトのデモムービーを見てほしい。あなただけのプログラミングパートナー、というキャッチがとても素晴らしい。
SpringBootとSpring Security OAuth2で自作OAuthサーバと認証する - Qiita
はじめに 使用するもの Eclipse Gradle 認証サーバここで作成したもの install Eclipse Market Placeから Gradle IDE Pack Spring Tool Suite Project setup project作成 Eclipse - File - New - Project... Gradle - Gradle Project Project nameに任意の名前、Sample ProjectにJava Quick startを選択 不要なパッケージの削除 src/main/java 配下 src/main/resources 配下 src/test/java 配下 src/test/resources 配下 gradleより依存パッケージのインストール package version情報を外出しするため、project直下にgradle.p
セキュアコーディング方法論再構築の試み | slideshare
データベースにおけるSaaSパーティショニングモデル、データベースエンジン毎の構成イメージ、マルチテナント化に向けた考慮点について解説しています。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
大手Webサービスや大学/政府機関で使われる「BIG-IP」に深刻な脆弱性
GitHub - aruneko/WebUSB-MyNumberCard
GitHub - digawp/hello-enclave: A "Hello World" Intel SGX enclave program
IBM Cloud Blog
Attacking an FTP Client: MGETting more than you bargained for | Snyk
高速な暗号実装のためにしてきたこと