第55回 「Webアプリケーション調達時の情報システムセキュリティ要求仕様について教えてください」 : [日立]自治体ICT 応援サイト
Q.地方自治情報センター（LASDEC）が「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」を公開しました。この背景を教えてください。 はい。近年、電子申請や施設予約システムなど、自治体のシステムではWebアプリケーションが多く採用されています。一方で、Webアプリケーションの脆弱性を狙ったサイバー攻撃なども発生しています。そのため、システム調達時には機能要件だけでなくセキュリティ要件も仕様書に盛り込んでおく必要があります。さらに、納品後に脆弱性が発見された場合の対策や役割分担も、あらかじめ明確にしておくことが大切です。 しかし、このような「非機能要件」を具体的かつ体系的に仕様書に記述することは、容易ではありません。そこで、安全なシステム運用に必要な要求仕様事項をまとめた「特記仕様書」のサンプルが公開されたのです。 「地方公共団体における情報シス
PHPをよく知らずにWordPressを扱う人にぜひ読んでほしい電子書籍の紹介（著者インタビュー）
PHPをよく知らずにWordPressを扱う人にぜひ読んでほしい電子書籍の紹介（著者インタビュー） 2013.01.24 | インタビュー | 初心者向け どうもパープルです。最近、WordPressを仕事で扱う手前、最低限PHPのことも知っておく必要があるなと勉強を始めているのですが、その中でとても良い電子書籍をみつけましたので、その著者にインタビュー取材させていただきました。 WordPress3.5対応 テーマカスタマイズのためのPHP 内容： WordPress最新版3.5のデフォルトテーマであるTwentyTwelveの解説を通して、WordPressテーマカスタマイズに必要なPHPの基礎を学ぶ本。 PHPの解説の題材に、WordPressで出てくるものを取り上げ、WordPress学習者が読みすすめ易いよう工夫している。WordPress日本語版作成、Codex編集に関わってい
あなたのWebサイトの脆弱性を調査してくれるサービス『Detectify』
あなたのWebサイトの脆弱性を調査してくれるサービス『Detectify』 『Detectify』はあなたのWebサイトの脆弱性を見つけてくれるサービス。 サービス側がハッカーに成り代わってあなたのWebサイトにセキュリティーホールがあるかどうかを徹底的に調べ上げてくれます。 使い方はまず調査するWebサイトを追加することから始まります。 トップページからサイトのURLを入力しアカウントを作成しましょう。 次に自分がこのサイトの管理者であることを証明するために、3つの方法の中から選んで指示通り行ないます。 ダウンロードしたテキストファイルをサイトのルートに置く トップページのヘッダにメタタグを挿入する 各CMS用のプラグインをインストールする それが済んだら『Verify...』をクリックし確認が取れると、アカウントの確認コードがメールで送信されるので、そこに記載されているコードをペースト
WordPress のセキュリティ、こんな記事は要注意
WordPress ユーザーの間では季節行事になりつつある、WordPress をハッキングされたので、セキュリティを向上する方法を並べました、という怪しい記事がまたまた Twitter で拡散されていたので、どげんかせんといかん、と思っていたところ、WP-D のブルーさんが WordPress使いならこれだけはやっておきたい本当のセキュリティ対策10項目 という記事を書いてくれました。 僕はこの通り遅筆ですから、先を越されちゃった形になったわけですが、だいぶ書き進めていたので、せっかくだからよくある怪しい記事の見分け方とその理由をご提示します。 題して、こんなことを書いている記事は信じちゃいけません！ 最初に断っておきますが、ぼくはセキュリティの専門家でも闇プログラマーでもありません。ですが、記事のいわんとすることを冷静に考えてみることで、それが意味のない工程であったり、危険な行為である
WordPress使いならこれだけはやっておきたい本当のセキュリティ対策10項目
どうも、ブルーです。秋ですね。 季節がめぐるごとに「WordPressがクラックされたので、セキュリティ対策について調べてみました」的なブログ記事がソーシャル上で出まわり、そのたびにWordPressを扱うデベロッパー層が「また無意味な対策がはてブされてる…」と嘆くのが恒例行事のようになっております。例えば… 「WordPressのバージョンを隠す」 「データベースのプレフィクスを変更する」 「サブディレクトリーにインストールする」 うん、気休め程度かな… 「2年以上放置されている怪しげなセキュリティ対策プラグインを入れる」 そっちのほうがこええよ！ 「サーバーのディレクトリー一覧の非表示」 それ見えちゃってるサーバー管理者では、何しても不安だよ！ とはいえ、そう思いつつも「これが決定版だ！」的な記事を書くのは勇気がいるものです。特にセキュリティ業界は怖いお兄さんが多…うわ何をするやめr
COOKPADの「伏せ字にせず入力」ボタンは素晴らしい
@tokuhiromから教えてもらったのですが、COOKPADのスマートフォン向けWebサイトのログインページには、パスワードを「伏せ字にせず入力」するボタンがついているのですね。 さっそく見てみましょう。まずはログイン画面です。パスワード欄の下側に、「伏せ字にせず入力」ボタンが見えます。 「元に戻す」ボタンを押すと、伏せ字に戻ります。 僕はこれを知って興奮しました。なぜなら、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方」には以下のように書いたからです（P337～P338）。 パスワード入力欄のマスク表示は、現在の常識的なガイドラインですが、実は筆者自身は疑問を持っています。パスワード入力欄をマスク表示にすると、記号や大文字・小文字交じりの安全なパスワードを入力しにくくなるので、利用者は簡単な（危険な）パスワードを好むようになり、かえって安全性を阻害するリスクの方が大きいのでは
OAuthなプラットフォームの中の人が椅子を投げたくなるアプリの実装 - r-weblife
こんばんは、ritouです. 世の中, OAuthの仕様に沿って提供されているAPIだらけです. モバイル端末で動作するアプリでも, そんなAPIを利用するものだらけです. OAuthなユーザーフロー アプリのOAuth実装となるとそれはそれはこまけぇことでいろいろあります. とりあえず, OAuthなプラットフォームを提供する側は以下のようなユーザーの動きを望んでいます. mixiと連携するボタンを押す 外部のブラウザが立ち上がる 未ログインの場合はログイン画面が表示されるが, 頑張ってHTTPS+ドメイン名とかを確認してログイン アプリによるリソースアクセスに対して同意 アプリに戻って連携完了 やや複雑なものに思えるかもしれませんが, OAuthなプラットフォームを提供している中の人たちからすると, アプリがID(Email)/PWなどを直接扱わないことで意図的な悪用, 意図しない漏え
「届いていない削除依頼メール１通で家宅捜査されました」掲示板サーバ管理会社の人からの寄稿 - ガジェット通信
IHC「消えた削除依頼メール」がもたらした「取り返しの付かない事態」 財団法人インターネット協会という団体が警察庁の依頼で運営するインターネット・ホットラインセンター(IHC)。ここから送られる独自フォーマットの削除依頼メールが相手に届いていないという問題についてガジェット通信では既に何回かとりあげました。単にメールが届いてないというだけであれば送り直せば済む話ですが、この件についてはそう簡単にはいきません。警察はこの「消えた削除依頼メール」を送った相手と、とりあえず関連ありそうなところに対して家宅捜索を実施。さらに「大量の削除依頼を無視していた」としてメディアを通し名指しで批判をおこなってしまっています。 まさに「取り返しのつかない事態」を絵に描いたような状態ですが、一体誰がどう責任をとるのでしょう。 届かないメール1通で家宅捜索 そんな中、「届かない削除依頼メール1通で家宅捜査されまし
CSRFで強制ログインさせるというアイデア - ぼくはまちちゃん！
こんにちはこんにちは！！ 今日はCSRF脆弱性のちょっとした話です！ このCSRFってなにかっていうと、 サーバーへのリクエストを『誰かに勝手に送らせる』っていうセキュリティがらみの攻撃手法のひとつ。 わかりやすい例だと、 HTMLの画像タグを以下のようにしたページを誰かに教える。 <img src="何々SNSの足跡.php" width="1" height="1"> そうすると、そのページを「見た人」が何々SNSの足跡.phpにアクセスしたことになる。 ※詳しくはこちらのマンガで → ［はまちちゃんのセキュリティ講座］ここがキミの脆弱なところ…！ ： 第2回 しーさーふって何ですか？ CSRFってこんな風に、 「ログイン済みの人に何か操作させる」ってイメージが強くて、 対策する側もまた、「既にログイン済みの人を守る」ような考えが強いんだよね。 例えば、勝手に日記に投稿させないように対
CGI版PHPにリモートからスクリプト実行を許す脆弱性(CVE-2012-1823)
CGI環境でPHPを動作させているサイトには、リモートからスクリプト実行を許してしまう脆弱性があります。php.netから提供されている修正リリース(PHP 5.3.12 / PHP 5.4.2)は不完全なため、該当するサイトは至急回避策を導入することを推奨します。 概要 CGIの仕様として、クエリ文字列に等号を含めない場合は、クエリ文字列がCGIスクリプトのコマンドライン引数として指定されます。 例えば、http://example.jp/test.cgi?foo+bar+bazという呼び出しに対しては、test.cgiは以下のコマンドラインで呼び出されます。 test.cgi foo bar baz この仕様を悪用して、CGI版のPHPにコマンドライン引数としてPHPのオプションを指定できます。例えば、http://example.jp/test.php?-s というリクエストは、-s
エロサイトに「いいね」した人がエロサイトを見ていたとは限らない | コーヒーサーバは香炉である
コーヒーサーバは香炉である 美人プログラマごうだまりぽのブログですがデータが吹っ飛んでしまって仮復旧中。画像が入っていないところ、整形されていないところなどがあります。 検索 メインメニュー 最近、知らないうちにアダルトサイトなどをFacebookで「いいね」してしまうという問題が話題になっている。 知らない間にアダルトサイトを「いいね」 Facebook知人、同僚に性的嗜好がバレる (J-CASTニュース) これにはクリックジャッキングと呼ばれる手法が使われている。たとえば、ユーザが興味を引くような画像を表示してクリックを促し、実際にはその上にかぶせるように設置した「透明の『いいね』ボタン」を押させるというような仕組みだ。ページ内の要素の「透明度」を変えることでわりと簡単に仕掛けられる。 かんたんな絵であらわしてみた。図中のいいねボタンは半透明になっているけれど、実際に仕掛ける場合は透明
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
ゆうちょ銀行もスクレーパーかけたら、色々終わってた。 - それマグで！
パスワードの話はこっち→ゆうちょ銀行のパスワード紛失したので、再発行手続したら、コーヒー吹いた話。 ゆうちょ銀行のスクレーパー ゆうちょ銀行のタイムアウトがきついのと、「ホームへ」ボタンを押さないとセッションエラーになるので頭に来た。ブラウザ戻るボタン。押させろよ。 ちょっと本気スクレーパーを書いてやった。スクレーパーを書いて気づいた。ゆうちょ銀行のオンラインは色々終わってた。（後述） ゆうちょ銀行は ゆうちょ銀行にはログインのために以下の３つが必要になる。 ID 1234-5678-09876 合言葉 [質問,回答][質問,回答][質問,回答] パスワード リクエストの仕組み。ボタン押した時にFormにActionとhidden eventを入れてSubmitする。 これだけわかればあとは簡単。 サンプル require 'yucho_bank.rb' cli = YuchoBank.n
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA、開発者向け「安全なウェブサイトの作り方」改訂第6版を公開 
http://japan.internet.com/wmnews/20120307/4.html?rss