パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
スマートフォンとタブレット端末のセキュリティガイドラインが公開に
日本スマートフォンセキュリティフォーラムは、企業でのスマートフォンやタブレット端末の利用に関するセキュリティガイドラインを発表した。 日本スマートフォンセキュリティフォーラムは12月14日、「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン」の第一版を発表した。ガイドラインと併せ、無料利用できる対策チェックシートなども公開している。 ガイドラインは、企業で導入・運用が拡大するモバイル端末を対象に、業務で安全利用する上で考慮すべきセキュリティ上の課題や環境整備の指針を取りまとめたもの。モバイル端末の代表的な利用シーンや管理のポイント、内在する脅威と対策について整理したほか、セキュリティ担当者が実情を踏まえながら導入に必要な対策を洗い出せるようにするチェックシート、導入手順、ポリシーなどの各種資料を添えている。 これらを活用することで、PCにおける対策とモバイル端末での対策
ヤフーがyimg.jpを使う本当のワケ - 最速配信研究会(@yamaz)
ヤフーの画像はなぜyimg.jpドメインなのか？ サイト高速化の手法とヤフーの失敗例 でヤフーがなぜドメインを変えて画像サーバを運用しているかが書かれている.「静的なコンテンツに対してクッキーフリードメインを使うことによって速度向上を狙う」というのが理由とあって,これはこれでもちろん正しいのだけれど,これはどちらかというと副次的な理由で本当の理由は違う. クッキーフリードメインを使うことで悪意あるFlashコンテンツなどから自社ドメインのクッキーを守るためというのが本当の理由で,これはあちこちで使われているテクニックだ.Flashコンテンツは外部の業者さんに作ってもらったり,広告の入稿素材として入ってくるので,信頼できないデータとして取り扱う必要があり,万一まずいデータがアップされることがあっても大丈夫にしておく必要がある. 最近ユーザからの任意のコンテンツを受けつけて同一ドメインで配信し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SQLer 生島勘富 の日記
