NGINXからアプリケーションサーバ「NGINX Unit」がオープンソースで登場。PHP、Go、Pythonに対応。Java、Node.jsにも対応予定 NGINX UnitはNginxの開発者であるIgor Sysoev氏が設計し、NGNIXのソフトウェア開発チームが実装したもので、同社としてはNginxと同等の開発プロセスと品質を実現しているとしています。 現時点でPHP、Go、Pythonに対応。Java、Ruby、Node.jsにも対応予定です。 NGINX Unitの最大の特徴として挙げられているのは、最初から動的制御が可能なように設計されており、アプリケーションの入れ替えやバージョンアップなどを再起動することなくシームレスに行えるところです。 RESTful APIやJSONによるコンフィグレーションの変更やリロードもリアルタイムかつ動的に反映されるとのこと。 また、同一サー

URLは、Webブラウジングを開始するという意味でも、Webに関連する技術の入り口という意味でも、Webにおける起点そのものです。 攻撃者の視点から見ると、多くの場合、URLは攻撃者自身によってコントロール可能です。その複雑な構造から、プログラム内でURLをデータとして取り扱う際にまちがいが発生しやすく、セキュリティ上の問題点を引き起こしやすい格好のねらい目、攻撃の起点であるとも言えます。 また、Webアプリケーションにおいてセキュリティを確保するためには、特定のリソースがそれぞれのWebアプリケーション自身と同一の保護範囲にあるものなのか、あるいは第三者の用意した可能性があり信用できないものなのかを区別して取り扱う必要があります。この境界条件は、Webアプリケーション自身の動作しているURLを基とした「オリジン」と呼ばれる範囲によって決定されます。 今回は、JavaScriptでのセキュ

2. Copyright (C) 2016 DeNA Co.,Ltd. All Rights Reserved. 自己紹介  名前: 奥 一穂  ウェブ関連の基盤技術プログラマ ⁃ 主な業績（公開のもの） • Palmscape / Xiino (Palm OS向けウェブブラウザ) • Webブラウザプラグインを用いたサービス ⁃ Japanize, Mylingual, Pathtraq, ... • Q4M (MySQL用メッセージキュープラグイン) • Starlet (Perl用Webアプリケーションサーバ) • JSX (最適化コンパイラつきJavaScript方言) ⁃ M.I.T. TR100/2002, IPA未踏スーパークリエータ (2004), 日本/北東アジアOSS貢献者賞 (2015) 2HTTPとサーバ技術の最新動向

WebRTCセキュリティレポート あらまし WebRTC(Web Real-Time Communication)は、Webアプリケーション技術の昨今のトレンドの一つだ。WebRTCを利用すると、プラグイン無しで、また他の条件も無しでリアルタイムコミュニケーションを実現できる。だが、そのオープンソースとして性質から、WebRTCを採用しようとする人がセキュリティ上の不安を覚えることもあるだろう。本レポートはWebRTCのセキュリティについて明らかにし、他の技術と比較してWebRTCのセキュリティが優れていることを解説する。 1. 導入 WebRTCはオープンソースのWebベースの技術であり、ユーザがリアルタイムメディア通信を、プラグイン無しで実現可能な技術だ。適切なブラウザを利用すれば、ウェブサイトをブラウズするだけで、他者に発信して通話することができる。 WebRTCの主なユースケースは

伊藤直也氏が語る、モダンなWebテクノロジーに共通する傾向とは？（前編） Chef、Docker、MicroservicesからReact、FRPまで。QCon TOkyo 2015 最新のITと関連技術をエンジニアの視点で掘り下げるイベント「QCon Tokyo 2015 Conference」が4月21日に都内で開催されました。 そのセッションの1つとしてKAIZEN platform Inc.の伊藤直也氏が行ったのが、「モダンWebシステム開発」と題して、最近のWebアプリケーションに関する技術に共通する傾向を探った講演です。 ChefやPuppetなどによるInfrastructre as CodeからImmutable Infrastructureなどのインフラ周りからReactなどのフロントエンドにまで共通する考え方とは何か、示唆に富むその内容をダイジェストで紹介します。 モダ

OWASP Japan Chapter @OwaspJapan 本年３回目、新年度一発目のオワスプナイトはHP FortifyのスペシャリストGriggs, Jonathanさんをお迎えしての開催。4月9日18:30開場、19:00スタート。ポップカルチャーの中心地でセキュリティを支えナイト！ owasp.doorkeeper.jp/events/23167 2015-04-03 15:55:30

Software WebSecurity ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法※当サイトにはプロモーションが含まれています。 以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスし

IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定

IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版

2014年、Hardening Projectは予告通り11/8土曜日、9日日曜日に、沖縄県宜野湾市で開催いたします。参加登録を開始しましたので、お誘いあわせの上ふるってご参加ください。 Evolutions? – letter from the chairman “Hardening 競技会といえば、丸腰のサーバを満足な道具もなく必死で守る過酷な8時間イベント”、という認識が定着してきたころかもしれません。「セキュリティ堅牢化の８耐」とも言われます。しかし、それは本来の意図とは異なります。Hardening Projectの目的は、より実践的な堅牢化の技術の価値を最大化すること、だからです。 そこで、今回は「守りの進化」を一つの柱として取り組みたいと思います。これまでの優秀なチームは具体的にどんなコマンドを駆使していたのか。どんなプロセスでインシデントをハンドリングしていたのか。役割分担

毎年恒例の「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。 去年は手を広げすぎてかえって反応が悪かったので、最低限のものに絞ってみた。 上から重要な順。★の付いている「重点」がとりあえず読んどけ、の必須。 必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているものを選択。 書籍としては、徳丸本「体系的に学ぶ 安全なWebアプリケーションの作り方」、「めんどうくさいWebセキュリティ」と「実践 Fiddler」を掲載。 「HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書」を追加。 ■重点 ★Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html LASDECなどで公開されていたウェブ健康診断仕様が別冊に加わ

Cy-SIRT の伊藤です。 少しの間お休みをいただいて、数日前に職場復帰しました。 2014 年 03 月 20 日に APPSEC APAC 2014 にて講演いたしました。 このような貴重な機会を与えていただいた APACSEC APAC の関係者の皆様に、心より感謝いたします。 講演について 講演にて利用した資料は、以下のホームページにて公開いただいています。 原稿を作成する過程では、最初に日本語版のプレゼン資料を作成しました。 その後多くの皆様に校正をお手伝いいただき、 翻訳済みの原稿を作成しています。お手伝いいただいた皆様、本当にありがとうございました。 当日は翻訳済みの資料でプレゼンを行ったのですが、参加いただいた全ての方が日本人の方でしたので、 逆に分かりにくい状況となってしまい申し訳ありませんでした。 数名の方から、日本語版の資料に関するお問い合わせをいただきましたので、

OWASP Global AppSec APAC 2014にご参加いただきありがとうございました！ ご来場くださった皆様のおかげで、感動的なカンファレンスとなりました。 この2日間で合計25セッションが27名のスピーカーにより提供されました。 カンファレンス最終セッションにあたり、全てのプレゼンテーション資料を以下のとおり公開いたします。 さらに、STUDENT IN APPSECなどのゲストスピーカーの資料も随時追加する予定です。 プレゼンテーション資料は、以下のリンク先にて閲覧できます。 https://speakerdeck.com/owaspjapan/ また以下のリンク先からは各資料を直接閲覧できます。 3月19日 Deploying information security management for proper data life-cycle ／ Suguru Yamag

横浜市議会斉藤たつや議員、蓮肪国会議員に「18歳で帰化した時の気持ち」を聞いちゃう - Togetter これが事実ならば、日本人をやめていただきたい。RT"@amaisuisei: 今からでもお帰り下さい RT @sito_rin RT @mutans_coga: 蓮舫議員は「父親から、日本国籍を取って日本人として生きろと言われた時が、人生で一番屈辱的な事だった。」— 横浜市会議員（緑区）　斉藤たつやさん (@saito_tatsuya_) 2月 5, 2011 『蓮舫議員は「父親から、日本国籍を取って日本人として生きろと言われた時が、人生で一番屈辱的な事だった。日本人になることの悔しさで一日中泣いた」と雑誌のインタビュー記事の回顧録で語っていた』というのは何年か前から出回っているコピペなんですけど、これって出典はどこなんだろう。 この件については2011年2月に人力検索はてなで 『蓮舫