2. アジェンダ • 本日の構成 – 脆弱性の分類 – Webアプリの構造と脆弱性の原因箇所 – 「入力」では何をすればよいのか – SQLインジェクション対策の考え方と実際 • 原理の話（グローバル） • 文字コードの話（グローバル&ローカル） – ケータイWebアプリのセキュリティ（ローカル） • 議論の焦点 – Webアプリケーションのセキュリティ施策の考え方 – グローバル v.s. ローカル – 対策の歴史とあるべき姿 Copyright © 2008-2010 HASH Consulting Corp. 2 3. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何

「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー

Geek to Live: Encrypt your web browsing session (with an SSH SOCKS proxy) by Gina Trapani You're at an open wireless hotspot, but you don't want to send your web browsing data over it in plain text. Or you want to visit a non-work-approved web page from the office computer without the IT team finding out. Using a simple SSH command, you can encrypt all your web browsing traffic and redirect it thr

パスワード、記憶に頼っていて大丈夫？　～パスワード作成と管理～：ツールを使ってネットワーク管理（13）（2/5 ページ） KeePass Password Safeをインストールしてみよう KeePass Password Safeはさまざまな機能を持ったパスワード管理ツールで、現在の最新バージョンは1.05になります。パスワードを管理するデータベースは暗号化されていますので、データを盗まれたときもパスワードを盗まれる確率は低く、安心できるでしょう。また、データベースを開くのにハードウェアキーを使うことも可能です。 ・KeePass Password Safeのインストール KeePass Password SafeのサイトからKeePass Password Safeのインストーラをダウンロードします。ダウンロードしたインストーラ（KeePass-1.05-Setup.exe）をダブルク

ついにベータ版から正式版になったこの「Security Essentials」は、正規品のWindows XP・Windows Vista・Windows 7に対応している無料のソフトとなっており、開発したのはあのマイクロソフト。 最新のPCではなく、古いPCやネットブックのような環境で動作させることも考慮しており、CPUやメモリ使用量は最初からある程度制限済み。また、常駐してリアルタイムに保護する際も可能な限り軽く動作するようになっており、「Dynamic Signature Service」によって常に最新のウイルス定義ファイルに更新されるようになっているそうです。 というわけで、ダウンロードとインストール、使い方などは以下から。 ウイルス、スパイウェア、マルウェア対策 | Microsoft Security Essentials http://www.microsoft.com/s

開発中のアプリではOpenIDを利用して認証することにしたので、手始めにはてな認証API使ってみました。 準備 1. APIキーの取得 はてな認証APIのページでAPIキーを取得して、認証を利用するアプリケーションの情報を登録。コールバックURLは、下記のように設定（localhostでも大丈夫でした）。http://localhost:3000/main/hatena_callback 2. ライブラリインストール gem install hatenaapiauth 実装 # application.rb protected def authorize unless session[:user] flash[:notice] = "ログインしてください" redirect_to :action => "login" end end before_filterで利用するメソッドを追加してお

ログイン処理の修正（Sessionsコントローラ） まずはログイン画面から修正します。これまでのログイン画面はOpenIDのアカウント名を入れるフォームが存在するだけでした。ここに、IDとパスワードを入力するためのフォームを追加します。 図2　ログイン画面のスクリーンショット OpenIDでのログインとパスワードでのログインのどちらであっても、フォームに入力したデータはSessionsコントローラのcreateアクションが受け取ります。createアクションはどちらのデータも受け取れるようにします。具体的な修正方法は、OpenID AuthenticationプラグインのREADMEが参考になります。修正後のcreateアクションは以下のようになります。 def create if using_open_id? # OpenID による認証 open_id_authentication e

なかば自分用メモ。まあ要は ruby-openid の TIPS。 ruby-openid を使おう。 http://openidenabled.com/ruby-openid/ gem install ruby-openid mixi OpenID は SSL 接続なので Net::HTTP の ca_file に証明書を設定せなあかんわけだが*1、ruby-openid は OpenID.fetcher.ca_file に突っ込んどくとそれを使ってくれる。 初期化のどこかのタイミングで下記のように CA 証明書のパスを指定しとけばＯＫ。 ちなみにこれをサボると "OpenID: WARNING: making https request to https://mixi.jp/xrds_signon.pl?xxxxx without verifying server certificat

はてな認証API http://auth.hatena.ne.jp/ Rubyではてな Hatena::API::AuthのRuby版をid:secondlifeさんが公開してくれてる。 gem install hatenaapiauthrequire 'rubygems' require 'hatena/api/auth' require 'cgi' cgi = CGI.new params = { :api_key=>"xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", :secret=>"xxxxxxxxxxxxxxxx" } auth = Hatena::API::Auth.new(params) begin hatena = auth.login(cgi['cert']) # hatena = { # "name" => "taslam", # "image_u

has been sold or is not listed for sale. Our experts can help you acquire this domain. Looking for a domain name that's not listed for sale in our marketplace? Don't worry, all is not lost. You can hire an experienced PerfectDomain broker to negotiate an acquisition on your behalf. HIRE A BROKER