Webアプリケーションのセキュリティホールが注目を浴びたことから、セキュリティを意識した開発の必要性が高まってきている。今後の流れとして、セキュリティ上満たすべき項目が要件定義の段階から組み込まれるケースが増えていくことが予想されるが、実際の開発現場においてはセキュリティホールをふさぐための実装方法が分からないという声も多いのではないだろうか。 そういった開発者の負担を少しでも軽くすることができるように、本連載ではJavaにおけるWebアプリケーション開発時に最もよく利用されているStrutsフレームワークの実装に踏み込んで、セキュリティ上注意すべきポイントを解説していきたい。なお、本連載ではStruts 1.2.8を対象として解説を行っていくが、すでにStrutsを利用したWebアプリケーション開発を行っている開発者をターゲットとしているため、Strutsの使用方法、各機能の詳細な説明な

カリフォルニア州サンノゼ発--Microsoft会長のBill Gatesは何年も前から、コンピュータセキュリティの弱点としてパスワードに目を付けてきた。 だが、「Windows Vista」の登場を目前にしたいま、Gatesはコンピュータユーザーやネットユーザーの身元確認の手段として、パスワードに代わる強力な武器をついに手にしたと感じている。 今年中に出荷予定のVistaには、「InfoCard」という新しい認証の仕組みが導入される。InfoCardを使えば、ユーザーがインターネットで利用する多数のログイン名やパスワードを管理する方法が改善されるほか、これを第三者による認証プロセスに役立てることも可能だ。またVistaでは、スマートカードのように、パスワードよりも強力な手段を使ってPCにログインすることもさらに簡単になる。 Gatesは、当地で開催中のRSA Conference 200

※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 最近Webアプリケーションに存在するセキュリティホールが注目を浴びている。その中でも「クロスサイトスクリプティング（XSS）」と呼ばれる脆弱性が有名で、「特集 クロスサイトスクリプティング対策の基本」という記事で詳細に解説した。しかし、Webアプリケーションに潜む脆弱性はXSSだけではなく、XSSよりもはるかに危険性の高いセキュリティーホールが存在する。 本稿では、Webアプリケーシ

ショッピングサイトのように多くの個人情報を扱うWebサイトを運営しているのであれば、Webアプリケーションの脆弱性について早急に対策を取るべきだ。Webアプリケーションの安全性を高めるために考えられる対策として5つの方法を提案したい。 Webアプリケーションと個人情報 多くの個人情報を扱うWebアプリケーションの1つに、ショッピングサイトがある。ショッピングサイト上には、利用者の名前や住所、電話番号などの個人情報が蓄積されている。それだけではなく、購入履歴やアンケートといった、他人には知られたくないような情報が登録されていることも多い。通常これらの情報は、データベース（DB）で管理されていることがほとんどだと思うが、WebアプリケーションにSQLインジェクションの脆弱性が存在すると、DB内の個人情報を一気に抜き取られてしまう。Webアプリケーションの脆弱性にはさまざまなものがあるが、個人情

Webシステムでは、アプリケーションレベルでのセキュリティ対策が不可欠であるにもかかわらず、軽視されがちだ。この現状を改善する方法を考える。 昨今の個人情報などに対する不正アクセス関連事件では、Web経由で提供されているアプリケーション（ここではWebシステムと呼ぶ）のセキュリティ上の欠陥に付け込まれる例が多発している。この種の不正アクセスからWebシステムを守るには、ファイアウォールなどの事後的な、外付けのセキュリティ対策だけでは不十分である。システムを開発する時点で、セキュリティ上の欠陥が生じないようにしなければならない。 一般的なWebシステムでは、開発作業が外部に委託されるケースが多い。このため、開発提案を依頼する（RFP）段階において、セキュリティ対策を含めた提案をしてもらうべきである。セキュリティ対策が明示的な形でシステム要件に含まれないと、受注側で対策を施すインセンティブが働

Ilfak Guilfanovは、誰もが名前を知っているような有名人ではない。 しかし、このロシア人ソフトウェア開発者は、間もなく有名人の仲間入りを果たすことになるかもしれない。なぜなら、彼が作成したMicrosoft Windows用セキュリティパッチは、非公式なものであるにも関わらず、世界中のコンピュータに次々にインストールされたからだ。 SANS InstituteのInternet Storm CenterおよびF-Secureのセキュリティ専門家らは、それぞれGuilfanov作成のパッチを適用するよう推奨したが、これは異例のことだった。このパッチは、Windows Meta File（WMF）に存在する脆弱性に対処するためのものだった。 この脆弱性を悪用する攻撃は、Microsoftが公式パッチを準備している間隙をつき、かなりの勢いで増加した。Microsoftは、WMFの脆弱

Perlをはじめとする言語では、フォームとパイプ処理に十分な注意をしなければならない。その理由には、Webからローカルリソースへのアクセスを極力制限する必要があるからだ。 オンライン・ムック「スパム時代のサニタイズ開発手法」の前回「Perlは悪くない――CGIセキュリティホールの落とし穴」は、WebサーバにおけるCGIスクリプトの仕組みについて解説した。日ごろ見掛けるニュース情報を読み解くために、セキュリティーホールが生まれてしまう基本情報として理解しておきたい。 CGIスクリプトのセキュリティ CGI（Common Gateway Interface）スクリプトは、「Perlは悪くない――CGIセキュリティホールの落とし穴」でも触れたように、Perl言語で作られることが多い。しかし、それはPerlというスクリプト言語がCGI作成のために手軽だから、という事情が大きい。 Perl（Prac

比較的レガシーになってきた言語「Perl」に対し、旧サービスのメンテナンス不備が問題視されている。問題なく稼働中であっても、脆弱性が潜んでいる場合があるからだ。何に注意すればよいのか？　具体的に触れていこう。 先ごろ報じられた「Perlの脆弱性は氷山の一角か」は、一見するとPerl自体の問題？　と思われるかもしれない。しかし、核心はPerl言語で作られたスクリプト（ソースコード）自体の問題だ。 Perl＝CGIと思われるほど広まっているこの言語は、フリーで配布されているものが多く、コンパイルする必要なくファイル属性にさえ注意すれば容易に動かすことが可能だ（仕組みの詳細は後述）。このため数多くのPerlスクリプトが公開されているが、十分にセキュリティ対策を行っていないものもある。見かけ上の動作に問題がなければ、セキュリティホールに気付かないことも多い。 「セキュリティプログラミング」とひと口

日ごろ何げなくPCに保存されているCookieという名の情報保存の仕組み。この仕組みには、アクセス先のサイトによって暗号化を行っていない場合や、無用に長い保存期間で設定されている場合がある。サーバ管理者やユーザーは何に注目すればよいのか。 オンライン・ムック「スパム時代のサニタイズ開発手法」では、前回、個人情報漏えいのケースとして、サーバサイドとクライアントサイドの2つの側面があることを解説した。今回はセキュリティホールに関するニュースでは必ずと言ってよいほど目にする「Cookie」について解説していく。いったいどのようなものなのか？　そして、普段、何げなく使っているブラウザが利用するCookieの仕組みについて解説しよう。便利な機能として使われているものだが、時には情報漏えいの原因となってしまうことを理解しておきたい。 サーバサイドのソフトウェア環境は、Webサーバの管理者側に責任が委ね