はじめに 拙著「体系的に学ぶ 安全なWebアプリケーションの作り方」にはサポート用のメーリングリストがありますが、大変熱心に質問くださる方がいまして、熱心な質問だと余計に答えたくなります。そのうちの一つ(リンク)に回答しようとしてたところ、拙著内で説明が十分でないことに気がつきました。それは、 HTTPヘッダインジェクション脆弱性を悪用して、セッションIDのCookiをセットして、そこからセッションIDの固定化攻撃を行う という一連の手順です。HTTPヘッダインジェクションでCookieを改変できる説明とデモはありますが、そこからセッションIDの固定化攻撃については、以下のように、少しそっけない説明になっています。 外部から任意のクッキー値を生成されることの悪影響の例としては、4.6節で説明したセッションIDの固定化攻撃との組み合わせで、利用者に対する成りすまし攻撃が挙げられます。 脆弱性

Cheating the UX When There Is Nothing More to Optimize - PixelPioneers

はじめに curl とは対話シェルやシェルスクリプトから HTTP 通信を行うのによく使われるコマンドです。あらゆる環境（100 種類の OS）で動作し、macOS や Windows には標準でインストールされています。商用サポートもあり、互換性は非常に重視され、何年経っても同じ書き方で動きます。非常に長く使われており（1998 年生まれの 27 歳1）、そして古い情報もたくさんあります。この記事ではそういった古い情報を、より簡単で新しい curl コマンドの使い方にアップデートします。最初に結論を書いておくと、 もう -X POST -H "Content-Type: applicatoin/json" なんて書かなくていいですよ。 （記事を読まない人のためのリンク） この記事を書くにあたって以下の記事を参考にしています。この記事が書かれたのは 2015 年、現在はそれから 10 年後

Web APIは外部連携のために公開するだけでなく、システム内部での利用も一般的になっており、重要性はますます高まっています。しかし、APIデザインについての知見はまだ広く浸透していません。書籍やオンライン情報はいろいろありますが、本セッションではその中から重要な要素をピックアップし、実際の著名なサービ…

はじめに この記事はLipersInSlums Advent Calendar 2024 「スラムで年収をあげる〜だが僅かばかりの友の他は、皆、スラム民を嘲った。資格取得で年収アップに挑むなどと〜」の大遅刻組の記事である。シモンは泣いていい。 筆者がプログラミングを初めた頃はインターネットの検索技術は発達しておらず、良質なコンテンツにたどり着くには一苦労だった。そのため、何か新しいことを学ぶのに最初に手を取るのは技術書であった。 今では検索技術は高度に発達し、必要な情報は検索すればたちまち手に入る用になった。しかしながらそれらの断片的な知識群を体系化し、習得するのは未だ難しい。体系的に知識を習得する上で技術書は未だ最も有力な候補となる。 この記事では主にジュニア(?)エンジニア向けに、読むとプログラミングに必要な比較的陳腐化しにくい様々な知識が体系的に身に付いて役に立つお得な技術書を簡単に

この Linux 入門トレーニングを完了すると、グラフィックとコマンド ラインの両方の観点から Linux に関する十分な実践的な知識が得られ、主要な Linux ディストリビューションを簡単に操作できるようになります。獲得したスキルセットを使用して、ユーザー、システム管理者、または開発者のいずれかとして進歩を続けることができます。 おもなテーマ コースのご案内 第1章 Linux Foundation 第2章 Linuxの理念とコンセプト 第3章 Linuxの基礎とシステムの起動 第4章 グラフィカル インターフェイス 第5章 グラフィカル インターフェイスからのシステム設定 第6章 一般的なアプリケーション 第7章 コマンドライン操作 第8章 Linuxドキュメントの検索 第9章 プロセス 第10章 ファイル操作 第11章 テキスト エディタ 第12章 ユーザー環境 第13章 テキスト

この技術の実態を明らかにするため、研究者たちはSamsungとLGという2大スマートTVブランドを対象に、英国と米国の2カ国で詳細な実験を行った。 具体的には、6つの主要なシナリオを設定した。まず「アイドル」状態、つまりTVの電源は入っているがホーム画面のままの状態。次に「リニア」視聴、これは従来の地上波放送を見る状況。 「FAST」は、TVメーカーが提供する無料広告支援型ストリーミングサービスの視聴を指す。「OTT」は、NetflixやYouTubeなどの外部ストリーミングサービスの使用。「HDMI」は、ゲーム機やPCなどの外部機器をHDMI接続して使用する状況。そして「スクリーンキャスト」は、スマートフォンなどの画面をTVにミラーリングする使用法である。 さらに、各シナリオで4つの異なる設定を試した。ユーザーアカウントにログインしている状態とログアウトしている状態、そしてACRを含む広

スタートアップで必要になってくるシーンが多い仮説の考え方について解説しました。またスタートアップの仮説の種類なども分類しています。 仮説思考シリーズの 1 つ目です。 ※ 本スライドを基にした本が出ました ➡ 『仮説行動

ガートナージャパンが「日本における未来志向型インフラ・テクノロジのハイプ・サイクル：2024年」発表。Web3やNFTは幻滅期、生成AIは過度な期待、汎用AIは黎明期 調査会社のガートナージャパンは、「日本における未来志向型インフラ・テクノロジのハイプ・サイクル：2024年」を発表しました。 ハイプサイクルとは ガートナーのハイプサイクルは、技術の登場から安定までを5つのステージに分けて説明したものです。5つのステージは、「黎明期」から始まり、「『過度な期待』のピーク期」「幻滅期」「啓発期」「生産性の安定期」まで。この途中で消えていく技術もあります。 米調査会社のガートナーはグローバルな視点で毎年「先進テクノロジのハイプ・サイクル」を発表していますが（今年もおそらく間もなく発表されると思われる）、今回発表されたのは日本において、未来志向型と捉えられるテクノロジやトレンドとなっている40のキ

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 概要 Web ブラウザではすっかりお馴染みの Google Chrome ですが、開発者ツール（DevTools）だけでなく、拡張機能にも導入すると非常に便利なものがたくさんあります。 その中でも、Web系の開発をするエンジニアなら、是非入れておきたいオススメの Google Chrome 拡張機能について紹介します。 尚、いずれも無料で利用可能です。 IT エンジニア界隈では、既にどれも有名なものばかりですが、これから Web 系の開発をする方は是非お試しください。 本当はもっとたくさんオススメしたい拡張機能がありますが、ひとまず今回

このように、Cookie自体はいきなり誰かの個人情報・プライバシーに触れる仕組みではありません。あくまでアクセスを識別するための技術です。また、ECサイトやSNSのように、利用者を識別して動作しなければならないWebサイトではCookieはかならず必要になります。 サードパーティークッキーって？ 今回話題になっているのは、「サードパーティークッキー (3rd Party Cookie)」です。これもCookieの一種なのですが、ここまで出てきたものと少し扱いが異なります。それは、Cookieが複数のWebサイトをまたがって利用されるという点です。 サードパーティーCookieの説明のために、A社のWebサイト、B社のWebサイトという、無関係な二つのWebサイトがある事にしましょう。そして、ここにP社のWebサイトを追加します。P社のWebサイトと書きましたが、ここで想定しているのは、A社

Highlight the Internet & Share Your WisdomGlasp is a PDF & Web highlighter that helps you collect and organize your favorite quotes and thoughts from the web. You can also access other like-minded people’s learning and build your AI clone from your highlights and notes. Your go-to PDF & Web highlighter that enhances your research and learning. Collect and organize your favorite quotes and thoughts

はじめに 問：署名証明書の有効期限切れ＝署名の有効期限切れ…なのか？ PKI（公開鍵基盤）ベースのX.509電子証明書（以後、証明書）を使ったデジタル署名の電子署名方式には有効期限があるのでしょうか？署名に使った証明書の有効期限が切れてしまった場合に、その署名は無効になるのでしょうか？ 答：署名証明書の有効期限切れ＝署名の有効期限切れ…とは限らない。 デジタル署名の検証結果は「有効/VALID」と「無効/INVALID」の2種類と思われがちですが、実はその間に「不明/INDETERMINATE」と言う状態があります。不明状態とは検証に必要となる検証情報が不足している状態です。過去に「電⼦署名検証を10分で説明してみる」でも説明していますのでお時間があればご覧ください。 さて検証に必要な情報には大きく分けると「認証パスの証明書群 以後、認証パス」「各証明書の検証情報(CRL/OCSP等) 以

こんにちは、 @okazu_dm です。 この記事は、CookieのSameSite属性についての解説と、その中でも例外的な挙動についての解説記事です。 サードパーティCookieやCSRF対策の文脈でCookieのSameSite属性に関してはご存知の方も多いと思います。本記事でCookieの基礎から最近のブラウザ上でのSameSite属性の扱いについて触れつつ、最終的にHSTS(HTTP Strict Transport Security)のような注意点を含めて振り返るのに役立てていただければと思います。 前提条件 Cookieについて Cookieの属性について SameSite属性について SameSite属性に関する落とし穴 SameSite属性を指定しなかった場合の挙動 SameSite: Strictでも攻撃が成功するケース 例1: スキームだけ違うケース 例2: サブドメイ

構文 Keep-Alive: parameters ディレクティブ parameters カンマで区切られたパラメータのリスト。各パラメータは識別子と等号 ('=') で区切られた値で構成されます。以下の識別子が利用可能です。 timeout: 待機状態の接続を開いたままにしておく必要のある最小時間 (秒単位) を示します。keep-alive TCP メッセージがトランスポートレベルで設定されていない場合、TCP タイムアウトよりも長いタイムアウトが無視されることに注意してください。 max: 接続を閉じる前にこの接続で送信できるリクエストの最大数を示します。0 以外の場合、次のレスポンスで別のリクエストが送信されるため、パイプラインでない接続ではこの値は無視されます。HTTP パイプラインは、パイプラインを制限するために使用できます。 例 Keep-Alive ヘッダーを含むレスポンス

こんにちは、 InfraAcademyというLinuxやネットワークの学習サービスを作成しております、ryuと申します。 サーバー構築が練習できるLinux学習サイトInfraAcademyについてご紹介します！ シミュレーターを使ってサーバー構築の練習ができる InfraAcademyでは、Linuxのシミュレーターを使ってサーバー構築の練習ができます。 今までは、VirtualBoxで学習を進めていた人も多いでしょう。 私自身もVirutalBoxでサーバーの学習をしていました。しかし、環境構築に時間が掛かります。特に、複数台の連携したサーバー構築の準備に時間がかかりました。 しかし、InfraAcademyではそのような手間は一切かかりません！ 関連記事:インフラ学習におすすめのサイトInfraAcademyとは？ 環境の準備が１クリック Linuxの環境準備は1クリックで完了です！