#LT駆動 29ã§ã®ç™ºè¡¨ã‚¹ãƒ©ã‚¤ãƒ‰
Webアプリケーションã«ãŠã‘るパスワードã®ç®¡ç†ã«ã¤ã„ã¦
#LT駆動 29ã§ã®ç™ºè¡¨ã‚¹ãƒ©ã‚¤ãƒ‰
Web Storage: セッショントークンã®ãƒžã‚·ãªæ‰‹æ®µ ― cookieã¨ã‚»ã‚ュリティé¢ã‚’比較ã—ã¦ã¿ã‚‹ | POSTD
最近ã€ç§ã¯ã€Œã‚»ãƒƒã‚·ãƒ§ãƒ³ãƒˆãƒ¼ã‚¯ãƒ³ã‚’ã€cookieã®ä»£ã‚ã‚Šã« Web Storage (sessionStorage/localStorage)ã«ä¿å˜ã™ã‚‹ã®ã¯å®‰å…¨ã§ã™ã‹ï¼Ÿã€ã¨ã„ã†ã“ã¨ã‚’å°‹ãられã¾ã—ãŸã€‚ã“ã®ã“ã¨ã«ã¤ã„ã¦Googleã§æ¤œç´¢ã—ãŸã¨ã“ã‚ã€æ¤œç´¢çµæžœã®ä¸Šä½ã®ã»ã¨ã‚“ã©ãŒã€ŒWeb storageã¯cookieã«æ¯”ã¹ã¦ã‹ãªã‚Šã‚»ã‚ュリティãŒå¼±ãã€ã‚»ãƒƒã‚·ãƒ§ãƒ³ãƒˆãƒ¼ã‚¯ãƒ³ã«ã¯ä¸å‘ãã§ã‚ã‚‹ã€ã¨æ–言ã—ã¦ã„ã¾ã—ãŸã€‚é€æ˜Žæ€§ã®ãŸã‚ã€ç§ã¯ã“ã®é€†ã®çµè«–ã«è‡³ã£ãŸç†è«–çš„æ ¹æ‹ ã‚’å…¬ã«æ›¸ãã“ã¨ã«ã—ã¾ã—ãŸã€‚ Web Storageã«é–¢ã™ã‚‹è°è«–ã®ä¸æ ¸ã¨ã—ã¦è¨€ã‚れるã®ã¯ã€ã€ŒWeb Storageã¯secureフラグやHttpOnlyフラグã¨ã„ã£ãŸcookie特有ã®æ©Ÿèƒ½ã‚’サãƒãƒ¼ãƒˆã—ã¦ã„ãªã„ãŸã‚ã€æ”»æ’ƒè€…ãŒå®¹æ˜“ã«ç›—ã¿å–ã‚‹ã“ã¨ãŒå¯èƒ½ã€ã¨ã„ã†ã‚‚ã®ã§ã™ã€‚path属性ã«ã¤ã„ã¦ã‚‚言åŠã•ã‚Œã¾ã™ã€‚ç§ã¯ã€ã“れらã®æ©Ÿèƒ½ãã‚Œãžã‚Œã«ã¤ã„ã¦èª¿ã¹ã¦ã¿ã¾ã—ãŸã€‚ãã—ã¦ã€
サービス暗å·åŒ–ã®å„ªç‰ç”Ÿã¯Googleã¨Dropboxã€Amazonã¯è¦æ³¨æ„──EFF調ã¹
デジタル市民権団体ã®é›»åフãƒãƒ³ãƒ†ã‚£ã‚¢è²¡å›£ï¼ˆEFF）ã¯11月20日（ç¾åœ°æ™‚間）ã€ç±³ITä¼æ¥å¤§æ‰‹ã®ã‚µãƒ¼ãƒ“スã®æš—å·åŒ–状æ³ã‚’一覧ã§ãるリストを公開ã—ãŸã€‚ 米国家安全ä¿éšœå±€ï¼ˆNSA）ã«ã‚ˆã‚‹å¤§æ‰‹ITä¼æ¥ã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ãƒ‡ãƒ¼ã‚¿ã¸ã®ç„¡æ–アクセスãŒå ±ã˜ã‚‰ã‚Œã‚‹ä¸ã€ä¼æ¥ãŒãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’守るãŸã‚ã«ã©ã®ã‚ˆã†ãªå¯¾ç–ã‚’ã¨ã£ã¦ã„ã‚‹ã‹ã‚’確èªã™ã‚‹ã“ã¨ãŒç›®çš„。 リストã®é …ç›®ã¯ã€å·¦ã‹ã‚‰ãƒ‡ãƒ¼ã‚¿ã‚»ãƒ³ã‚¿ãƒ¼é–“ã®ãƒªãƒ³ã‚¯ã€HTTPSã®ã‚µãƒãƒ¼ãƒˆã€HTTP Strict Transport Security（HSTS）ã®ã‚µãƒãƒ¼ãƒˆã€forward secrecy（PFSã¨ã‚‚呼ã°ã‚Œã‚‹ï¼‰ã®æŽ¡ç”¨ã€STARTTLSã®ã‚µãƒãƒ¼ãƒˆã€‚ ç¾æ™‚点ã§ã™ã¹ã¦å¯¾å¿œã—ã¦ã„ã‚‹ã®ã¯Googleã€Dropboxã€Dropboxã®ç«¶åˆã®SpiderOakã€ãƒ–ãƒãƒ¼ãƒ‰ãƒãƒ³ãƒ‰ISPã®Sonic.netã®4社ã®ã¿ã€‚Verizonã¨AT&Tã¨ã„ã†ç±³é€šä¿¡ã‚ャリア1ä½ã¨2ä½ã¯ã„ãšã‚Œã‚‚対応状æ³ã‚’明らã‹ã«ã—ã¦
æ©Ÿå¯†æƒ…å ±ã‚’å«ã‚€JSONã«ã¯ X-Content-Type-Options: nosniff ã‚’ã¤ã‘ã‚‹ã¹ã - 葉ã£ã±æ—¥è¨˜
Webアプリケーションã«ãŠã„ã¦JSONを用ã„ã¦ãƒ–ラウザ - サーãƒé–“ã§ãƒ‡ãƒ¼ã‚¿ã®ã‚„ã‚Šå–ã‚Šã‚’è¡Œã†ã“ã¨ã¯ã‚‚ã¯ã‚„普通ã®ã“ã¨ã§ã™ãŒã€ã“ã®ã¨ãJSON内ã«ç¬¬ä¸‰è€…ã«æ¼ã‚Œã¦ã¯å›°ã‚‹æ©Ÿå¯†æƒ…å ±ãŒå«ã¾ã‚Œã‚‹å ´åˆã¯ã€å¿…ãš X-Content-Type-Options: nosniff レスãƒãƒ³ã‚¹ãƒ˜ãƒƒãƒ€ã‚’ã¤ã‘るよã†ã«ã—ã¾ã—ょã†(ã‚€ã—ã‚æ©Ÿå¯†æƒ…å ±ã‹ã©ã†ã‹ã«é–¢ã‚らãšã€å…¨ã¦ã®ã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã«ã¤ã‘ã‚‹ã»ã†ãŒã‚ˆã„。関連:X-Content-Type-Options: nosniff ã¤ã‹ã‚ãªã„ã‚„ã¤ã¯æ»ãã°ã„ã„ã®ã«! - 葉ã£ã±æ—¥è¨˜)。 例ãˆã°ã€æ©Ÿå¯†æƒ…å ±ã‚’å«ã‚€ä»¥ä¸‹ã®ã‚ˆã†ãªJSONé…列を返ã™ãƒªã‚½ãƒ¼ã‚¹(http://example.jp/target.json)ãŒã‚ã£ãŸã¨ã—ã¾ã™ã€‚ [ "secret", "data", "is", "here" ] 攻撃者ã¯ç½ ページを作æˆã—ã€ä»¥ä¸‹ã®ã‚ˆã†ã«JSONé…列をvbscriptã¨ã—ã¦èªã¿è¾¼ã¿ã¾ã™ã€‚ã‚‚ã¡ã‚
DNSサーãƒãƒ¼ã®ä¸é©åˆ‡ãªè¨å®šã€Œã‚ªãƒ¼ãƒ—ンリゾルãƒãƒ¼ã€ã«ã¤ã„㦠| 2013å¹´ | ドメインå・DNS関連トピックス | æ–°ç€æƒ…å ±ä¸€è¦§ | JPRS
DNSサーãƒãƒ¼ã®ä¸é©åˆ‡ãªè¨å®šã§ã‚る「オープンリゾルãƒãƒ¼ã€ã¯ã€ã€ŒDNS Reflector Attacks（DNSリフレクター攻撃）ã€ã¨ã„ã†åˆ†æ•£ã‚µãƒ¼ãƒ“スä¸èƒ½ï¼ˆDDoS）攻撃ã«æ‚ªç”¨ã•ã‚Œã‚‹æã‚ŒãŒã‚ã‚Šã€JPRSã§ã¯ã“ã‚Œã¾ã§ã‚‚å„所ã§ã®æƒ…å ±æ供や注æ„å–šèµ·ã‚’è¡Œã£ã¦ãã¦ã„ã¾ã™ã€‚ 2013å¹´3月ã€æµ·å¤–ã§å¤§è¦æ¨¡ãªæ”»æ’ƒäº‹ä¾‹ãŒã‚ã‚Šã€ä¸€éƒ¨åœ°åŸŸã«ãŠã„ã¦ã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆãŒä¸€æ™‚çš„ã«åˆ©ç”¨ã—ã«ãããªã‚‹ãªã©ã®éšœå®³ãŒç™ºç”Ÿã—ã¾ã—ãŸã€‚JPRSã§ã¯ã€ã“ã®å•é¡Œã«é–¢ã™ã‚‹æŠ€è¡“解説やDNSサーãƒãƒ¼ã®é©åˆ‡ãªè¨å®šæ–¹æ³•ã«ã¤ã„ã¦ã€æ”¹ã‚ã¦ä»¥ä¸‹ã®é€šã‚Šã¾ã¨ã‚ã€å…¬é–‹ã—ã¾ã—ãŸã€‚ 自身ã®ç®¡ç†ã™ã‚‹DNSサーãƒãƒ¼ãŒã‚ªãƒ¼ãƒ—ンリゾルãƒãƒ¼ã§ã‚ã‚‹ã¨ã€DDoS攻撃ã®åŠ 害者やè¸ã¿å°ã¨ãªã‚‹æã‚ŒãŒã‚ã‚Šã¾ã™ã€‚DNSサーãƒãƒ¼ç®¡ç†è€…や関係者ã®çš†ã•ã¾ã¯ã”確èªã‚’ãŠé¡˜ã„ã—ã¾ã™ã€‚
XMLHttpRequestを使ã£ãŸCSRFå¯¾ç– - 葉ã£ã±æ—¥è¨˜
åˆã‚ã›ã¦èªã‚“ã§ãã ã•ã„：Flashã¨ç‰¹å®šãƒ–ラウザã®çµ„ã¿åˆã‚ã›ã§cross originã§ã‚«ã‚¹ã‚¿ãƒ ヘッダ付与ãŒå‡ºæ¥ã¦ã—ã¾ã†å•é¡ŒãŒæœªã ã«ç›´ã£ã¦ã„ãªã„話 (2014-02/07) XMLHttpRequestを使ã†ã“ã¨ã§ã€Cookieやリファラã€hidden内ã®ãƒˆãƒ¼ã‚¯ãƒ³ã‚’使用ã›ãšã«ã‚·ãƒ³ãƒ—ルã«CSRF対ç–ãŒè¡Œãˆã‚‹ã€‚POSTã™ã‚‹JavaScriptã¯ä»¥ä¸‹ã®é€šã‚Šã€‚(2013/03/04:コード一部修æ£) function post(){ var s = "mail=" + encodeURIComponent( document.getElementById("mail").value ) + "&msg=" + encodeURIComponent( document.getElementById("msg").value ); var xhr = new XMLHttpRequest(); xhr
高木浩光ã•ã‚“ã¸ã€ã—ã£ã‹ã‚Šã—ã¦ãã ã•ã„ - 最速転è·ç ”究会
技術者ã¨ã—ã¦ã®è‰¯å¿ƒã«å¾“ã£ã¦ã“ã®è¨˜äº‹ã‚’書ãã¾ã™ã€‚俺ã¯ã‚»ã‚ュリティã¨ãƒ—ライãƒã‚·ãƒ¼ã®äººã§ã¯ãªãã€JavaScriptã¨UIã®äººã§ã‚る。法律ã®å‹‰å¼·ã ã£ã¦è‡ªåˆ†ã®ç”Ÿæ´»ã¨æ¥å‹™ã«é–¢ã‚ã‚Šã®ã‚る範囲ã§ã—ã‹ã—ãªã„ã ã‚ã†ã€‚ã—ã‹ã—å°‘ãªãã¨ã‚‚JavaScriptやブラウザãŒçµ¡ã‚€ã‚ˆã†ãªéƒ¨åˆ†ã«ã¤ã„ã¦ã¯ã€ç¢ºå®Ÿã«è‡ªåˆ†ã®ã»ã†ãŒç†è§£ã—ã¦ã„ã‚‹ã¨æ€ã£ã¦ã„る。高木浩光ã•ã‚“ãŒã€ã‚ã‹ã‚‰ã•ã¾ã«é–“é•ã£ãŸã“ã¨ã‚’書ã„ãŸã‚Šã€ãŠã‹ã—ãªã“ã¨ã‚’書ã„ã¦ã„ãŸã‚Šã—ã¦ã‚‚ã€å¾ã€…ã«èª°ã‚‚指摘ã—ãªããªã£ã¦ããŸã¨æ€ã†ã€‚ãŠã‹ã—ãªã“ã¨æ›¸ã„ã¦ã„ãŸã¨ã—ã¦ã‚‚ã€éžæŠ€è¡“者ã‹ã‚‰è¦‹ãŸã¨ãã«ã€Œå¤šå°‘éŽæ¿€ãªç‰©è¨€ã„ã ã‘ã©ã€ã‚ã®äººã¯å°‚門家ã ã‹ã‚‰è¨€ã£ã¦ã„ã‚‹ã“ã¨ã¯æ£è«–ãªã®ã ã‚ã†ã€ã¨ã‹ã€ã‚ã‚‹ã„ã¯æŠ€è¡“者ã‹ã‚‰è¦‹ãŸæ™‚ã§ã‚‚ã€å°‚門分野ãŒé•ãˆã°é–“é•ã£ãŸã“ã¨ãŒæ›¸ã‹ã‚Œã¦ã„ã¦ã‚‚気付ã‘ãªã„ã¨ã„ã†ã“ã¨ã‚‚ã‚ã‚‹ã ã‚ã†ã€‚ ã‚‚ã†è‡ªåˆ†ã«ã¯åˆ†ã‹ã‚‰ãªããªã£ã¦ã„る。誰ã«ã§ã‚‚検証ã§ãるよã†ãªäº‹å®Ÿé–¢ä¿‚ã®é–“é•ã„ã€ã‚ã‚‹ã„ã¯ã€æŠ€è¡“çš„ãªé–“é•ã„ãŒå«ã¾ã‚Œã¦ã„
Facebookã®ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã¯é€ä¿¡è€…を自由ã«å½è£…ã—ã¦é€ã‚Œã‚‹ã“ã¨ãŒåˆ¤æ˜Ž
ã“ã‚Œã¡ã‚‡ã£ã¨ãƒžã‚ºã„ã‚“ã˜ã‚ƒãªã„ã‹ãªã‚。 Kampa! ã®äººã§ã‚ã‚‹ä½ç”°ã•ã‚“ãŒè¦‹ã¤ã‘ã¦æ•™ãˆã¦ãã‚ŒãŸã‚“ã ã‘ã©ã€ Facebook ã®ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã¯å‰²ã¨ç°¡å˜ã«ä»–人ã«ãªã‚Šã™ã¾ã—ã¦é€ã‚Œã‚‹ã¿ãŸã„。 以下ã€ã™ã¹ã¦é€ä¿¡è€…ã¨å—信者ã®è‡ªç™ºçš„ãªå”力を得ã¦è©¦ã—ã¦ã¿ãŸçµæžœã§ã™ã€‚ èµ·ãã‚‹ã“㨠Facebook ã§ã¯ãƒ¦ãƒ¼ã‚¶ãƒ¼ã« @facebook.com ã®ãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ãŒä¸Žãˆã‚‰ã‚Œã¦ã„ã¾ã™ã€‚ 個人ページ㌠www.facebook.com/namaewo ã®äººãªã‚‰ [email protected] ã¨ã„ã†å…·åˆã«ã€‚ ãã®ã‚¢ãƒ‰ãƒ¬ã‚¹å®›ã«ãƒ¡ãƒ¼ãƒ«ã‚’é€ã‚‹ã¨ã€ アドレスã®æ‰€æœ‰è€…ã« Facebook 上ã®ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã¨ã—ã¦å±Šãã¾ã™ã。 ã“ã®æ™‚ã€ãã®ãƒ¡ãƒ¼ãƒ«ã®é€ä¿¡å…ƒãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ãŒ 別㮠Facebook ユーザーã«ã‚ˆã£ã¦ç™»éŒ²ã•ã‚Œã¦ã„るアドレスã§ã‚ã£ãŸå ´åˆ Facebook ã§ã¯ã€ãã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã‹ã‚‰é€ã‚‰ã‚ŒãŸãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ã¨ã—ã¦æ‰±ã‚ã‚Œã¾ã™ã€‚ é›»å
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
http://www.saitolab.org/taiken/
{{#tags}}- {{label}}
{{/tags}}