co3k.org

• どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？

  備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません …

• おうちで作れる生体認証システムのご提案

  これは VOYAGE GROUP Advent Calendar 2015 の 21 日目のエントリです。 みなさん認証 [1] してますか？ ご多分に漏れず僕ももちろん認証させていただいております。日々認証ですね。 認証の「要素」 (factor) さて、認証が認証であるために必要な要素 (factor) ——その人があるサービスを受けるに値する人本人であるらしい、と断定するに足る要素——として、以下の 3 …

• Web セキュリティに関するインターンで伝えようとしたこと

  これは VOYAGE GROUP エンジニアブログ：Advent Calendar 2014 の 17 日目のエントリです。 VOYAGE GROUP では もの創り実践プログラム Treasure というエンジニア向けインターンシップを開催しています [1] [2] 。 Treasure 全体の様子は既に VOYAGE GROUP エンジニアブログにて 前編 と …

• RedCloth における未修正の XSS 脆弱性についての注意喚起

  TL;DR 任意のスクリプトの実行をユーザに許している場合を除き、 RedCloth によってパースしたユーザ入力値を出力するべきではありません。 RedCloth には 9 年ほど前から存在する未修正の XSS 脆弱性があり、しかもその存在が 2 年前に明らかになっています。 残念なことに、現在の開発者によるこの脆弱性の修正は期待できません。開発者は "バグの修正や次のメジャーリリースに関する作業をおこなえない (unable to keep fixing bugs or work …

• Zend Framework の XXE 脆弱性対策 (ZF2014-01) と zendframework/ZendXml のススメ

  もはや PHP まったく書いてないのに PHP 関係のエントリばかりが増えていくというのは奇妙なものですね。 さて、今年の 2 月に Zend Framework より公開された以下のアドバイザリについては皆様すでにチェック済みのことでしょう。 ZF2014-01: Potential XXE/XEE attacks using PHP functions: simplexml_load_*, DOMDocument::loadXML, and xml_parse …

• Composer のセキュリティ上の問題が直ったので PHP な方は今すぐ更新を

  Composer の以下の問題が 2 月半ばあたりから話題になっていました。 Limit Replace / Provides to packages required by name in root package or any dep · Issue #2690 · composer/composer https://github.com …

• CSRF 対策用トークンの値にセッション ID そのものを使ってもいい時代は終わりつつある

  CSRF 脆弱性対策には攻撃者の知り得ない秘密情報をリクエストに対して要求すればよく、そのような用途としてはセッション ID がお手軽でいいよねという時代があったかと思います。 いや、もちろん、 CSRF 対策の文脈だけで言えば今も昔も間違いというわけではありません。セッション ID が秘密情報であるのは Web アプリケーションにおいて当然の前提ですので、 CSRF 対策としてリクエストに求めるべきパラメータとしての条件はたしかに満たしています。 たとえば 『安全なウェブサイトの作り方』 改訂第6版では以下のように解説されています。 6-(i)-a. (中略) その「hidden …

• Python 製の負荷試験ツール Locust を試してみた

  Web の負荷試験ツールとして代表的なのは Apache JMeter だと思いますが、 Apache JMeter 自体が結構重いのと、テストシナリオの保守が GUI ツールでは結構ツライ (シナリオファイルは XML ですが、とても人間が手を加えられるような代物じゃない) なあということで代替となるものを探していました。 で、心惹かれたのが以下のツールです。 Gatling Tsung Locust Gatling は非常によさそうなんですが、うーん要 JDK …

• Django のチュートリアルをやってみるよ (4)

  https://docs.djangoproject.com/en/1.6/intro/tutorial04/ をやります。フォーム周りについてやるとのこと。 1. チュートリアル 4 章 1-1. view 側の実装 まだ Django 流の用語に慣れていない感じで戸惑っているのだけれど、ここでいう view というのはつまり Page …

• 俺氏、はじめての転職ｗｗｗｗｗ

  年末の超お忙しい時 [1] に転職エントリ失礼します！ 2014 年 1 月 31 日をもって、いま勤めている会社を退職することになりました。いや、別に社名出せるんですけど、社名でググって以下の画像のように検索結果の 1 ページ目に退職エントリが出るみたいな事態を悪化させるのも申し訳ないかなと思うので、一応の配慮として社名は出さないでおきます（別に社名を出しての退職エントリが悪いというわけではないです）。 これまで 高校時代にアルバイトをはじめたときから数えると、現職で仕事をしてもう 8 年になります。こうして見るとやっぱり長いものです。はじめての IT …

• あなたの隣にも anatoo 先輩を——書評: 『HTML5 ハイブリッドアプリ開発[実践]入門』

  技術評論社様より、 anatoo さん の『HTML5 ハイブリッドアプリ開発[実践]入門』をお送りいただきました。どうもありがとうございます。 anatoo さんがハイブリッドアプリに関して経験されてきたであろうあらゆることがぎっしり詰まっている一冊でした。せっかくいただいたものですし、みなさんにも是非オススメさせていただきたく書評なぞを書いてみようと思います。 なお、本書の対象読者は以下とされています。 iOS、Androidで動作するハイブリッドアプリを初めて開発する人 より良いハイブリッドアプリを開発するための種々のノウハウを知りたい人 ハイブリッドアプリに関する知識を網羅したい、さらにハイブリッドアプリの裏側の仕組みを理解したい人 本書は、読者がHTML・CSS・JavaScriptに関する基本的な知識や …

• サイトを Pelican を使って作り直した

  せっかくの三連休なので最近 (?) 流行の static site generator ってやつでサイトをがっつり作り替えてみました。 世間的には Jekyll がメジャーな感じですが、できるだけ Python を使っていきたいので、 Python でもそんな感じのツールがないかと探したら Pelican なるものがありました。で、丸一日いじりまくってみたらそこそこ見られる感じのサイトができあがったのでえいやと公開します。デザインに関してはもうちょっとなんとかしたいのだけれど。 ブログエントリや RSS などの URL は極力変わらないように気をつけて設定しましたが、なんかお使いの …

• MySQL のデータディレクトリを ramdisk 上に置いて DB に依存したユニットテストをまあまあ速くする

  前回の Django のチュートリアルをやってみるよ (3) のエントリで、 DB に依存したテストを速くするための方法として、いくつかの記事で ramdisk を使うアプローチが紹介されていたので試してみました。 MacBook Pro Retina, 13-inch, Late 2012 (2.5 GHz Intel Core i5, memory: 8 GB …

• Django のチュートリアルをやってみるよ (3)

  https://docs.djangoproject.com/en/1.6/intro/tutorial03/ をやります。お、 view だ。 1. チュートリアル 3 章 まあ view とはどんなものなのよみたいなのは別にいいや。ざっと斜め読みしたところ、 URL ルーティングの話が出てきているっぽいのは気になる。 URL ルーティングとビューが密接に関連付いている …

• gcc で C のエントリポイントから Go で定義した関数をコールする試み

  C 言語のプログラムから Go で書いた関数を呼ぶ的なことをやってみたくていろいろと試行錯誤してたけどようやくうまくいったのでポイントをメモします。 コンパイラは gcc 4.7.2 です。 あくまで自分のやったことのメモなので正しい方法ではないかもですが、超五里霧中で進んでいる感じなのでどのような指摘も大歓迎しております。 ポイント 1. darwin を見捨てる 俺の環境の問題かもしれないけど OSX 上で Go 言語サポート付きで gcc 4.9 を入れて …

• Django のチュートリアルをやってみるよ (2)

  https://docs.djangoproject.com/en/1.6/intro/tutorial02/ からやっていきますよ。 1. チュートリアル 2 章 1-1. 管理画面 /admin/ にアクセスすると自動生成された管理画面にアクセスできるよ！ とか書いてあります。アドミンジェネレーターってやつですね (Django でどういう呼び方になっているのかわからないけど、特別な名前はないっぽい？)。 最初に python …

• Django のチュートリアルをやってみるよ (1)

  Django 自体にはかなり興味があって、コードはちょくちょく拾い読みしていたりとか、 https://docs.djangoproject.com/en/1.6/topics/security/ とか、個人的に認証周りのセキュリティ関連の修正で興味深いものが 2 件ほど出ていたので [1], [2] そのあたりは追いかけていたのだけれど、実際に Django を使って何か作ってみたことがあるわけではないので、ちょっとチュートリアルをはじめてみたよ。 もくもくとチュートリアルをなぞるだけになるかなと思ったけど、後で調べないといけないこととか …

• PHP カンファレンス 2013 にて『XMLとPHPのイケナイ関係 (セキュリティ的な意味で)』という講演をします

  来る 2013/09/14 (土) に開催される PHP カンファレンス 2013 にて、『XMLとPHPのイケナイ関係 (セキュリティ的な意味で)』という題目で講演をさせていただけることとなりました。 日時 2013/09/14 (土) 10:00 - 17:00 (私の講演はいまのところ 11:20 …

• PHP 5.3 でネイティブ関数の引数型エラー時の返り値が変更になったけど大丈夫？

  PHP 5.5.0 リリースおめでとうございます。 タイミング的に PHP 5.5 の話だと読み間違えた方 (もしくは「こいつ間違って PHP 5.3 って書いてやがるプギャー」と思った方) におかれましては、このテキーラはサービスだから、まず飲んで落ち着いてほしい。 はい。ということで、驚くべきことに、いまから、真顔で …

• 【トリビア】iOS 搭載の Mobile Safari にはデフォルトの検索エンジンの設定を取得、変更する関数が実装されている

  iPhone で Yahoo! 知恵袋をブラウジングしていたところ、以下の画像に示したような表示要素が出てくることに気がつきました。 「んん？ もちろん Yahoo! JAPAN はデフォルトの検索エンジンにはしていないが、どうやってそのことを知ったのだ？」と思い、 iPhone を MacBook Pro に繋いで、 OSX 側の Safari からいろいろと確認してみたところ、 http://m.chiebukuro.yahoo …

Page 1 / 3 » ⇉