栞/#security
- 2011年3月
Google AppsでDKIMを利用
メールに署名をつける方式、DKIM
- 2011年1月
「CSRF対策のトークンの必須要件は「第三者から推測が困難」という推測困難性だけです」時刻を元にしているトークンの生成は危険。
「もし、まともな開発者であれば、受信したJSONを一度HTMLアンエスケープして、必要に応じて自動リンクやフィルタする処理をして、出力するコンテキストに応じてエンコードして出力する 」
「escapeshellcmdはお蔵入りするしかないと思います。幸い、escapeshellargの方はまともな仕様と思われますので、escapeshellargで代替してください。」
「IEがコンテンツを sniff してHTML以外のものをHTML扱いしてしまうことを防ぐために、動的にコンテンツを生成している場合には、とにかくあらゆるコンテンツのレスポンスヘッダに X-Content-Type-Options: nosniff を付与する」
- 2010年10月
型情報を保持して二重エスケープしない自動エスケープ
2011/2/1からYahoo!ケータイのSSLがsecure.softbank.ne.jpを通らないようになる
携帯サイト作成でやってはいけないこと
- 2010年9月
非常にわかりやすい文字コードがらみの脆弱性の解説とPHPの場合。
- 2010年6月
携帯電話のJavaScriptで変わること、意識すべきこと。
- 2010年5月
setRequestHeaderでHost書き換え→かんたんログインなりすまし可能に。
「秘密鍵とハッシュ関数を組み合わせる手法によっては、セキュリティホールが発生する可能性がある。このような穴がないことが証明されている組み合わせ手法が HMAC である、ということです。」
- 2010年4月
「SSL接続で得たX-JPhone-UIDを認証に使ってはいけない」
- 2010年3月
HTTPS/SSLの仕組み。
- 2010年2月
｢審査などがあるとはいえ、無節操に外部ドメインからのiframe等によるファイル読み込みを実装できてしまう『mixiアプリ』という仕様は、それ自体が脆弱性となる危険をはらんでいると思わざるを得ないと思うのですが、
- 2010年1月
SQLインジェクションに関するわかりやすいまとめ。
PAKEを改良、「本プロトコルではサーバが正規ユーザであることを確認することと同時に、ユーザ側のブラウザもサーバが登録したパスワード情報を保持していることを確認（相互認証）します。」
- 2009年12月
退会ページのデザイン。トークンを確認、パスワードを重ねて確認、autocomplete=off。
- 2009年11月
iモードブラウザ2.0のJavaScriptのクロスドメイン通信制限がホスト名ベースなのを利用、DNS Rebinding。