栞/#security
- 2009年11月
「iモードブラウザ2.0のJavaScriptのクロスドメイン通信制限が、ホスト名ベースであることを利用して、クロスドメイン通信制限を突破しています。」
サンシャイン牧場問題まとめ。そもそも認証が行われていなかったということか。
携帯対応サイトのセキュリティまわり。
webの脆弱性関連の情報操作。なるべく表に出さない、なるべく控えめにアナウンス。
- 2009年10月
OpenSocialなアプリが外部にデータを送る際は署名による認証つきのリクエストを使うべき。「ブラウザ内で実行されているコードが改変されていないことを保障することは出来ない」
セキュリティはきちんと理解して対処すること。
- 2009年9月
Microsoftがフリーのアンチウイルスソフトをリリース。
ブラウザがFlashのバージョンチェックをする時代。
「正規表現を使用して mb_check_encoding() の代替用の関数を書いてみました」
IPAによる「信頼性自己診断ツール 」
発注/検収の視点からのセキュリティ。
UTF-8の冗長なエンコードによるXSSの危険性について。わかりやすい。
- 2009年8月
Flashのクッキーでいろいろトラッキングされてるんだよ、という話。
TwitterのOAuthスパムまとめ。
Twitterが不正URLのフィルタリングを開始（短縮URLは対象外とか）。
OAuthで許可を与える場合に何を許可することになるのかきちんと説明する表現について。
OAuthの許可ボタンが何を許可するのかわかりづらい問題。
- 2009年7月
PHPのセッション機構を使わないとかアホか。CSRF対策はきちんとしよう。
簡単ログインの問題点。
- 2009年6月
IPAによる。