栞/#security
- 2009年5月
PHPとSessin Adoptationについて、わかりやすい。
楽天のセキュリティ教育。
いろいろなCSRF対策まとめ。やっぱりワンタイムトークンかな。hidden/セッションだけではなくCookieにも入れるとより効果的。
WAF使ってる例、だよね。「大変お手数ですが、SQL文を投稿いただく場合は、全角に変換の上でご投稿いただきますようお願い致します。」
- 2009年4月
現行のOAuthの問題点について。確認画面のURLを別のユーザーに渡しても使えてしまう。
OAuthの脆弱性が。TwitterはまたもOAuthのサポートを一時停止。
UTF-7など文字コードがらみのセキュリティの話題。
IEがいかにしてContent-Typeを無視するか。
- 2009年3月
セキュリティリスクとコストをどう天秤にかけるか。もちろん、リスクの高い部分は優先的に対策が必要。
Macが「攻撃に対抗する仕組みが組み込まれていない」という指摘。そしてChromeがサンドボックスの仕組みを持っているために攻撃に対してかなり強くなっているという指摘。
UTF-7を利用したXSSについて。
クリックジャッキング対策。「Firefox3で『サードパーティのCookieも保存する』をオフにする」
クリックジャッキング防止方法。「window.top !== window.selfで自分自身がtopでない場合にinnerHTMLを空文字で上書き」
透過したiframeをコンテンツにかぶせる手法。
文字コードに起因する脆弱性。XSSなど。
サーバーサイドのプリペアードステートメントのメリットとは。「SQLの構文解析はプレースホルダのまま行われるので原理的にSQLインジェクションの可能性がない」「キャッシュされるのでSQLの実行効率が向上する」
Captcha生成ライブラリ。
- 2009年2月
IEがバッククォートを引用符として扱ってしまう問題。
PDOのプリペアドステートメントに関する実装。DB側に機構が用意されてない場合はPDOがエミュレートする、実際にはコンパイル時に対応DBのバージョンを考慮して動作が変わったりする。
QRコードによるフィッシングとか。