栞/#security
- 2008年8月
セッションをファイルで管理、save_pathを組み立てる際に、セッションIDに/とか.とか入れられる危険性。
Googleによる暗号化ライブラリ、Java/Pythonの実装。
「『いまだ発見されていないもの』に対する対策は難しい」
DNSキャッシュポイズニングの件。
HTTPSでのアクセスが想定されるページにHTTPの要素を含めない。
PHPでGnuPG。
「妹認証は、PHP用のCAPTCHAモジュールです。他のキャプチャモジュールとは違い、 非常に斬新なCAPTCHAです。妹認証のコンセプトは『人間的対話による認証』です。」
「JavaScriptコード内のU+2028（あるいはU+2029）を、Firefoxが改行文字と認識する」
- 2008年7月
「そもそもIPアドレスで何かを制御しようとするのが誤りなんだが、ここまで常態化してしまった。」
DNSキャッシュポイズニング。誤って早く攻撃手法が公開に。BINDのパッチ。
このVeriSignのセキュアドシールは本物なのか？ と考えてみること。
ratproxyの使い方。
OpenIDのセキュリティ、発表資料。
ケータイwebのセキュリティ。
SQLインジェクションに関する発表資料あり。
WordPressの怖ろしさ…。
MySQLでlike演算子を使う場合のエスケープ。
BASIC認証でCookieを使ってログアウト状態を作る方法。
「Host-Proof Hostingはデータの暗号化や復号化をクライアントサイドで実施し、サーバには暗号化されたデータしか保持しないというもの。」
データの暗号化/復号をクライアント側で行う。そうすればサーバーは暗号化されたデータだけ持っていればOKになる。