Hideki SAKAMOTO の雑記 (2010-05-23)
◆ WASForum2010 参加してきましたので、自分なりのまとめや感想など書いてみます。 オープニングセッション これまでのセキュリティ問題に関する議論はサーバ・デベロッパ重視 ユーザーに目を向けよう ブラウザの「派手さ」とユーザーの「上手さ」：専門家は地味なブラウザ(w3mとか)を好み、下手なユーザは派手なブラウザを好む 3つの危険 あそびとしごと、まぜると危険：あそびにはFirefox、しごとにはChromeとか使い分けよう パスワードの使いまわし危険：2要素認証とかクライアント証明書とか… もう一つはメモし忘れた 危険をどうやって伝えるのか？^Jということで以降のセッションに続く ユーザの「上手い」「下手」は、セキュリティ意識の高さといった意味合いで使っているようでした。で、「上手い」ユーザーが地味なブラウザを使うというのは良いとして、「専門家」はもう一歩踏み込んであえて「派手な
WASForum Conference 2008: セキュリティの作り込みはどのように行われているのか？ | 水無月ばけらのえび日記
Microsoft の Security Development Lifecycle「MSのSDLは重い。君たちにできることを簡単に言わないで」と良く言われるSD3+C = "Secure by design, by default and in development" + Communications脅威モデル : バグ以外の脅威、STRIDE分析SDLは開発のライフサイクルではない。ウォーターフォールの中に組み込まれたり、併存する Microsoftのセキュリティの歴史1990年初頭 : シングルユーザOS、セキュリティに関する要求はあまりなかった1994年 : NT3.1がマルチユーザOSとなる。セキュリティ上の脅威、ユーザを他のユーザから、プロセスを他のプロセスから守る必要1998年くらいまで : 各製品チームが個別に対応していた。脆弱性が見つかったらマーケティング部門が対応19
WASForum Conference 2008: 携帯電話向けWebのセキュリティ | 水無月ばけらのえび日記
自転車とGREEについて自転車はGIANTがオススメGREEは2006年11月に携帯にシフト、携帯からのアクセスがぐんぐん増加 携帯の諸々Referer来ないかもしれない。auとSoftbankはおおむね来る。来ないなら来ないで統一されていれば良いものを……Cookieは、au来ます、Softbankは来ないかも。 Referer漏洩問題についてそもそも他サイトにリンクしないこと。ドコモ公式では必須端末不具合によって、何故かメールから叩いたURLに前のサイトのRefererが出ることが……セッション格納情報でチェックする? UA……Referer漏洩時点でばれている。端末固有情報?SIDを変えまくるという対策だと、戻ると死んだりするユーザがGREEにGREEのURLを貼ることは多い (URLにはセッション追跡情報がついている)。GREEではURLをパースしてがんばっている携帯ではHTMLソ
WASForum Conference 2008: OpenIDのセキュリティ | 水無月ばけらのえび日記
「携帯電話向けWebのセキュリティ」に続き、ZIGOROuさんによる「OpenIDのセキュリティ"」。こちらもスライドが公開されている (d.hatena.ne.jp)ようなので、感想のみ。 ……「ピアノを弾く」は「ひく」で良いのですが、「アクセスを弾く」などは「はじく」と読むのが一般的なのではないかと思いました。 ※それだけかよ! という声が聞こえてきそうですが、申し訳ないことにOpenIDってよく知らないのですよね。勉強しないとですね。 「セキュリティの作り込みはどのように行われているのか」に続きます。 「WASForum Conference 2008: OpenIDのセキュリティ」にコメントを書く関連する話題: セキュリティ / WASForum Conference
WASForum Conference 2008: SQLインジェクション対策再考 | 水無月ばけらのえび日記
2日目、「EV SSL の意義と課題」に引き続いての2発目は、徳丸さんによる「SQLインジェクション対策再考」。資料が公開されている (www.hash-c.co.jp)ので、私のメモとか必要ないですね。 若干補足すると、資料のp5～p6あたりの「セミコロン削除」「SQL構文に用いるような文字列はユーザーの入力としてはありえない」という部分ですが、ブログの記事を DB に格納するときにどうするのか、という話が出ていました。プログラムの話題を書いたときにセミコロンが全部消えてしまったら困りますから、セミコロンだろうとSQL構文だろうと、きちんと格納しなければならないのです。 質問として、「過剰エスケープはどうなのか」という話が出ましたが……。「セキュリティ的にはたぶん問題ないが、\が2重に表示される」。まあ、ぶっちゃけて言えばバグですね。実際、この手のバグはけっこうあちこちにあると思います。
WASForum Conference 2008: EV SSL の意義と課題 | 水無月ばけらのえび日記
2日目のセッションは技術的なお話が中心になりました。まずは「EV SSL の意義と課題」についてのメモ。 SSLの課題利用範囲の拡大とともに発行基準が多様化、匿名でも取得可能になった。一般のエンドユーザが確認することは困難 (一般ユーザがCP/CPSを読むというのは現実的でない)鍵マークへの信頼を逆手にとって、フィッシングサイトに悪用されるようにもなってきた EV SSLSSL証明書の発行審査基準の標準化 + 一般ユーザに分かる仕組みCA/Browser Forum (CABF) による EV ガイドラインの制定 (2006/10) Vista登場の2ヶ月前日本企業では発行できないガイドライン (組織名は登記簿謄本に記載のものと完全に一致しなければならないとされているが、日本の場合はたいてい漢字で書かれている……)JCAF: 日本語版ガイドラインの作成、日本の法体系沿う運用の提案 (App
WASForum Conference 2008 - Kingkom's Check
沢木耕太郎とアシモフ VANとブルックスブラザーズ 山下達郎とSteely Dan それにおいしい物が好きなプログラマーの雑記 「WASForum Conference 2008」に行ってきた。今年は、CIO/CTO DAY（7月4日）とDevelopers DAY（7月5日）の二日構成。当然、二日目に行ったわけである。当日は、とっても暑い日でしたが、お約束のごとく、フォーラム会場は寒いのですな。 上着を持っていて正解。 今年のセッションは、以下。 10:00 - 10:30 EV SSLの意義と課題 10:30 - 11:00 SQLインジェクション対策再考 11:00 - 11:30 携帯電話向けWebのセキュリティ 11:30 - 12:00 OpenIDのセキュリティ 昼休み 13:00-14:00 セキュリティの作り込みはどのように行われているのか？ 14:00-15:00 Se
雑文発散(2008-07-05): WASF Conference 2008 Day 2 #5
▼ [雑] WASF Conference 2008 Day 2 #1 「EV SSLの意義と課題」日本電子認証協議会の秋山さん。 EV SSLについてはそれなりに存在意義も課題も知っていたつもりだったのだけれど、弱い暗号強度の使用期限が割とすぐに来る（2010年12月31日まで）ことは把握していなかった。 ▼ [雑] WASF Conference 2008 Day 2 #2 「SQLインジェクション対策再考」HASHコンサルティングの徳丸さん。 「SQLのエスケープ再考」というエントリの再編集版といった発表だった。元記事もそうだったけど、問題点が整理されており、分かりやすかった。 HASHコンサルティング専属デザイナー（子供さんかな？）に描いてもらったという「危険なライオン」が可愛かった（笑） ▼ [雑] WASF Conference 2008 Day 2 #3 「携帯電話向けWeb
ダウンロード - HASHコンサルティング株式会社
Copyright(C)2008 HASH Consulting Corporation. All Rights Reserved.
WASForum Conference 2008で講演します - ockeghem's blog
既に色々な方が紹介いただいていますが、、WASForum Conference 2008の7/5 Developers DAY - 事件は現場で起こっている……セキュリティライフサイクルとマルプラクティスにて、「SQLインジェクション対策再考」のタイトルで講演させていただくことになりました。7月5日土曜日、東銀座時事通信ホールです。 高木浩光氏のブログでは、 今やSQLインジェクションの対策方法は広く理解されているはずのようにも思えますが、どうもそうでもないようです。いまだに「サニタイズ」的な対策を挙げる検査業者、コンサル業者がいるようで、しばしば、そういった業者がはてなブックマークで血祭りにあげられている事例も散見されるところです。blog で「SQLのエスケープ再考」といったエントリを書かれている徳丸さんに、このあたりのことについて結論を出していただきます。 とのコメントをいただいてお
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Twitter / 徳丸 浩: 業務連絡:WASForum Conference 2010にて、未公表のネタ2件を発表することにしました
Program | Hardening Project
WASForum Conference 2008: Webセキュリティのマルプラクティス – 思い込みによるソフトウェアエラーをなんとかしろ | 水無月ばけらのえび日記
WASForum Conference 2008: Security Wars EpisodeⅢ | 水無月ばけらのえび日記
【楽天市場】エスケープパズル：パズルショップトリト
WASForum - For All Security Professionals