Webアプリケーションを作る前に知るべき10の脆弱性 ― ＠IT
Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ
［セキュアOS SELinux入門］最終回 SELinuxとLIDSの機能・性能を比較する
今回は，ITProオープンソース・サイト（当サイト）で紹介している2種類のセキュアOS「SELinux」と「LIDS」の機能・性能の違いを解説する。「Linuxシステムのアクセス制御機能を強化する」という目的は同じだが，アクセス制御のきめ細かさや設定の簡単さなどでは大きな違いがある。システムに適したセキュアOSを導入するために，両セキュアOSの違いを的確に把握しておこう。 両セキュアOSともに強制アクセス制御をサポート SELinuxとLIDSはともに，「OSのアクセス制御機能を強化することで，たとえ侵入された場合でも攻撃者に大きな権限を与えずに，事実上攻撃を無力化する」ことを狙って開発されている。 これを実現するためにSELinuxは，「TE，RBAC，ドメイン遷移」という機能を持つ（SELinux入門第2回参照）。一方LIDSは，「アクセス制御リスト（以下，ACL），ケーパビリティ，カ
DynamicDNS (自宅でインターネットサーバー)
iptables とは、パケットフィルタを行うソフトウェアです。 外部から来るデータ（パケット）や、外部へ出るパケットを検査し、通過を許可・拒否の判定をして、NAT（アドレス変換）を実現する事が可能です。 パケット通過の許可・拒否を適切に設定することにより、ファイヤウォールとして活用する事が出来ます。 iptables は、Linux マシンをルータとして使用する時にもよく使用されますが、今回ＤＤＮＳサーバに iptables を導入し、よりセキュアーな環境を構築します。 iptables は Kernel2.4系の Linux で動作します。 今回のＤＤＮＳサーバはVine Linux 2.5 を使用しましたのでiptablesはインストールされていました。 Kernel （ 2.2系 ）は ipchains で Firewall を実現していました。 今は過渡期ですから
＠IT：Webアプリケーションに潜むセキュリティホール（2）- Page1
顧客データがすべて盗まれる？！～OSやデータベースへの攻撃～：Webアプリケーションに潜むセキュリティホール（2）（1/2 ページ） ※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第1回 サーバのファイルが丸見え？！」では、「Forceful Browsing（強制的ブラウズ）」や「Path Traversal（パスの乗り越え）」によって、任意のファイルを読み出されてしまう危険性について紹介した。 今回は、Webアプリケーショ
apache を Digest 認証対応にする｜apache｜@OMAKASE
はじめにhttp の認証認定方式には主に BASIC 認証が使われています。しかし通信経路上においてパケットを盗聴されることにより簡単に id Password が 知れてしまいます。 そこでBasic 認証よりもパケット盗聴に強い Digest 認証を利用するモジュール mod_auth_digest.so を 組み込みたいと思う。 README を読めば分かるが apache1.3. において mod_auth_digest.so は This code isn't supported officially. とあるようにまだ開発テスト段階である事を付け加えておく Basic認証とDigest認証の特徴 Basic 認証 認証情報の送信にはプレインテキストを MIME エンコードしたもの パケットを盗聴されると簡単にデコード出来てしまう 対応しているブラウザが多い (ほぼ全てのブラウザ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.ipa.go.jp/security/awareness/vendor/programming/b06_01.html
Security1-2. クロスサイトスクリプティング
検索エンジン ロボットの制御/robots.txt/SEO