機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき - 葉っぱ日記
WebアプリケーションにおいてJSONを用いてブラウザ - サーバ間でデータのやり取りを行うことはもはや普通のことですが、このときJSON内に第三者に漏れては困る機密情報が含まれる場合は、必ず X-Content-Type-Options: nosniff レスポンスヘッダをつけるようにしましょう(むしろ機密情報かどうかに関わらず、全てのコンテンツにつけるほうがよい。関連:X-Content-Type-Options: nosniff つかわないやつは死ねばいいのに! - 葉っぱ日記)。 例えば、機密情報を含む以下のようなJSON配列を返すリソース(http://example.jp/target.json)があったとします。 [ "secret", "data", "is", "here" ] 攻撃者は罠ページを作成し、以下のようにJSON配列をvbscriptとして読み込みます。もちろ
MicrosoftがIE用の修正パッチを緊急リリースした真相
米Microsoftは2010年3月30日（米国時間）、「Internet Explorer（IE）6」「IE 7」用の緊急セキュリティ・アップデート（修正パッチ）を公開する。すでに実行されている攻撃からユーザーを守るためだ。攻撃対象のセキュリティ・ホールがあるのはIE 6とIE 7だけで、（Microsoftが「最も安全」とする）最新版のIE 8は本来は関係ない。ただし、この修正パッチはIE 8に存在する別の問題も修正する（関連記事：IEのパッチが3月31日に緊急リリース、ゼロデイ攻撃に対応）。 Microsoftの情報には「修正パッチがリリースされたらすぐに適用してほしい。我々は以前からこの問題を監視しており、ユーザーを守るには修正パッチの臨時提供が必要と判断した」とある。 Microsoftは、このセキュリティ・ホールの調査を3月初めに開始したが、それと並行してハッカーも悪用を始めて
IEBlog
Internet Explorer Team Blog We've moved! Find us at the new Microsoft Edge Dev Blog As we announced last week, with the reveal of Microsoft Edge we are archiving the IEBlog. Future... Author: ieblog Date: 05/08/2015 Microsoft Edge is the browser for Windows 10 This morning, Joe Belfiore took to the stage at Build 2015 to share more about the next chapter in... Author: ieblog Date: 04/29/2015 Annou
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
