NGINXからアプリケーションサーバ「NGINX Unit」がオープンソースで登場。PHP、Go、Pythonに対応。Java、Node.jsにも対応予定
NGINXからアプリケーションサーバ「NGINX Unit」がオープンソースで登場。PHP、Go、Pythonに対応。Java、Node.jsにも対応予定 NGINX UnitはNginxの開発者であるIgor Sysoev氏が設計し、NGNIXのソフトウェア開発チームが実装したもので、同社としてはNginxと同等の開発プロセスと品質を実現しているとしています。 現時点でPHP、Go、Pythonに対応。Java、Ruby、Node.jsにも対応予定です。 NGINX Unitの最大の特徴として挙げられているのは、最初から動的制御が可能なように設計されており、アプリケーションの入れ替えやバージョンアップなどを再起動することなくシームレスに行えるところです。 RESTful APIやJSONによるコンフィグレーションの変更やリロードもリアルタイムかつ動的に反映されるとのこと。 また、同一サー
第4回 URLとオリジン | gihyo.jp
URLは、Webブラウジングを開始するという意味でも、Webに関連する技術の入り口という意味でも、Webにおける起点そのものです。 攻撃者の視点から見ると、多くの場合、URLは攻撃者自身によってコントロール可能です。その複雑な構造から、プログラム内でURLをデータとして取り扱う際にまちがいが発生しやすく、セキュリティ上の問題点を引き起こしやすい格好のねらい目、攻撃の起点であるとも言えます。 また、Webアプリケーションにおいてセキュリティを確保するためには、特定のリソースがそれぞれのWebアプリケーション自身と同一の保護範囲にあるものなのか、あるいは第三者の用意した可能性があり信用できないものなのかを区別して取り扱う必要があります。この境界条件は、Webアプリケーション自身の動作しているURLを基とした「オリジン」と呼ばれる範囲によって決定されます。 今回は、JavaScriptでのセキュ
HTTPとサーバ技術の最新動向
デブサミ2016登壇資料。サーバ技術の評価軸、HTTP/2、サーバプッシュ、HTTPS化の負荷、Brotli、サーバ内スクリプティングを俯瞰
WebRTCセキュリティレポート · A Study of WebRTC Security
WebRTCセキュリティレポート あらまし WebRTC(Web Real-Time Communication)は、Webアプリケーション技術の昨今のトレンドの一つだ。WebRTCを利用すると、プラグイン無しで、また他の条件も無しでリアルタイムコミュニケーションを実現できる。だが、そのオープンソースとして性質から、WebRTCを採用しようとする人がセキュリティ上の不安を覚えることもあるだろう。本レポートはWebRTCのセキュリティについて明らかにし、他の技術と比較してWebRTCのセキュリティが優れていることを解説する。 1. 導入 WebRTCはオープンソースのWebベースの技術であり、ユーザがリアルタイムメディア通信を、プラグイン無しで実現可能な技術だ。適切なブラウザを利用すれば、ウェブサイトをブラウズするだけで、他者に発信して通話することができる。 WebRTCの主なユースケースは
伊藤直也氏が語る、モダンなWebテクノロジーに共通する傾向とは？（前編） Chef、Docker、MicroservicesからReact、FRPまで。QCon TOkyo 2015
伊藤直也氏が語る、モダンなWebテクノロジーに共通する傾向とは？（前編） Chef、Docker、MicroservicesからReact、FRPまで。QCon TOkyo 2015 最新のITと関連技術をエンジニアの視点で掘り下げるイベント「QCon Tokyo 2015 Conference」が4月21日に都内で開催されました。 そのセッションの1つとしてKAIZEN platform Inc.の伊藤直也氏が行ったのが、「モダンWebシステム開発」と題して、最近のWebアプリケーションに関する技術に共通する傾向を探った講演です。 ChefやPuppetなどによるInfrastructre as CodeからImmutable Infrastructureなどのインフラ周りからReactなどのフロントエンドにまで共通する考え方とは何か、示唆に富むその内容をダイジェストで紹介します。 モダ
ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法
以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスしたURLに対して勝手に脆弱性をスキャンしてくれます。 ATTACK mode についてOWASP ZAP に追加された attack mode の概要
【セキュリティ ニュース】OWASP九州チャプターが活動を開始 - 第1回ミーティングを開催（1ページ目 / 全1ページ）：Security NEXT
「OWASP」のローカルチャプターである「OWASP Kyushu」が活動を開始した。第1回目のチャプターミーティングは、福岡市内で3月21日に開催する予定。 OWASP（Open Web Application Security Project）は、ウェブアプリケーションに関連するセキュリティの課題解決を目指したコミュニティ。国内のローカルチャプターとして、すでに関西チャプターが展開、福島チャプターの準備が進められているが、今回あらたに、九州チャプターが活動を開始することになった。 同イベントでは、OWASP Japanチャプターのリーダーを務める上野宣氏による講演や、九州チャプターリーダーの服部祐一氏、セキュリティさくらを主催する大木学氏のライトニングトークを予定している。詳細はイベントの申し込みページから。 （Security NEXT - 2015/03/16 ） ツイート
安全なウェブサイトの作り方改訂第7版の変更点と変わらない点
IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定
プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
脆弱性診断士（Webアプリケーション）スキルマップ Ver.1.0
脆弱性診断士（Webアプリケーション）スキルマップ Ver.1.0 1 ページ 分野 大分類 中分類 小分類 Silver Gold 備考 IP ○ ○ TCP ○ ○ UDP ○ ○ DNS ○ ○ SSL/TLS ○ ○ Web Socket × ○ IPv6 × ○ トップレベルドメイン(TLD) ○ ○ ICANN × ○ DNS /etc/hosts ○ ○ レジストラ × ○ ○ ○ メール SMTP ○ ○ 共通鍵暗号 ○ ○ 公開鍵暗号 ○ ○ 暗号学的ハッシュ ○ ○ 認証局 ○ ○ 証明書 ○ ○ 認証 ○ ○ ファイアウォール ○ ○ IDS/IPS × ○ WAF ○ ○ パスワード認証 ○ ○ ２要素認証 ○ ○ シングルサインオン ○ ○ CAPTCHA ○ ○ ワンタイムトークン ○ ○ 機密性 ○ ○ 完全性 ○ ○ 可用性 ○ ○ スキーム名 ○ ○ ホス
Hardening 10 Evolutions, 2014.11.8-9 | Hardening Project
2014年、Hardening Projectは予告通り11/8土曜日、9日日曜日に、沖縄県宜野湾市で開催いたします。参加登録を開始しましたので、お誘いあわせの上ふるってご参加ください。 Evolutions? – letter from the chairman “Hardening 競技会といえば、丸腰のサーバを満足な道具もなく必死で守る過酷な8時間イベント”、という認識が定着してきたころかもしれません。「セキュリティ堅牢化の８耐」とも言われます。しかし、それは本来の意図とは異なります。Hardening Projectの目的は、より実践的な堅牢化の技術の価値を最大化すること、だからです。 そこで、今回は「守りの進化」を一つの柱として取り組みたいと思います。これまでの優秀なチームは具体的にどんなコマンドを駆使していたのか。どんなプロセスでインシデントをハンドリングしていたのか。役割分担
「バイラルメディア運営者」がダメすぎて滅びてほしい
バイラルメディアに関する議論が沸騰していますが、言及しようかと思った矢先に水族館Tweetが大RTされ、様々なバイラルメディアに取り上げられたりなどしましたraf00です。名古屋港水族館の飼育員さんがすごいぜ。 さて。 独自の視点で様々なものを流行らせているカリスマブロガーを中心に議論が巻き起こったり、「キュレーション」という言葉を流行らせて以後はすっかりチョロい仕事で稼いでおられる佐々木俊尚氏が編集長を勤める「TABI-LABO」が炎上謝罪再炎上というステキなコンボをキメられたり、バイラルメディアを運営しながらバイラルメディアの暗部に斬り込んだ猛者が返り討ちにあって記事をガシガシ削除されたり、いつもどおり無責任発言を繰り返すイケダ師にヨッピーが全力で反論したりと、広範囲に戦火が拡がっています。 そんな最中、国内の主要バイラルメディアの代表が集まった最高に胸糞悪いトークセッションのレポート
初心者Webアプリケーション開発者がチェックすべき情報源2014 - ハニーポッターの部屋
毎年恒例の「初心者Webアプリケーション開発者がチェックすべき情報源」を集めているので、皆さんにもご紹介。 去年は手を広げすぎてかえって反応が悪かったので、最低限のものに絞ってみた。 上から重要な順。★の付いている「重点」がとりあえず読んどけ、の必須。 必須のポイントは、短期間で大雑把に網羅的にポイントが整理されているものを選択。 書籍としては、徳丸本「体系的に学ぶ 安全なWebアプリケーションの作り方」、「めんどうくさいWebセキュリティ」と「実践 Fiddler」を掲載。 「HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書」を追加。 ■重点 ★Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html LASDECなどで公開されていたウェブ健康診断仕様が別冊に加わ
APPSEC APAC 2014 で講演いたしました - Cybozu Inside Out | サイボウズエンジニアのブログ
Cy-SIRT の伊藤です。 少しの間お休みをいただいて、数日前に職場復帰しました。 2014 年 03 月 20 日に APPSEC APAC 2014 にて講演いたしました。 このような貴重な機会を与えていただいた APACSEC APAC の関係者の皆様に、心より感謝いたします。 講演について 講演にて利用した資料は、以下のホームページにて公開いただいています。 原稿を作成する過程では、最初に日本語版のプレゼン資料を作成しました。 その後多くの皆様に校正をお手伝いいただき、 翻訳済みの原稿を作成しています。お手伝いいただいた皆様、本当にありがとうございました。 当日は翻訳済みの資料でプレゼンを行ったのですが、参加いただいた全ての方が日本人の方でしたので、 逆に分かりにくい状況となってしまい申し訳ありませんでした。 数名の方から、日本語版の資料に関するお問い合わせをいただきましたので、
Conference Days全資料公開！ | OWASP AppSec APAC 2014
OWASP Global AppSec APAC 2014にご参加いただきありがとうございました！ ご来場くださった皆様のおかげで、感動的なカンファレンスとなりました。 この2日間で合計25セッションが27名のスピーカーにより提供されました。 カンファレンス最終セッションにあたり、全てのプレゼンテーション資料を以下のとおり公開いたします。 さらに、STUDENT IN APPSECなどのゲストスピーカーの資料も随時追加する予定です。 プレゼンテーション資料は、以下のリンク先にて閲覧できます。 https://speakerdeck.com/owaspjapan/ また以下のリンク先からは各資料を直接閲覧できます。 3月19日 Deploying information security management for proper data life-cycle ／ Suguru Yamag
「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」を一般公開しました - 財団法人 地方自治情報センター（LASDEC）
現在位置： ホーム > 情報セキュリティ 対策支援 > 自治体セキュリティ支援室からのお知らせ > 「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」を一般公開しました 背景 情報システムは住民向けのサービス基盤として欠かせない存在ですが、情報システムを安全に利用する上で避けては通れない問題があります。それが「脆弱性」に関する問題です。 脆弱性とは情報セキュリティ上の弱点のことであり、脆弱性の問題を放置すると、情報の流出や、ホームページ等コンテンツの改ざん、サービスの停止などの問題を引き起こす可能性があります。一見すると安定して動作しているように見えていても脆弱性が内在することもあり、情報システムの調達・構築・運用にあたってこの対処をあらかじめ決めておくことは安定的な運用に欠かせないことです。 特に近年ではWebアプリケーションの脆弱性
蓮舫「父親から、日本国籍を取って日本人として生きろと言われた時が、人生で一番屈辱的な事だった。」→これの出典はどこ？ - 情報の海の漂流者
横浜市議会斉藤たつや議員、蓮肪国会議員に「18歳で帰化した時の気持ち」を聞いちゃう - Togetter これが事実ならば、日本人をやめていただきたい。RT"@amaisuisei: 今からでもお帰り下さい RT @sito_rin RT @mutans_coga: 蓮舫議員は「父親から、日本国籍を取って日本人として生きろと言われた時が、人生で一番屈辱的な事だった。」— 横浜市会議員（緑区） 斉藤たつやさん (@saito_tatsuya_) 2月 5, 2011 『蓮舫議員は「父親から、日本国籍を取って日本人として生きろと言われた時が、人生で一番屈辱的な事だった。日本人になることの悔しさで一日中泣いた」と雑誌のインタビュー記事の回顧録で語っていた』というのは何年か前から出回っているコピペなんですけど、これって出典はどこなんだろう。 この件については2011年2月に人力検索はてなで 『蓮舫
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
第17回 オワスプナイトまとめ
https://dl.dropboxusercontent.com/u/224433/YAPC2012/index.html