Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog

画像出典: https://www.ipa.go.jp/files/000017316.pdf こんにちは。株式会社Flatt Security セキュリティエンジニアの奥山です。 本稿では、独立行政法人 情報処理推進機構(以下、IPA)が公開している資料「安全なウェブサイトの作り方」を紹介します。 「安全なウェブサイトの作り方」は、無料で公開されているにも関わらず、Webセキュリティを学ぶ上で非常に有用な資料です。これからWeb開発やセキュリティを勉強したいと考えている方はもちろん、まだ読んだことのない開発者の方々にも、ぜひ一度目を通していただけたらと思います。 一方、「安全なウェブサイトの作り方」では、一部にモダンなアプリケーションには最適化されていない情報や対象としていない範囲が存在します。それらについても本記事で一部、触れていきたいと考えていますので、資料を読む際の参考にしていただ

[daishi_n]

IPAには非機能要件リストとか集合知で基礎知識となるものが多いからただの天下り団体と言うには惜しいよ。この辺りが変わったのも未踏プロジェクト以降だけど

[iwamot]

読まれていないとしたらもったいない。「徳丸本」でおなじみの徳丸浩さんも執筆者に含まれている。

[kappa9]

よい冊子だが、古い内容、ガラケーサイトのセキュリティとかはもう必要ないのでアップデートしてほしい。

[quick_past]

あまりにもリッチでヘビーになったコンテンツを、一端HTMLベタ打ちの時代に振り戻してほしいと思うことはある。

[soreso]

“診断行為を実践してみたいときには、世の中では「やられアプリ」と呼ばれるデモ環境が提供されているので、それらを使用しましょう。例えば、「OWASP WebGoat」などが有名です。”　知らなかった……ありがたや……

[tmatsuu]

IPA、よくよく見れば良い資料が揃ってる。ちょくちょく改訂もされてるしね。

[ryouchi]

2021年3月31日に改訂されとるんやな https://www.ipa.go.jp/security/vuln/websecurity.html

[cubed-l]

第一版が公開されてから16年、安全なSQLの呼び出し方が出てからでも12年。個人はともかく組織としては知っていて当然とされるであろうから、読んでおくに越したことはない

[houyhnhm]

ぶっちゃけ、Webサイト作ってなくても読んでおく方がいいと思うよ。今、ゼロトラストとか言ってる状況もあるし。

[yarumato]

“現在公開は第7版(2015)。PDF版だけだったが、2020年に第1章のHTML版を公開。脆弱性の根本的解決策だけでなく、保険的対策も記載。対策に時間かけられなくても被害を最小化できる。読むときのポイント”

[manhole]

“例えば、「ログイン失敗時に登録済みメールアドレスと未登録のメールアドレスでレスポンスに差がある場合に、メールアドレスがデータベース上に存在していることが分かってしまう」のような慈恵弱性” はー!

[jacoby]

IPAが良い資料いっぱいあってホント役に立っていると思う。社会基盤センターのお役立ちコンテンツ一覧とかチェックしている。

[itukib]

“ ”

[pmint]

作り方は書かれてないので、技術者向けではない。べからず集でありカタログなので読みやすい。人に指示をだす管理職や経営者向け。「徳丸本」と同じ。付録のチェックリストは顧客に提出するために使える。

[taguch1]

学生さんとかに良さげ

[iemak96]

？

[KQwYB1pi]

「にも関わらず」❌「にもかかわらず」「にも拘わらず」⭕️

[straychef]

やだよ

[shikiarai]

何かで途中まで読んだんだけど何だったかな……図書館か、自分で買ったかも忘れてしまった……

[yasu-osu]

その通りですね。何とか組織的に実現させたいところ。

[tekimen]

ガラケーはauが停波になってて古いと思うし、PHPのmysql関数はもう使われていないしなあ…というところでふるさを感じた。良書ですが

[kaiton]

安全なWebサイトの作り方

[masck]

あとで読むかも

[cielonlon]

これは、今、読まなければ！！

[rck10]

そもそも自主勉・業界に一任してるのが原因。他の業界は、免許しかり、規格しかり「知識があること」「品質を保っていること」を保証する仕組みがあるのに、SIer土方体制を維持するために整備してこなかったツケ。

[paulownia]

せやな

[rajahbrooke]

良質なガイドラインってなかなか読まれないよな

[natu3kan]

確かにガラケーがオワコンなのは確かに。一番長いドコモでも3Gの終了が2026年の3月31日で、一番早いAUに至っては2022年3月31日で既に終了済っていう。

[sisicom]

読もう

[nunulk]

"そして何より、普段フレームワークが補ってくれている部分だからこそ、読んでみることをお勧めします。"

[masatotoro]

なんと、これは読んどくべき