今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた
「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月
インジェクション系攻撃への防御の鉄則
前回までは，主にクロスサイト・スクリプティングのぜい弱性とその対策について解説してきた。最終回となる今回は，クロスサイト・スクリプティング以外の「インジェクション系」ぜい弱性について解説する。具体的には，SQLインジェクション，OSコマンド・インジェクション，HTTPヘッダー・インジェクション，そしてメールの第三者中継である。 SQLインジェクション対策にはバインド変数の利用が最適 まず，SQLインジェクションから見ていこう。対策には二つの方法がある。一つは，SQLの「バインド変数（注1）」を使う方法である。バインド変数の書式はプログラミング言語によって異なるが，一例として，Perlを使った場合に，パスワード認証のSQLをバインド変数で書き換えた例を示す（図1）。 （注1） 「準備された文(Prepared Statement)」というのがJIS SQLでの用語だがあまり普及していない。バ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
