Webアプリ開発者のためのHTML5セキュリティ入門Muneaki NishimuraSenior Security Engineer at Recruit Technologies Co., Ltd.
JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意
はせがわようすけ氏のブログエントリ「機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき」にて、巧妙な罠を仕掛けることにより、別ドメインのJSONデータをvbscriptとして読み込み、エラーハンドラ経由で機密情報を盗み出すという手法が紹介されました。これは、IEの脆弱性CVE-2013-1297を悪用したもので、MS13-037にて解消されていますが、MS13-037はIE6～IE8が対象であり、IE9以降では解消されていません。 また、MS13-037を適用いていないIE6～IE8の利用者もしばらく残ると考えられることから、この問題を詳しく説明致します。サイト側の対策の参考にして下さい。 問題の概要 JSON形式のデータは、通常はXMLHttpRequestオブジェクトにより読み出しますが、攻撃者が罠サイトを作成して、vbscript
Node におけるスケールアーキテクチャ考察(SSP 編) - Block Rockin’ Codes
＊息抜きがてら書いていたら長くなってしまった。。 ＊当たり前ですが、あくまで個人的な考えです。 ＊ころころ変わるかもしれません。 Node の基本的な知識についての話は色々なところで出始めて、 じゃあこーいう場合はどうするの？ みたいな話が出始めたりもするようになってきた気もします。 正直、自分にもまだ分からないことだらけです。 そもそも自分はそこまでスケールに関するアーキテクチャや、OS の低レイヤに精通しているとは言えないので、 これを期に Node は何が得意で何が不得意なのか、スケールさせるために考えないといけないこと、などを自分なりにまとめて、 ついでに、これまで学んできた周辺のアーキテクチャに関する知識も混ぜて、色々思考実験をしてみたいと思っています。 だから WebSocket にブラウザが対応してないとか、そんな複雑なサーバ群本当に運用できるのかとか、 そういう話は無しに、
ピュアAJAXアーキテクチャのススメ
先日、ここで発表したFacebookユーザーむけグループウェア「Fruence.com」。今年のトレンドになるであろう「ソシアル・アプリ」の実例という意味もあったが、私自身の中で少し前から形になりつつあった「AJAXを最大限に活用した新しい形にウェブ・アプリケーション」のアーキテクチャの実践という意味合いも大きい。 このアーキテクチャの特徴は以下の３つである。 サーバー側は、JSON over HTTPのAPIとHTML/CSS（およびそのテンプレート）をスタティックな形でのみ提供する（サーバー側では、ダイナミックなHTMLの生成はしない） クライアント側では、JavaScriptを使ってサーバーから取得したJSONとHTMLのテンプレートを組み合わせて（データ・バインドして）表示する。 ウェブサイトはあたかも独立したアプリのように動き、操作中はURLは一切変化しない もともとは、HTML
Web開発者は要注目!! JSONでAjaxアプリ開発 - Protoscript登場 | エンタープライズ | マイコミジャーナル
Yahoo! Ajax Evangelist, Bill Scott氏は6日(米国時間)、Ajaxアプリケーションを開発するための新しいプロトタイプスクリプティング「Protoscript」を発表した。Protoscriptは既存のWebページに対して動作を追加することを目的としたスクリプト。かなりわかりやすい表記で動作を追加できるという特徴がある。 Protoscriptはいちからすべて開発されているのではなく、既存のプロダクトを組み合わせて機能が実現されている。まず、HTMLの要素を特定するためにjQueryが活用されているほか、動作やイベントへの対応にThe Yahoo User Interface LibraryやMooToolsが活用されている。 Webアプリケーションを開発するにあたって、UIを設計してから、そのUIに対して動作を付け足していく方法がある。直感的でわかりやすい方
Ajaxにおけるセキュリティ: 明示的トークン検証手法 | エンタープライズ | マイコミジャーナル
Web Application Development - SitePen Ajax JavaScriptアプリケーションの普及にともない開発者には特にAjax関連のセキュリティへの理解が求められている。そこでSitePenにおいて公開されている文書Security in Ajaxに注目したい。Kris Zyp氏によって執筆されたドキュメントで、Ajax JavaScriptアプリケーションにおけるセキュリティがまとめられている。次の内容がまとめられており、Webアプリケーション開発や保守における資料として活用できる。 クライアント(ブラウザ)からのアクセスに対してどうやってサーバリソースを保護するか ほかのサイトからのサーバへのアクセスをどうやって許可するか クロスサイトWebサービスからどうやってウェブページを保護するか JSONハイジャックにどう対処するか Kris Zyp氏はまずW
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
徳丸本に載っていないWebアプリケーションセキュリティ
