以下のツイートを読んで気持ちが昂ったので。 みんな、もうSNSでいがみ合うのはやめよう。 平和に好きなJWTの話でもしようよ。 JWTの格納場所はlocalStorageとCookieのどっちが好き？— 徳丸 浩 (@ockeghem) 2022年2月11日 というのも、JWTをセッションに使うときに保存先含めて一時期悩んでいたので、その時の自分の解。 ただ、考えるたびに変化しているので、変わるのかもしれない。 要約 タイトル。 あとは優秀な方々が既に色々考えておられるのでそちらを読むとよいでしょう。 SPAセキュリティ入門～PHP Conference Japan 2021 JWT カテゴリーの記事一覧 - r-weblife どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org JWT形式を採用したChatWorkのアクセストークンについて -
今や情報セキュリティはあらゆる分野で重要視されるようになっていますが、自分がしばらく働いているWebサービス関連の業界では「どの段階から情報セキュリティに取り組めばよいか？」という疑問がしばしば話題になります。昨今のWebサービスの多くは昔からのソフトウェアプロダクト開発における設計→開発→納品というフローで完結するものではなく、高速にプロトタイプを作成して価値検証を繰り返しながら、徐々にサービスとして成熟していくというモデルが多いと思います。その場合、最初から制約を厳しくしてしまうことでプロダクト開発のスピードが鈍化しProduct Market Fit（PMF）に至らない、というリスクが起こりえます。さらに厳しい制約を設けすぎることで逆に対策を無視する、という悪い文化が根付いてしまう恐れもあります。 この記事では自分がもし今から「自分でスタートアップを立ち上げ、あるいは立ち上げ直後のス
備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。 はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ
「セキュリティとUX」のイベント 2017年6月9日(金)に開催されたセキュリティとUXの◯◯な関係に参加してきました。 「セキュリティとUXの◯◯な関係 - すれ違い続けた二人の運命の邂逅（かいこう）～セキュリティとUXは本当にトレードオフなのか」というテーマで、ビジネス・アーキテクツ(BA)の太田さん、徳丸本の徳丸さん、ヤフーの日野さんの3人が講演してくれました。 80人の参加枠に260人ほどが応募され主催側もこの人数は想定外だったとのことでしたが、追加されたレポートするぞ枠で参加したので、ここでレポートしておきます。 （執筆後のコメント）なんだかずいぶんと長くなってしまいました。読みたいところだけを読むと良さそうです。 （6月13日追記：他の方の記事はセキュリティとUXの◯◯な関係 - 資料一覧 - connpass にまとめられています） 「セキュリティとUX」のイベント セッショ
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社のコーポレートサイトはこちらです。 当ページに記載されている情報は、2023年9月30日時点の情報です。 ～ “パスワード忘れ”をなくし、 “リスト型攻撃”による不正ログインのリスクを解消 ～ ヤフー株式会社（以下、Yahoo! JAPAN）は本日より、Yahoo! JAPANが提供する各サービスでパスワードを使わないログイン方法の導入を開始したことをお知らせします。 今回導入を開始するのは、スマートフォンなどのSMS（ショートメッセージサービス）を使って本人確認を取るログイン方法です。Yahoo! JAPAN IDを新規作成する際は、携帯電話番号を入力後、SMSで送信される確認コードを入力し、メールアドレスなどを登録するだけで作成が完了します（※1）。従来と異なりパスワードを発行しないため、
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは。Node.js言語サポートチームの加藤佑典です。 普段はYahoo!ブックストアの開発/運用を主にしています。 先日、同じチームの柄澤がNode学園祭 2016の発表でも少し触れていますが、今期から社内でNode.jsの言語サポートチームが発足しました。 本日はそのチームメンバー+有志で行っているNode.js Core APIの勉強会で話題になった、Buffer APIの変更点について触れたいと思います。 本記事はNode.js v6.9.1 Documentationをベースに書いています。 1. はじめに 勉強会は、以下のようにAPIをカテゴリ分けし、基礎的なAPIであるカテゴリー1のものから順に進めています。
最近、私は「セッショントークンを、cookieの代わりに Web Storage (sessionStorage/localStorage)に保存するのは安全ですか？」ということを尋ねられました。このことについてGoogleで検索したところ、検索結果の上位のほとんどが「Web storageはcookieに比べてかなりセキュリティが弱く、セッショントークンには不向きである」と断言していました。透明性のため、私はこの逆の結論に至った理論的根拠を公に書くことにしました。 Web Storageに関する議論の中核として言われるのは、「Web StorageはsecureフラグやHttpOnlyフラグといったcookie特有の機能をサポートしていないため、攻撃者が容易に盗み取ることが可能」というものです。path属性についても言及されます。私は、これらの機能それぞれについて調べてみました。そして、
5/20 頃に 公開した envchain というツールの紹介記事を、会社の技術ブログに書いた。 OS X キーチェーンから環境変数をセットするツールを作りました - クックパッド開発者ブログ 投下時間の関係もあると思うけど、思いの他結構拡散してびっくりした。まあ、それは置いておいて、本題。 おもしろい。が、ps -Eで他プロセスで環境変数が見えることを考えると、そもそも環境変数に認証情報を入れてる時点で… / “OS X キーチェーンから環境変数をセットするツールを作りました - クックパッド開発者ブログ” http://t.co/n1quG3C4Tx — Kazuho Oku (@kazuho) June 4, 2014 ごもっともだと思います。 実際のところ、わたしはなんか「環境変数やめろ bot かよ」と言われるレベルであまり環境変数に機密情報を入れる事を好んでないです。 なのにこ
k-匿名性 同じような属性の人がk人以上いる状態を、「k-匿名性」を満たすといい、そのようにデータを加工することを「k-匿名化」とよんでいます。この場合は、3-匿名性が満たされるように匿名化処理が行われたということです。 アナグラのうた｜博士の資料より l-多様性 属性にl（エル）種類以上の多様性があるかの指標「l－多様性」です。ある属性がl－多様性を満たすようにデータを加工することを、「l－多様化」とよんでいます。 アナグラのうた｜博士の資料より t‐近接性 同じ保護属性の組み合わせを持つレコードが、少なくともk個存在し、かつ対 応する非保護の属性情報の値の分布と、元のデータ集合の値の分布の差が 小さいことで、偏った分布による属性推定が起こらない状態。 匿名化技術の現状について 参考： 位置情報の匿名化が誘発する濡れ衣現象 PPDM-2006 情報科学概論論I データプライバシ データを
1. SSL/TLSの基礎と最新動向 セキュリティキャンプ 2015 2015年8月12日 IIJ 大津 繁樹 更新版資料の置場 http://goo.gl/cX1M17 Github Repo: https://goo.gl/vRLzrj 2. 自己紹介 • 大津 繁樹 • 株式会社 インターネットイニシアティブ • プロダクト本部 アプリケーション開発部サービス開発2課 • NodeJS Technical Committee メンバー • (主にTLS/CRYPTO/OpenSSLバインディングを担当） • IETF httpbis WG で HTTP/2相互接続試験等仕様策定に参画。 • ブログ： http://d.hatena.ne.jp/jovi0608/ 3. はじめに • TLS(Transport Layer Security)の仕組みについて学んでいただき ます。 •
VENOM Virtualized Environment Neglected Operations Manipulation Discovered by Jason Geffner, CrowdStrike Senior Security Researcher _____________________ Vendor advisories, patches, and notifications available below in Q&A section. VENOM, CVE-2015-3456, is a security vulnerability in the virtual floppy drive code used by many computer virtualization platforms. This vulnerability may allow an attac
--------------------------------------------------------------------- ■（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費） について（2014年12月9日公開） - BIND 9では権威DNSサーバーにも限定的に影響、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionの注意喚起・Vendor Informationへのリンクを追加） --------------------------------------------------------------------- ▼概要 BIND 9・Unbound・PowerDNS Recursorを含む複
サーバー攻撃をリアルタイムに可視化！監視システムがカッコイイ！ 動画英語版（English Ver.） → https://youtu.be/3u5u5A8_SE0 サイト版（日本語 Ver.） → http://ikinamo.jp/ja/cyber_attack/ 情報通信研究機構は、対サーバー攻撃アラートシステムの展示をおこないました。攻撃されている様子をグラフィックで可視化することができるというものです。攻撃の様子は3Dグラフィックスで表示されます。組織の内外から境界防御を突破されているケースが増えていることからこのシステムを使うことで、企業の情報や個人情報の漏れを防ぐことが可能になります。大学等の教育機関には無償で提供されているようです。 【衝撃】サーバー攻撃から会社を守る！リアルタイムに可視化、警告を発するシステムがすごい サーバー攻撃をリアルタイムに可視化してあなたの会社
Unixパスワード管理における，「ソルト」の役割について，説明します． ソルトがないとき まずソルトがない状態で，暗号化パスワードは，パスワードのみに依存して求めるのだと，どんな不都合が起こるかを考えてみましょう． 例えば，ユーザ名がtakehikoで，パスワードがwakayamaとします．そしてある暗号化関数で，nNAvIrX23n2という文字列が作られたとします． 次に，ユーザ名がmurakawaという人が，たまたまwakayamaというパスワードを選んだとします．そうすると，暗号化関数でできるのは，「パスワードのみに依存して求める」といいましたので，nNAvIrX23n2ですね． さて，そのようなユーザ情報と暗号化パスワードがファイルになっているのを，たまたま見ることができたら，どうかと言いますと，ユーザtakehikoとユーザmurakawaは，パスワードは何か分からないけど，同じ
管理中のサーバで行っているセキュリティ設定を公開します。本当はこういうことを公開するのはよろしくないのですが、脆弱サーバが氾濫している現状そこが踏み台となってsshアタックされるのも迷惑極まりないので、最低限やっとけという内容でまとめました。*1 起動サービスと概要 iptables/Firewallの設定 iptablesの中身 limit-burstについて hashlimitについて hosts.allow/hosts.deny(TCP Wrapper)の設定 sshdの設定 その他の設定 Apacheの設定 Postfixの設定 Dovecotの設定 まとめ 起動サービスと概要 Apache (www) sshd smtp/pop bind (DNS) ntpd いくつかの注意点。 sftpで十分なのでftpdは使わない。WinSCP等を使えばffftpに依存する必要はない。*2
最近というかかなり以前からですが、SSH のポート 22 に、不正な接続が見受けられます。ほとんどは test や apache といったユーザ名での接続を試みますが、中には takashi とか、日本語の名前も見受けられます。 Illegal user patrick from 59.120.171.146 Illegal user rolo from 59.120.171.146 Illegal user iceuser from 59.120.171.146 Illegal user horde from 59.120.171.146 Illegal user cyrus from 59.120.171.146 Illegal user www from 59.120.171.146 Illegal user wwwrun from 59.120.171.146 Illegal us
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
