PGP … Pritty Good Privacy, 公開鍵暗号のベストプラクティス。 GPG … Gnu Privacy Guard, pgp のGNUによる実装。 gpgはUIがややこしくて混乱するので使い方についてメモる GPGとは 電子署名 公開鍵認証 を行うためのソフトウェア。秘密鍵を2つ作る。 署名のためのmaster key 署名に加えて暗号化を行うためのsub key 2つ作るのは単に利便性のため。master keyはインターネット上のあなたそのものなのでこれを流出させると死ぬ(正確には新しい人物としてやり直しになる)。よって、厳重に保管しておき、普段の運用にはsub keyを用いる。 master keyを使用するのは以下の場合 他人の鍵に署名する。 鍵をrevoke(削除)する。 UIDを強く信頼する。 新しいsub keyを作成する。 他の鍵のpreference(
ハーイ！僕です。 最近、Spring Securityと戦っています。今のプロジェクトでセキュリティまわりを僕が担当しているのでね。 Spring Frameworkを勉強しはじめて、最初につまづいたのがSpring Securityです。いやね、これね、ちょっと僕には難しすぎるんじゃない？ 「人類には早すぎたのだ！！*1」 と、突然机の前で発狂しながら仕事してます。周りの人はびっくりさせてごめんなさい。 これ以上暴れてまわりの人から変人扱いされても困るので、自分なりにSpring Securityについて纏めてみようと思います。 SpringSecurityを理解する上では、 Filterのお話 Configのお話 Configurationのお話 がそれぞれあると思っているので、その順番で〜 Filterのお話 Spring Securityは主にサーブレットフィルターをもちいてWeb
Ending at: 2024-05-20 --:--:-- ¹ GMT Time left: Just a few hours Visitors to this page: 12719 (189 unique) Current price: £50 Ahrefs:12,408,251 ~ DR:17 ~ Backlinks:191 ~ Ref.domains:83 ~ DA:28 Links from: github.com, stackoverflow.com, hatenablog.com, stackexchange.com, csdn.net, cnblogs.com, spring.io, ……
This post shows Method level security in Spring Security 4 with @PreAuthorize, @PostAuthorize, @Secured and Spring EL expressions. Let’s get going. In order to enable Spring Method level Security, we need to annotate a @Configuration class with @EnableGlobalMethodSecurity, as shown below: package com.websystique.springsecurity.configuration; import org.springframework.beans.factory.annotation.Auto
実装したソースは https://github.com/huruyosiathatena/springboot/tree/8ffe6e7ab202945b9399b1d34eb4462de223dcb1 にあります。 前回( http://huruyosi.hatenablog.com/entry/2015/08/08/003303 ) は認証を行ったので、今回は認可です。 認可の方法 コントローラーに@Securedアノテーションを指定して、必要な権限名を指定します。 コントローラーのクラスとメソッドのどちらでも指定可能です。メソッドに指定する場合にはWebSecurityConfigurerAdapterクラスの具象クラスに@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled=true)の指定が必要です。前回
はじめに Spring Boot + Spring Security使用時のSessionTimeout対応の最後に、「CSRF対策が有効の場合、POST時にSessionTimeoutしているとHTTP Status：403 Forbiddenが発生してしまう問題がある。」と記載した。 今回はこの問題の対応方法を記載し、Spring SecurityのJavaConfigの完成形を作る。 CSRF対策のせいでHTTP Status：403 Forbiddenが起こる原因 まずこの問題が起こる原因は、CSRF対策の仕組みが、リクエストパラメータで送られるCSRF TokenとSessionに保存されたCSRF Tokenを比較するというロジックであり、Sessionに依存しているから。 SessionがTimeoutによって消滅しているときにCSRF Tokenをリクエストパラメータで送っ
はじめに Spring BootにSpring Securityを入れた時のSessionTimeoutのデフォルト挙動は、ログイン画面への自動遷移になる。 一般的な要件として、ログイン画面に遷移したときに「タイムアウトしました。」などのメッセージを表示しなければいけないような時の対応方法を記載する。 ※関連ページ：Spring Boot + Spring Security使用時のCSRFとSessionTimeoutの問題 検証version ・Spring Boot 1.3.3 ・Spring Security 4.0.3 参考までにView側技術 ・Thymeleaf 2.1.4 ・Bootstrap 3.3.6 LoginUrlAuthenticationEntryPointの拡張 org.springframework.security.web.authentication.Lo
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
こんにちは、セキュリティ担当の色川です。 今やサイバー攻撃の主流の１つとなった「リスト型アカウントハッキング」について、弊社における状況やこれまでに行ってきた対策・対応などを紹介します。 リスト型アカウントハッキング（リスト型攻撃）とは他社サイトから流出したログイン情報（IDとパスワードの組み合わせ）を使い、不正なログインを試みる攻撃手法です。「パスワードリスト攻撃」とか「不正ログイン攻撃」などとも呼ばれています。（本稿では以降「リスト型攻撃」と表記します。） 他社サイトのログイン情報なので、IDが存在しなかったりパスワードが違ったりしてほとんどは失敗に終わるのですが、流出元サイトと同じID・パスワードで登録している利用者がいるとログインされてしまいます。複数のサイトで同じID・パスワードを使い回す利用者が多いため、効率のよい攻撃手法となっているようです。 GMOメディアにおける状況弊社で
今回の10分講座は、最近になって新たな攻撃方法が発見され、対応の緊急性が高まったDNSキャッシュポイズニングについて解説します。 DNSの問い合わせの流れ まずはじめに、DNSではクライアントがどのようにドメイン名の情報を得るのか、その流れについて説明します（図1）。 エンドユーザーのPCなどのDNSを利用するクライアントから、問い合わせを行うネームサーバに対し、問い合わせを依頼します。 依頼を受けたネームサーバは、問い合わせ内容を元に、ルートサーバから委任をたどりながら順に問い合わせを行い、目的のドメイン名情報を持つ権威サーバから結果を取得します。 依頼を受けたネームサーバは、問い合わせの結果をクライアントへ返答します。 図1：DNS 問い合わせ DNSのキャッシュ 問い合わせを処理するネームサーバは、処理の途中で得たドメイン名の情報を一時的にローカルに保存することができます。この処理を
Charles Miller's article, "Persistent Login Cookie Best Practice,"[1] describes a relatively secure approach to implementing the familiar "Remember Me" option for web sites. In this article, I propose an improvement that retains all the benefits of that approach but also makes it possible to detect when a persistent login cookie has been stolen and used by an attacker. Review To summarize Miller's
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
