ARCHIVE
記事一覧
Into the Programのすべての記事を新しい順に掲載しています。
725件の記事
ARTICLES
記事一覧
新着順・136〜150件を表示
-
デシリアライズの入口を減らす｜外部データをオブジェクトへ戻す前の点検
外部のデータをオブジェクトへ復元する処理では、復元後の検証では遅い場合があります。PHPの公式な注意事項を踏まえ、Cookie、キャッシュ、キュー、保存済みデータの入口を点検します…
-
テンプレートへ入力を連結していない？SSTIを防ぐコードとデータの分離
メールや帳票のテンプレートへ利用者の入力を連結すると、表示用の文字列がサーバー側の構文として解釈される場合があります。SSTIとXSSの違い、固定テンプレートの選択、渡すデータの限…
-
NoSQLならインジェクションは起きない？検索値と演算子を分ける実装
SQLを使わないデータベースでも、入力のオブジェクトを検索条件へ渡すと、利用者が問い合わせの構造を変えられる場合があります。NoSQLの型と演算子の検証、検索画面の安全な設計、組織…
-
WebSocketの接続後も権限は変わる｜購読・配信・切断まで守る設計
WebSocketは接続時のログイン確認だけでは守れません。Originの検証、チャンネルの購読権限、送信メッセージの認可、権限変更後の配信停止、接続数と処理量の制限を整理します。…
-
C2PAの証明書検証に修正｜Content Credentials SDKを使うWebサイトの確認点
AdobeがContent Credentials SDKのセキュリティ更新を公表し、JVN iPediaも証明書検証の問題を掲載しました。修正版、組み込み先の確認、来歴情報と内容…
-
GraphQLを重い問い合わせから守るには？深さ・件数・コストを組み合わせる
GraphQLでは、HTTP要求の回数だけを制限しても一回の処理量を抑えられません。深さ、リスト件数、エイリアス、バッチ、コスト評価、許可済みの問い合わせを組み合わせ、認可と利用者…
-
ログイン後の戻り先は安全？オープンリダイレクトを防ぐURL設計
ログイン後の戻り先や外部リンクの中継が、利用者を意図しないサイトへ送る入口になることがあります。URLの解析、許可する宛先、相対URL、内部の転送、認証連携との違いを整理し、文字列…
-
クリックジャッキングを防ぐには？埋め込み制限と正規の連携を両立する
正規の画面を別ページへ埋め込んで操作を誘導するクリックジャッキングに備えます。frame-ancestorsとX-Frame-Options、frame-srcとの違い、パートナー…
-
使っていないサブドメインを放置しない！外部サービス廃止時の安全な手順
外部サービスを削除しても、DNSの参照が残るとサブドメインの乗っ取りにつながる場合があります。成立条件の見分け方、DNSとクラウド資源の台帳、廃止の順序、Cookieや外部連携への…
-
キャッシュから個人情報を漏らさないために｜CDNと会員ページの境界を点検する
表示を速くするキャッシュが、別の利用者へ会員情報を返す原因になることがあります。private・no-store・no-cacheの違い、CDNの保存ルールとキャッシュキー、URL…
-
XMLを受け取るWeb機能のXXE対策｜外部参照と解析資源を別々に制限する
XMLの外部実体参照は、解析するだけの処理から内部ファイルやネットワークへの経路を作ることがあります。DTD、外部参照、XInclude、解析後の変換を分け、ライブラリの設定確認、…
-
コマンドインジェクションを防ぐ実装｜シェルを外した後も確認する引数と権限
外部入力をコマンドへ渡す処理では、特殊文字の除去だけに頼らない対策が必要です。OSコマンドを使わない選択、実行ファイルと引数の分離、オプションの制限、環境変数、実行権限、時間と出力…
-
パスワードを安全に保存するには？ハッシュ方式と移行・負荷の考え方
パスワード保存は、暗号化や高速なハッシュを使えば完了するわけではありません。専用のハッシュ方式、ソルトとペッパー、認証時の再ハッシュ、既存アカウントの移行、同時ログイン時の負荷、バ…
-
画面にない項目まで更新されていない？マスアサインメントを防ぐ設計
入力されたJSONやフォームを、そのままモデルへ保存していませんか。マスアサインメントによる権限・所有者・公開状態の意図しない変更を防ぐため、更新項目の許可リスト、DTO、入れ子の…
-
送信ドメインのなりすましに備えるSPF・DKIM・DMARCの導入と検証
自社ドメインを名乗るメールへの対策は、SPF・DKIMの設定だけでは完結しません。DMARCが確認する送信者の整合、送信サービスの棚卸し、レポートを使う段階導入、転送時の失敗、運用…
スポンサーリンク