徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

オンラインストレージの共有機能で「リンクを知っている全員」の共有設定で個人情報や機密情報のデータを共有している場合、そのデータは安全に管理されていると考えてもよいのでしょうか?

リンク(URL)が、ある程度長く複雑であれば安全だという意見もあれば、URLが単純であろうが複雑であろうがセキュリティ的に意味はない(安全ではない)という意見もあります。

情報セキュリティの専門家の方の間でも意見は割れているのでしょうか?

よろしくお願いいたします。

2021/11/06 22:36

拙著(安全なWebアプリケーションの作り方第2版)の5.3.2節末尾の「秘密情報を埋め込んだURL による認可処理」にて解説しています。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿
ソーシャルゲーム、ホームページなどでバグや不具合などがありますが、
ユーザーの操作の原因で起きた場合、責任が生じてしまいますか?
DoSでも無いように思いますが、どうでしょうか。
DBに保存されるパスワードのハッシュ化・ソルトについて質問です。ソルトにはそのテーブル独自の秘密鍵のようなものを使っても大丈夫でしょうか。それとも、個々のレコードのIDをソルトとすべきでしょうか。
ログイン機能の無いお問い合わせフォームで、連投を防ぐ方法は、究極的には、IPアドレスで識別するしかありませんか?
最近脆弱性の調査をしていたら某サイトでユーザーAPIが認証なしで叩くことが可能(なんとパスワードも返ってくる)・PHPでログインAPIを立て、javascriptでpostし結果trueだったらcookieにユーザー名とパスワードを平文で保存するという非常にマズイシステムがあったのですが、なぜそんな設計を業者がするのでしょうか?
最近では安い代わりに雑な開発をする企業も多いのでしょうか?
会員制サイトを利用しているエンドユーザーのブラウザで、悪意のあるブラウザ拡張機能が動作してしまった場合に、サイト側でそれを防御することはできるでしょうか? 例えば拡張機能の tabs.create で勝手に指定URLを新しいタブで開き、manifest.json の content_scripts で任意のJSをそのページ内で実行できてしまうと思います。そうすると例えば勝手にパスワード変更されてしまったり、アクセストークンが盗まれてしまいそうです。