ockeghem page

徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

リクエスト

プロフィール

リクエスト

2021/11/15 15:34

いきなり「究極」の話を振られても困りますが、その前段としてCAPTCHAなどは考えられます。場合によっては「連投を許容する」という「究極の方法」もありますので要件次第かと。

徳丸浩さんにリクエスト

ギフトサポートする

徳丸浩

LINEでシェアする

URLコピー

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿

ソーシャルゲーム、ホームページなどでバグや不具合などがありますが、
ユーザーの操作の原因で起きた場合、責任が生じてしまいますか？
DoSでも無いように思いますが、どうでしょうか。

リクエスト

意図的に脆弱性を攻撃したような場合を除き、ユーザーの責任ではありません。

3日前

DBに保存されるパスワードのハッシュ化・ソルトについて質問です。ソルトにはそのテーブル独自の秘密鍵のようなものを使っても大丈夫でしょうか。それとも、個々のレコードのIDをソルトとすべきでしょうか。

リクエスト

ソルトの要件として、(1)ユーザー毎に異なる、(2)ある程度の長さが必要というものがあり、「テーブル独自の秘密鍵」だと要件(1)を満たせない、「個々のレコードのID」だと(2)を満たせない可能性があり…

12日前

最近脆弱性の調査をしていたら某サイトでユーザーAPIが認証なしで叩くことが可能（なんとパスワードも返ってくる）・PHPでログインAPIを立て、javascriptでpostし結果trueだったらcookieにユーザー名とパスワードを平文で保存するという非常にマズイシステムがあったのですが、なぜそんな設計を業者がするのでしょうか？
最近では安い代わりに雑な開発をする企業も多いのでしょうか？

リクエスト

昔から「安い代わりに雑な開発をする企業」はありますが、最近は「見様見真似でウェブAPIやSPAを開発する」例を多く見かけるようになり、ご指摘の例まで極端ではないにしても、雑な開発を見る機会が多いようで…

13日前

会員制サイトを利用しているエンドユーザーのブラウザで、悪意のあるブラウザ拡張機能が動作してしまった場合に、サイト側でそれを防御することはできるでしょうか？例えば拡張機能の tabs.create で勝手に指定URLを新しいタブで開き、manifest.json の content_scripts で任意のJSをそのページ内で実行できてしまうと思います。そうすると例えば勝手にパスワード変更されてしまったり、アクセストークンが盗まれてしまいそうです。

リクエスト

サイト側では防御できないと思います。ご懸念のようなことは、一例としてパスワード管理ソフトのブラウザ拡張がしています。すなわち利用者が入力したパスワードを外部に送ります（暗号化はしますが）。現状では利用…

13日前

OWASPのCSRF防御チートシートには様々な対策・多層防御策が紹介されています。徳丸本では3種類のチェック方法が書かれていますが、もし改訂するなら追加したいものはありますか？「Use of Custom Request Headers」が個人的には気になっています。

リクエスト

「Use of Custom Request Headers」は拙著4.16.5節の「カスタムリクエストヘッダによる対策」として掲載されています。追加するとしたら、クッキーのsamesite属性ですか…

21日前