ockeghem page

徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

リクエスト

プロフィール

徳丸浩さんにリクエスト

投稿して欲しいテーマ・お題のリクエストや質問を匿名で送ることができます。

過去の回答

失礼いたします。
XSSに対するの全てのウェブアプリケーションに共通の対策として「HTTPレスポンスヘッダのContent-Typeフィールドに文字コード（charset）の指定を行う。」というのがありますが、これはドキュメントファイル（HTMLやPHP）だけに対するものでしょうか？それともJSファイルにも必要なものなのでしょうか？

リクエスト

全てにそうするべきですが、XSS脆弱性まで至るかどうかはケースバイケースです。例外はJSONで、JSONの文字エンコーディングはUTF-8固定なので、charsetは指定しないのが正しいです。

6時間前

23卒でこれから就活なのですが、web開発エンジニアか脆弱性診断士のどちらかになりたいと思ってます。

そこで質問なのですが、最初にweb開発エンジニアになってから数年経って脆弱性診断士、または脆弱性診断士になってから数年経ってweb開発エンジニアになるのは難しい事なのでしょうか？

リクエスト

可能だと思います。Web開発エンジニアから脆弱性診断士は割合なりやすいと思います。脆弱性診断士からWeb開発エンジニアになるのは少しハードルがありそうですが、診断の傍ら個人活動でガンガンコードを書いて…

6時間前

徳丸先生はメイン機Macなんでしょうか？徳丸本のDocker環境楽しみにしてます。

リクエスト

メインはWindowsです。MacはSafariの挙動の確認、拙著のMacユーザー対応のために買いました。期待いただいている人がいると嬉しいのでがんばります

6時間前

未経験者が脆弱性診断員になりたいと思った場合、どのようなステップアップ(資格取得や受講講座など)を推奨されますでしょうか。

リクエスト

非常に漠然としたお話なのであまり確たる回答はできないのですが、以下のブログ記事は参考になるかと思います。 https://blog.eg-secure.co.jp/2020/09/egssit.htm…

2日前

iPhoneのSafariで閲覧中に、
"JavaScriptは、この方法で使用することが許されていません"と表示される事が度々ありました。

ウイルス感染や攻撃されているものなのでしょうか？

リクエスト

そのメッセージはブラウザが表示していると考えられます。わざわざウイルスがそのようなメッセージを表示する理由がないため、単にアプリケーションのバグ、あるいはテスト不足だろうと考えられます。

13日前

徳丸先生のYouTubeチャンネルの中で、徳丸本第2版のPDF版を使用されていますがどこかで購入できるものなのでしょうか？（初版は達人出版会からPDF版が発売されていますが第2版は見当たりませんでした）

リクエスト

徳丸本2版のPDF版は販売しておりません。

14日前

Webサイト(ECサイトやコーポレートサイト)を脆弱性診断ツールで診断をした際に、Yahoo や Google の計測用タグのiframeにて、「sandbox属性が指定されていない」と言って、セキュリティ設定の不備が指摘されることがあります。
この場合、考えられる脅威は何があるのでしょうか？
個人的な見解としては、iframeの読み込み先のYahooの計測APIなどで、XSSがあるとは考えにくいですし、個人情報が漏洩するリスクはないと判断して、過剰検知としていいものなのでしょうか？
ご教授いただけると助かります。
よろしくお願いいたします。

リクエスト

お仕事における個別具体的な質問は、弊社顧問契約などで承ります。有償のサービスを購入いただいているお客様がありますので、どこかで線を引かなければなりません。悪しからず。

16日前

お問い合わせフォームなど個人情報を扱うフォームをSPAで実装する時の個人情報の保持に関するご質問です。

フォームは入力、確認、完了の３画面構成です。
フォームのフローは以下になります。
①入力画面から入力された個人情報をjsの状態管理処理を担う領域（具体的にはnuxtのstore等）に格納した上でバリデーション用のapiでバックエンドへ送る
②バリデーションを通っている場合、①で保存した個人情報を確認画面に表示
③ユーザーが確認ボタンを押すと、①で保存した個人情報を登録用のapiを使ってバックエンドへ送る
④登録が完了できたら完了ページを表示

このようなフローで個人情報をフロント側で保持することは問題ないでしょうか。

リクエスト

気にされているポイントが今一つわかりませんが、Nuxtのstoreということは実体としてはJavaScriptの変数ですので、従来からJavaScriptの変数に個人情報が入っても差し支えないわけで、…

20日前