今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた
「安全なSQLの呼び出し方」というSQLのセキュリティに焦点を当てたドキュメントが、2010年3月にIPA（独立行政法人情報処理推進機構）から公開された。 これは2006年1月から提供されている、Webサイト開発者や運営者向けのセキュアWebサイト構築のための資料「安全なウェブサイトの作り方」の別冊として書かれたものである。「安全なウェブサイトの作り方」が92ページなのに対して、SQLインジェクションについてだけで40ページもの分量がある。なぜこんなに分厚いのだろうか。 このドキュメント作成に協力したという、独立行政法人産業技術総合研究所 情報セキュリティ研究センターの高木浩光氏にお話を伺うことができた。高木氏は個人ブログ「高木浩光＠自宅の日記」で、セキュリティ関連の問題を追求する論客としても知られている。筆者も以前、この連載の「今夜わかるSQLインジェクション対策」の回（2006年11月
このURLは存在しません。
■ なぜ一流企業はhttpsでの閲覧をさせないようにするのか 「かんたんログイン」などという似非認証方式は、たとえIPアドレス制限を実装したとしても安全でない。仕様が公開されていないからという点の他に、技術的な理由として、少なくとも次の2つがある。 「IPアドレス帯域」と俗称される重要情報が安全に配布されていない。 SSLを必要とするケータイサイトでは、通信経路上の攻撃によってなりすましログインされてしまう。*1 2番目には解決策がない。 1番目については解決策はあるだろうが、携帯電話事業者がサボタージュしていて、実現される見通しがない。これについては、2008年7月27日の日記にも書いたが、その後どうなったかを調べてみたところ、ソフトバンクモバイル以外は、何ら改善されておらず、当時のままだった。 NTTドコモ 「iモードセンタのIPアドレス帯域」のページをhttps:// でアクセスする
自分でできるWebアプリケーション脆弱性診断 - デブサミ2010
2. プロフィール上野 宣（うえの・せん）京都市生まれ、幼少期は実家がパソコンショップ、高専でロボコンに熱中し、豊橋技科大でインターネットにハマり、奈良先端科学技術大学院大学にて山口英教授の下で情報セキュリティを専攻EC開発ベンチャー企業で創業メンバー、東証マザーズ上場などを経験を経て、2006年6月に株式会社トライコーダを設立株式会社トライコーダ 代表取締役情報セキュリティ教育ネットワークシステム／Webアプリケーション脆弱性診断http://www.tricorder.jp/ 独立行政法人情報処理推進機構(IPA)セキュリティセンター研究員セキュリティ＆プログラミングキャンプ講師情報セキュリティ専門誌 ScanNetSecurity編集長Copyright©2010 Tricorder Co.Ltd. All rights reserved.2sen_u 3. 著書、連載など今夜わかる
セキュリティ＆プログラミングキャンプ2009参加レポート (OpenOfficeImpress版)
第19回まっちゃ１３９でのLTに使用したスライドのOpenOfficeImpress版です。（アニメーション有り、フォントが適応されずにレイアウトが崩れてる箇所あり）Read less
MD5を解析するWebのサービス - うさぎ文学日記
MD5が脆弱と言われていて、もう使っちゃダメと烙印を押されていても、さすがにハッシュ値から逆算して解析するアルゴリズムが存在するわけもなく、解析にはレインボーテーブルを使っています。レインボーテーブルというのは、平文とそのハッシュ値をDBのテーブルに格納しておいて、ハッシュ値で検索するというテクニックです。（この場合はレインボーテーブルじゃなくて、ただの平文とハッシュ値のテーブルかも。 参照レインボーテーブル - Wikipedia） たとえば、「password」という平文をMD5でハッシュ化すると「5f4dcc3b5aa765d61d8327deb882cf99」となります。こういった対応を表にたくさん入れておくことで、MD5のハッシュ値で検索すると元の平文が見つかるというわけです。 MD5のレインボーテーブルがWeb上から使えるサイトは結構あるようで、いくつかをピックアップ。どのサイ
わんくまっちゃ４４５同盟 featuring Silverlight Square でR.Lのワッフル - うさぎ文学日記
末広がりな2009年8月8日に東京・新宿で開催された第08回 まっちゃ445勉強会に参加してきました。今回は「わんくま同盟」「まっちゃ４４５勉強会」「SilverlightSquare」の３コミュニティ合同の勉強会という形式で行われました。 R.Lのワッフル 今回もおいしいスイーツ付きの勉強会をありがとうございます。 都内にも結構店舗がありますね。ご当地ワッフルなんかもあるみたい。 ワッフル・ケーキの店 エール・エル オフィシャルサイト セキュア開発プロセスとウェブ健康診断仕様の応用 今回はHASHコンサルティングの徳丸さんによる「セキュア開発プロセスとウェブ健康診断仕様の応用」を目当てに参加してきました。 前置きで話していた話で興味深かったのが、「Webアプリケーションのセキュリティの要件の中に『ウイルス対策ソフトを導入』とあると、Linux+Apacheではなく、ウイルス対策ソフトの選
SQLインジェクションについて
通常、ログイン画面だと、IDとパスワードを入力してログインボタンを押すようなものを作成すると思います。 そして、DBにIDとパスワードの情報が入っていた場合、 単純に、 「select * from users where id='xxxx' AND pass='xxxx'」 を検索して、データが存在していたらログインさせる、という処理になります。 その際に、inputタグの中のID項目に「hogehoge」、パスワードの項目に「' OR 'A'='A」 と入力すると、 「select * from users where id='hogehoge' AND pass='' OR 'A'='A'」 となります。コレを検索すると usersテーブルのidが「hogehoge」でかつ、passが「（空）」か、又は、「A」という文字列が「A」であった場合の全てを検索する、となります。 そうすると
上野宣 - Wikipedia
京都府生まれ、大阪府育ち、東京都在住[1] 父親は京都放送（KBS）の元技術マン。上野が誕生する頃に独立し、映像機器を扱う会社を経営しつつ、傍らでパソコンショップ「ハッカーズ」も手掛けていたが、上野が小学生の頃に倒産した[2][3]。 大阪府立大学工業高等専門学校卒業[3][2] 豊橋技術科学大学工学部卒業[3][2] 奈良先端科学技術大学院大学情報科学研究科博士前期課程修了[3][2]（山口英教授の下でネットワークとセキュリティを学ぶ[1]） 株式会社トライコーダ代表取締役（ハッキング技術を駆使したペネトレーションテストや実践トレーニングなどを提供）[4] TIPという別ペンネームがある[5] OWASP Japan 代表、一般社団法人セキュリティ・キャンプ協議会 GM、Hardening Project 実行委員、SECCON 実行委員、Flatt Security 社外取締役などを務
誰がシステムのセキュリティを“大丈夫”にするのか
「セキュリティは大丈夫なようにしておいてよ」 開発を依頼するときに、こんな言葉を交わしていませんか。開発会社は開発のプロなんだから、セキュアなシステム構築のことも熟知しているし、任せておけば大丈夫……果たして、それで本当に大丈夫なのでしょうか。 開発会社はセキュリティなんかにかまっている余裕はない？ これまで、いくつかの開発会社やその現場を見てきましたが、その中にはセキュリティのことをあまり考えていない開発会社もありました。そういった会社は、セキュアなシステム構築への取り組みを会社として何もしていなかったり、セキュリティのことは設計者やプログラマの個人的なスキルに依存していることもしばしばです。 中には「セキュアにシステム構築なんかしている場合じゃない」と社長自らが述べている開発会社もありました。セキュリティにはコストがかかるし、特別なスキルが必要という先入観からなのか、セキュリティのこと
Webアプリケーション開発に伴うセキュリティ要件をまとめた「発注者のためのWebシステム／Webアプリケーションセキュリティ要件書」をクリエイティブコモンズライセンスにより無償で公開 〜 株式会社トライコーダ - うさぎ文学日記
久々にプレスリリースを出しました。 セキュリティ教育を専門とする株式会社トライコーダ（東京都新宿区、代表取締役：上野宣、以下トライコーダ）は、株式会社アイアクト（東京事務所：東京都渋谷区、本社：大阪市中央区、代表取締役社長：鈴木統夫、以下アイアクト）と協力して、Webアプリケーションの脆弱性に特化した情報サイト「脆弱性診断.jp」にて、Webサイトの脆弱性を防ぐセキュリティ要件をまとめた仕様書「発注者のためのWebシステム／アプリケーションセキュリティ要件書」を、クリエイティブコモンズライセンスにより無償で公開いたしました。 Webアプリケーション開発に伴うセキュリティ要件をまとめた「発注者のためのWebシステム／Webアプリケーションセキュリティ要件書」をクリエイティブコモンズライセンスにより無償で公開 〜 株式会社トライコーダ 本ドキュメントの制作にはHASHコンサルティング株式会社の
Office2007ドキュメント中のテキスト文章がウイルスとして検出される - うさぎ文学日記
メールの添付ファイルで、脆弱性の話の資料を送ったんですが、 送り先の方がSymantec AntiVirus Corporate Editionを使っていて、 教育用の資料を何度を送ってもウイルス扱いになって、 ファイルが削除されてしまうということがありました。 Office2007のファイルはXMLファイルを単にZIPで圧縮したものだから、 文章中に以下の文字が入ってたのがダメだったみたい。 cat /etc/passwd | mail [email protected] ウイルス名「Unix.Penguin」として検出されたようでした。 Unix.Penguin は、Unix 上で動作する単純かつ悪質なシェル スクリプト プログラムです。Norton AntiVirus の Unix.Penguin 検出技術は、システム パスワード データ ファイルを外部に送信しようとする Unix シェ
2008年度ScanNetSecurityの人気記事ランキングベスト5 - うさぎ文学日記
今年も何本か寄稿させていただきましたScanNetSecurityさんが今年（2008/1/1〜12/24）のベスト5を発表されています。 1位と5位が私の記事です！おめでとー！（自画自賛） 1.「NOD32」と「ESET Smart Security」比較使用体験記(2) https://www.netsecurity.ne.jp/3_11198.html 2.WAF導入の手引き https://www.netsecurity.ne.jp/3_11827.html 3.登大遊：シンクライアントに変革をもたらす「PacketiX Desktop VPN」(1) https://www.netsecurity.ne.jp/3_11694.html 4.PCIDSS要件6.6、コードレビューとWAF導入選択の留意事項 https://www.netsecurity.ne.jp/3_11862.
字幕職人 tikal Winnyで字幕を付けてアップロードしたことで逮捕 - luminのコードメモ
http://journal.mycom.co.jp/news/2008/09/18/030/ 本日京都に出張していたのですが、とうとう映画の字幕職人が逮捕されました。 仙台でプロバイダはU-Senを使っていた人で、Winnyで共有したのが運のつきか。Winnyだと簡単に足が付きます。WANTEDの公開時刻は、 2008/07/05 01:04 118.236.xx.xxx:xxxx 118x236xxxxxxx.ap118.gyao.ne.jp U-SenのＡＰ118は仙台です。ＩＰアドレスの一部とポート番号はマスクしています。 出していた映画のタイトル数は100本ぐらい、映画の方は公開前は厳しくかなり前から目を付けていた様子。 海外からbittorrentで輸入して、機械翻訳で字幕を付けてWinnyに放流、自宅を捜査されると、状況証拠が多すぎのため否認は無理でしょう。 Shareは1日
ScanNetSecurity - HASH コンサルティング 徳丸 浩氏に聞く Web アプリ脆弱性対策のこれから(1)
HASHコンサルティングの徳丸浩氏は、前職の京セラコミュニケーションシステム（KCCS）では80名ほどの部下を抱える事業本部の副本部長まで務めながら、技術に携わり続ける道を選んで2008年4月に独立を果たした。そんな徳丸氏に、現在のWebアプリケーションが抱えるセキュリティ問題の解決方法と、独立についての話を編集部が聞いた。 --- ■Webアプリケーションという分野への貢献が独立の目的 私が設立したHASHコンサルティングの主な業務は、安全なWebサイト構築に関わるコンサルティングや教育、Webアプリケーションの脆弱性診断などの提供です。また、Webアプリケーションという分野への貢献と、家族との時間を大切にするということも独立した目的の1つです。 独立のきっかけの1つは、たまたま参加したセキュリティの勉強会にセキュリティの分野で独立して仕事をされてる方々がいて刺激を受けた
ScanNetSecurity - 「NOD32」と「ESET Smart Security」比較使用体験記 (1) 導入と運用
軽快さを売りにしていたアンチウイルスソフトが、総合セキュリティソフト化されることで、スパイウェアやスパム対策などの追加機能でがんじがらめになって、激重ソフトに変貌し、ユーザーを落胆させることは多い。 「NOD32アンチウイルス(以下、NOD32)」といえば軽快さに定評のある最右翼ともいえるアンチウイルスソフトだが、「NOD32」の総合化された後継ソフトである「ESET Smart Security」は果たしてどうなのか? 先週までのインタビューでは「ESET Smart Security は NOD32 の軽快さを受け継いでいる」と、販売元企業が激しく主張していたが、果たしてその言葉、鵜呑みにできるのか。その真相を探るべく「NOD32」と「ESET SmartSecurity」そして、より一般的な基準をはかるため業界標準とされている「Norton Internet Security
共有アカウントのパスワードは定期変更すべき - うさぎ文学日記
パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記がツッコミ待ちなようなので。 前提条件が何でもいいなら、共有アカウントとかがあったらパスワードは定期（？）変更すべきでしょう。複数人で利用しているアカウントのパスワードは定期的に変更するか、メンバーが退職したり権限を失った場合に変更した方がよいでしょう。 そもそも共有アカウントなんてもん作るなよってか。ｗ 他の人も言っていますが、盗聴などによってパスワードを入手した本来の利用者以外が利用しているという状況に陥った場合、パスワードを変更することで被害拡大をその時点で止めることができるということで、パスワードの定期変更は有効な場合もあると思いますよ。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ診断ツール AppScan を診断する（3）自動テストと手動テスト
株式会社ネットセキュリティ総合研究所 情報セキュリティ専門誌ScanNetSecurity編集長に上野宣が就任
livedoor ニュース - HASH コンサルティング 徳丸 浩氏に聞く Web アプリ脆弱性対策のこれから(1)
HASH コンサルティング 徳丸 浩氏に聞くWeb アプリ脆弱性対策のこれから(1)（Scan） - Yahoo!ニュース