20
票
Accepted
脆弱性対策におけるhtmlspecialchars()の使用箇所について
ドメインレベルでの対策を行っていない場合
「出力時にエスケープ」 1択です。他の選択肢は考えられません。著者の思いつきではなく、ここ数年万人によって当たり前のように言われ続けていることです。
【ユーザからの入力時】にサニタイズしてしまうと、HTML出力以外でサニタイズ前の文字列が必要になった際にhtmlspecialchars_decode()等で元に戻す必要があるため、やはり【...
17
票
Accepted
暗号に使える乱数と使えない乱数
まず重要なポイントとして、擬似乱数のシードとなる真の乱数 (質問の場合は円周率のほうではN, 漸化式の方ではM) は十分に広い空間からランダムに選ばれなくてはなりません。
どんな擬似乱数生成器を使っていたとしてもシードが高々1億程度では総当たりで(比較的)簡単にシードがみつかってしまい生成される乱数が再現できてしまいます。
円周率の先頭100万桁のどこかから選ぶなどは問題外です。
シードはRSA/...
17
票
ターミナルの操作ログを自動で残したい
プロセスアカウンティング用に広く利用できる物として "Process Accounting Utility" があります。環境によって、パッケージの名前が、 psacct もしくは acct になっているものです。
$ # インストール (ubuntu)
$ apt-get install acct
用意されているコマンド
lastcomm: 実行されたコマンドの表示
ac : ...
13
票
ログインシステムのためのパスワードのハッシュ方式、互換性、照合方法について
(suzukisさんの回答への補足です)
パスワードハッシュにSHA256などのメッセージダイジェストハッシュを使うことは推奨されません。 パスワードハッシュ用のアルゴリズムが開発されているので、それを使いましょう。
まずは結論から
現時点でベストとされているのはArgon2です。パスワードハッシュアルゴリズムの優劣を競うコンペで2015年に最良と判断されました。ただ、比較的新しいので、...
12
票
ログインシステムのためのパスワードのハッシュ方式、互換性、照合方法について
ハッシュアルゴリズムを切り替える方法
DBのユーザー情報を保存しているテーブルにハッシュアルゴリズムを保存するカラムを追加します。すべてのユーザーに旧アルゴリズムを表す値を入れておくか、NULであれば旧アルゴリズムと見なす、とします。
ユーザー認証時は、このカラムの値を見てアルゴリズムを選択します。
パスワード変更時は新アルゴリズムを用いてハッシュ値を計算し、...
12
票
Accepted
HTTP通信における、中間の攻撃者による内容の改竄について
典型的なMitMとしては、ISPが広告を挿入するという事例が複数あって問題になっています(例[1],[2])。無料をうたうISPが契約にこっそりそういう条項を入れていたりすることもあるので「攻撃」に分類されるとは限りませんが、倫理的にどうなのよ、という議論はあります。
実際の攻撃に使う場合、重要な情報はhttpsで流れるのがほとんどなので、...
10
票
Accepted
SSLで保護されていないページにログインフォームが存在するサイトについて
OWASPというWebアプリケーションのセキュリティに関するガイドラインを公開している団体があります。その指針によれば
The login page and all subsequent authenticated pages must be
exclusively accessed over TLS. The initial login page, referred to as
...
10
票
Accepted
公開秘密鍵ペアの使い方
接続先毎に公開鍵秘密鍵ペアを作る必要はありません。
通常は接続元毎に公開鍵秘密鍵ペアを作ります。作った秘密鍵は接続元に置いておき、公開鍵を接続先に配布します。
また例外的に、接続先毎に秘密鍵を変えたい場合には、 ~/.ssh ディレクトリ内に (デフォルトの id_rsa とは異なる) 別名で保存しておき、ssh 接続のたびに -i オプションで秘密鍵のファイルを指定するか、~/.ssh/...
10
票
Accepted
Cのprintfでの$(ドルマーク)の意味
POSIX仕様です。%4$xは可変引数の4番目の引数を参照することを指示します。
これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。
は脆弱な環境での話で、POSIX仕様上は
When numbered argument specifications are used, specifying the Nth argument requires that all ...
9
票
Accepted
PHP での SQL インジェクション対策はどのように行いますか?
前提
まず、SQL インジェクション対策を含め、脆弱性対策の前提としてなるべく新しい安定版の PHP を利用するようにしてください。
バージョンアップにより脆弱性が解消したり、より安全になっています。
なお、以下の方法は PHP 5.3.7 以上で対応しています。(PHP 5.3.6 でも対応していますが、Windowsの実装が不完全です)
ただし、PHP 5.3 系は 2014/8/14 ...
9
票
Accepted
HTTP + GPG でファイルを配布する際に、鍵はどうやって共有される想定なのか?
PGPの公開鍵の正当性の確認には、信頼の網(web of trust)という方法を用います。
入手手段(経路)としては、以下の2つが考えられます。
本人から直接手渡しで入手する。
既に信頼している人が署名した公開鍵を入手する。
そして、入手した公開鍵(a)に署名し、信頼度を設定します。
別の公開鍵(b)を入手した場合、その公開鍵(b)に署名している公開鍵(a)の信頼度が
「常に信頼する(...
9
票
Accepted
PHPのプリペアードステートメントのセキュリティについて
こんにちは。
回答1
普通に変数にしたら出来たのですが、これは普通のやり方でしょうか?
普通ではありません。$areaは引用符で囲っていないということは、数値でしょうか。その場合、例えば以下のようにします。数値の場合は、バインドする値をintなどにキャストするほうがいいです。
$ps=$db->prepare("SELECT id, name, time FROM user ...
8
票
Accepted
ブランクスレート(BasicObject)のインスタンスでinstance_evalするのはセキュリティ対策になりうるか?
たとえば、puts は、
str = "};::Kernel.puts 'hello';{"
とやれば働きますし、同様に外部コマンドも次のようにして実行できちゃいます。
str = "};::Kernel.system 'ls';{"
また、定数を触れるということは、クラスも触れるということなので、クラスに対してなんでもできると思った方がいいと思います。
8
票
webサービスの銀行口座情報はどこに保存していますか
クレジットカード情報は、漏洩した場合直ちに悪用され、金銭被害に直結しますが、銀行口座情報は仮に漏洩しても金銭被害に直接つながるわけではないので、そこまで神経質にならなくてもよいように思います。もちろん、心理的には被害甚大というところはあるでしょうが。
普通に考えれば、暗号化してデータベースに保存というのが落とし所ですが、銀行口座情報をサイトから閲覧できなくて良いのであれば、...
8
票
Accepted
メールアドレスに記号を許すことによるリスクはありますか?
私の立場は、メールアドレスを扱うシステム作る側でもありますが、組織内でどのようなメールアドレスを作っても良いか技術面から決める側でもあります。そのため、質問の趣旨と微妙にずれているかも知れませんが、どのようなメールアドレス生成を許可するのかが関心の中心となった回答になっている事にご配慮ください。
考えるべきリスクは二つかと思います。
自分のシステム上で不具合が起きる可能性があるかどうか。
...
8
票
Accepted
eval関数をwebフォームなどで使うとなぜ危険なのか?
(Python に限らず) eval では任意のシステムコマンドを実行できてしまうので、Webフォームなどと組み合わせて使ってしまうと、例えば単に「年齢(数字)を入力してください」としていたところに、悪意のあるユーザーは「パスワードファイルの表示」や「ファイルの削除」を試みるコマンド文字列を入力してくるケースが想定されます。
参考:
eval #セキュリティ上のリスク (Wikipedia)
...
7
票
ターミナルの操作ログを自動で残したい
Bash限定になりますが、端末への出力以外は全て実現可能です。
ref: http://tiswww.case.edu/php/chet/bash/NEWS
l. There is a new configuration option (in config-top.h) that forces bash to
forward all history entries to syslog.
...
7
票
Accepted
悪意のあるサーバーに ssh することのリスクはあるか
SSHクライアントの脆弱性を突くように仕込まれたパケットを送信されて、クライアント側で任意のコードを実行されるなどで、OSごと乗っ取られる可能性があります。
過去に、OpenSSHやPuTTY、TeraTerm等のメジャーなSSHクライアントで、任意のコードを実行できるような脆弱性が存在したことがあります。脆弱性が修正されたバージョンを使用していなければ、大変危険です。また、 ...
7
票
プライベートネットワーク内のDBにパスワードを設定する意味はありますか?
keitaro_so さんの回答と似通っていますが、ちょっと違う回答です。
現実問題としてパスワードの有無でリスクがあまり変わらないケースというのはあると思います。しかし、リスクの有無を正確に判定するのは結構高度な技量が必要ですし、その判断を間違う可能性も高いです。
つまり、「DBのパスワードを設定する手間」に比べて「DBにパスワードを設定しなくても安全と判断する手間」の方が大きいし、結局「...
6
票
Accepted
JavaScript&HTMLクライアント利用時の、クライアントの正当性を担保する方法について
ありません。いかなる対策も、改竄をしようとするユーザが解読打破できます。
質問内容からクライアント側がPCであるとします。その環境では、ユーザから隠される情報、ユーザが変更のできない情報はありません。あなたが心血を注ぐことで、ユーザーによるプログラム改竄コストを上げることはできますが、本質的な部分であなたの目的は達成不可能です。
効果的な対策があるとすれは、それはサーバサイドで、...
6
票
Accepted
6
票
Accepted
暗号化技術の重ねがけが逆効果になるケースは無いか?
たとえば暗号に対する中間一致攻撃と言うのがあります。
平文→(1段目の暗号化)→1段目の暗号文→(2段目の暗号化)→暗号文、暗号文→(2段目の暗号化の復号)→1段目の暗号分→(1段目の暗号化の復号)→平文、という処理をしてるとして、暗号と復号のプロセスから
平文→(1段目の暗号化)→1段目の暗号文
暗号文→(2段目の暗号化の復号)→1段目の暗号文
を取り出します。...
6
票
ブラックリストにあるURLの通信制御
Siegさんも指摘されているようにXY問題に陥っているかもしれません。
とりあえず、今どきのWebブラウザーには
Internet Explorer 8 以降のSmartScreen
Googleのセーフ ブラウジング
などが組み込まれているため、質問者さんがブラックリストを入手するよりも早くこれらに登録され、Webブラウザーは問題のサイトを自動的にブロックします。
...
6
票
eval関数をwebフォームなどで使うとなぜ危険なのか?
eval 関数で 任意のコマンドが実行できるからです。
>>> eval("print('hello')", {})
hello
>>> eval("__import__('os').system('uname -a')", {})
Linux C077 4.4.0-18362-Microsoft #476-Microsoft Fri Nov 01 16:...
6
票
Accepted
自作のプログラムがウイルスとして検出されてしまうのはなぜですか?
短い答え:今回のこの件は誤検出です。無視してよいですが、下記設定をしておくとセキュリティソフトの誤検出に悩まされなくてよいでしょう。
長い答え:
プログラムの問題でウイルスが検出されるということがあるのか
それはもちろん「ウイルスを作っている」のであればビルドしてできた実行形式ファイルがリアルタイム検索で即時ウイルス認定されることはあるでしょう。提示のソースコードには「ウイルス」...
5
票
脆弱性対策におけるhtmlspecialchars()の使用箇所について
出力時にエスケープが妥当な判断だと思います。
ただしXSS対策を行う場合、ただ単にhtmlspecialcharsだけでは防げない場合があるので注意が必要です。
例えば
ユーザーからの入力としてhttp://someware.com/のURLを受け取り、あるページでそのURLを以下の様にプログラムが出力した場合
<a href="http://someware.com/">
...
5
票
オープンソースでサーバーサイドのソースコードを公開することはどのような危険があるんでしょうか?
そもそもウェブサイトのサーバーサイドのソースコードを公開することは一般的にはあるんでしょうか?
あります。複数人でそのウェブサイトを開発し運用していく上で、ソースコードを共有することは重要になります。その共有場所としてソースコードがオープンな状況になってしまう場所を選択することも多いです。GithubのPublicリポジトリが代表例ですね。また、...
5
票
HTTP通信における、中間の攻撃者による内容の改竄について
あくまで推測ですが、「技術的には可能だが、攻撃者にとってコストや労力に見合った対価が得られない」 というのが、あまり改竄事例が見つからない要因なのではないでしょうか。
不特定多数のHTTP通信を中継・傍受するためのサーバとなると、ISPやIXクラスのものが必要になります。自前で用意するにしても他社のをクラックするにしても高コストなのは明らかです。
また、改竄用の中継サーバを用意、...
5
票
HTTP + GPG でファイルを配布する際に、鍵はどうやって共有される想定なのか?
公開鍵のサーバーがあるので、そこから取得できます。これはhttpsではありませんが、それ以前に単に「アップロードされた公開鍵を保存している」だけですから、その公開鍵が正規の発行元のものかどうかはわかりません。
ですから、その公開鍵が信用できるかどうかは自分で判断することになります。
鍵の持ち主のサイトなどに載っている鍵指紋と比較することが多いと思いますが、...
Only top scored, non community-wiki answers of a minimum length are eligible