最近のコメント

OpenBSDには言及してありませんね。もともと脆弱性がないlibcだったのかも知れません。

他のBSDで見つけちゃったらglibcにも"同じような"脆弱性があった、と言う話のようです。"同じ"ではなく"同じような"脆弱性という事がミソですね。BSD用のアドバイザリは見ていませんが、このアドバイザリからするとそのようです。

しかし、NetBSDしか直ってない（FreeBSD, OSXは脆弱）、Linuxも最新glibcが必要、とはセキュリティに興味がある人には美味しい(?!)ネタかと思います。

永続的リンク 2009/09/20 @ 11:00

投稿への反応: glibcの脆弱性で大量のメモリが割り当てられる - セキュリティ専門家は基盤ソフトウェアに期待させてはならない

haraoka [訪問者]

glibc使ったら負け的な発想もあるかと想いますが、最初OpenBSDに送られてないのはOpenBSDからはGNUは一切排除でglibcなんてかんけーねーよってなってるからかしら?

永続的リンク 2009/09/20 @ 10:53

投稿への反応: セキュリティ対策を行うべき部分 - 自分が作っている部分

Yasuo Ohgaki [メンバー] · http://www.ohgaki.net/

Webサイト全体がIPで制限されても構わない場合はルータ、OSでの制限も可能です。サイト全体がクローズドなあらこの方法で大丈夫です。全部に適用している訳ではないですが、ルータ(Firewall)とOSの両方で制限できるようにしています。

特定のURLだけ制限したい場合はApacheで制限しています。よく行っている追加の対策は認証が必要な管理ページへのアクセスはIPアドレスを利用してApacheレベルで制限しています。

DjangoでIPアドレスで制限したい場合もあると思います。その場合、私なら「アップグレード」か「パッチ」するのどちらかにすると思います。どのようなパッチが必要か分かりませんが、X-FORWARED-FORでREMOTE_ADDRを上書きしないようにするだけなので、恐らく1行パッチで動作を修正できると思います。

永続的リンク 2009/09/18 @ 09:03

投稿への反応: セキュリティ対策を行うべき部分 - 自分が作っている部分

hoge [訪問者]

面白いエントリーありがとうございました。
最初のDjangoの例ですが、
限定された(ホワイトリストの)IPからの接続しか許可しない場合、
以下のような方法が思いつきます。
1)ルーターで、接続を制限
2)OSで接続を制限(iptables)等
3)apacheで接続を制限
4)Djangoで接続を制限
位だと思いますが、

>>セキュリティ対策を行うべき部分 - 自分が作っている部分

と言う場合、小さい会社だと、全部自分で、管理することが多いのですが、1-4まで、全部、制限すると言う感じでしょうか？

自分がやる場合は、最も、下のベースでやるのが良いのかなって思っていて、1)ルーターで制限すると言う手を使いがちです。
ルーターの管理権限が無い場合は、2)のOSでやるってことを考えます。

1-4で、ホワイトリストのIPに制限する場合、どこで、制限しますか？

永続的リンク 2009/09/18 @ 00:08

投稿への反応: セキュリティ対策を行うべき部分 - 自分が作っている部分

Yasuo Ohgaki [メンバー] · http://www.ohgaki.net/

「でも、それじゃどこまでやれば良いんだ?」

と思う方も居ると思います。それは次のエントリ
に書くことにします。難しい問題です。

永続的リンク 2009/09/17 @ 09:12

投稿への反応: セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

Yasuo Ohgaki [メンバー] · http://www.ohgaki.net/

なるほど!ありがとうございます。
たしかこれは言いがかりでしたよね。それで注意したような気が。

あまり気にしていないのですっかり忘れていましたが、ひどいコメントがあったような気がします。匿名掲示板にあるような感違いコメントがあったのであのように書き、「削除したら」と助言もいただいたから問題のコメントは削除したような気がします。同じ方からの投稿なのかな?

自分の責任範囲のセキュリティ上の問題ではないと主張したくなる気持ちなどは十分理解できるのですが、八つ当たりされても困ります。

永続的リンク 2009/09/17 @ 05:31

投稿への反応: セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

名誉毀損の件 [訪問者]

「名誉毀損」の件はこれでしょうね。

http://slashdot.jp/comments.pl?sid=309361&cid=914004
http://blog.ohgaki.net/a_ma_sa_sa_a_ia_ca_sa_rhtmleosa_ia_a_iea#comments

永続的リンク 2009/09/16 @ 19:17

投稿への反応: セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

Yasuo Ohgaki [メンバー] · http://www.ohgaki.net/

いつ名誉毀損で訴えるなんていいました??いい加減な事を書いているのはどちらか、普通の読者なら判断できますよ。

誹謗・中傷を好む方ほどそういう事を言いだす傾向にあるように思えます。

IPAの業務に特定のプロダクトを使わないように勧めることが含まれている、とするのは面白い見解ですが理由も無しでは説得力も無し。

最近、またスパムも復活してきたしモデレートを復活させないとかな。

参考までにIPAの事業方針

ソフトウェアは私たちの生活に広く普及し、便利で豊かな社会を実現しています。より信頼性の高いソフトウェアを効率よく開発できるようにするため、IPAは社会に大きな影響のある領域に集中して、ソフトウェア開発の改善に取り組んでいます。

相互運用性を確保するためのオープンな標準や、特定ベンダーの独占でなく、みんなで共同して作り上げるオープンソースソフトウェアは、コスト面だけでなく、さまざまな利点を持っています。IPAはオープンソフトウェアの利用促進に向けて、さまざまな活動をおこなっています。

http://www.ipa.go.jp/about/ipajoho/hosin.html

IPAの中の人だとしたらミッションくらいは読みましょうね。

IBMやMicrosoftはPHPをサポートしていますけど彼らの営業妨害になるのでは?とか考えられないのでしょうかね?普通の法人と違うシマンテックやマカフィーとかと違う独立行政法人なのに意識が低すぎるとは思わないのですかね? IPAの情報には良いものも多いのですが、中には首をかしげる物も沢山あります。上記のようなコメントを書く方が中の人だからかな?先ほどの方はもしかして例の文書の著者ですか?

永続的リンク 2009/09/16 @ 08:11

投稿への反応: セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

木下亮介 [訪問者]

「職務放棄の文書だと言っても良い」
よいわけないでしょう。
都合が悪くなると「名誉毀損で訴訟をおこすぞ」
などとコメディアンのようなことを言い出す方が
このようななんの根拠もない誹謗をなさるというのはとても奇妙なことですね。
いかなる角度から見ても「職務放棄」ではない
事柄にたいして「職務放棄」だなどと言いがかりを仰るのはどうしたわけでしょうか

永続的リンク 2009/09/16 @ 07:56

投稿への反応: セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?

通りすがり [訪問者]

徳丸さんの記事は、入力後の内部で起こった不正な文字列の話であるのに、「PHPで」に注目するあまり誤読している。
PHPやDBのセキュリティについてはその通りりであるし、徳丸さんの書き方(お互いの論点のずれ)にも問題はあるが、今回のあなたの誤読はもっと問題。
IPAの記事に関しては、あのゴミに値する内容をまともに受け取る馬鹿はいないだろう。
真面目に批判せず無視でOK。

永続的リンク 2009/09/16 @ 02:54

投稿への反応: 9/12 はオープンラボ岡山の日

のりぞー [訪問者] · http://www.twine.jp

この度は、うちのスタッフが参加させて頂きます。
当日、よろしくお願い申し上げます。

永続的リンク 2009/09/11 @ 21:53

投稿への反応: Drupal勉強会とその時の資料

kenjimori [訪問者] · http://areatopic.com

おつかれさまでした。次回こそ参加します。

永続的リンク 2009/09/08 @ 10:41

投稿への反応: 書評：Web+DB Press Vol. 52

Yasuo Ohgaki [メンバー] · http://www.ohgaki.net/

再びviも使うようになったきっかけはemacsが無い環境で結構な数のファイルを編集しなければならなくなった事です。それ以来、ターミナル=viで編集という習慣でした。確かにno windowオプションを使えばターミナルで開きますよね。

昔はX版が重く感じたころまで使ってましたがすっかり忘れてました。ありがとうございます。

永続的リンク 2009/08/28 @ 22:02

投稿への反応: 書評：Web+DB Press Vol. 52

m0r1 [訪問者] · http://d.hatena.ne.jp/m0r1/

>>コンソールからemacsと叩くとGUIのemacsが立ち上がるのが面倒なだけです。
私は、「emacs -nw」でGUIで開かずに使用しています。
ついでに、「alias emacs="emacs -nw"」と設定してます。

永続的リンク 2009/08/28 @ 18:19

投稿への反応: 書評：Web+DB Press Vol. 52

smbd [訪問者]

> emacs派なのに何故vim使ってるの？と疑問に思った方へ。コンソールからemacsと叩くとGUIのemacsが立ち上がるのが面倒なだけです。
.bashrcとかで環境変数DISPLAYがセットされていなかったらalias emacs="emacs -nw"とかすればいいのでは？

永続的リンク 2009/08/28 @ 18:13

yohgaki's blog