Computer – ページ 18 – yohgaki's blog

Computer, Development, PHP Security, Programming, Security

PHP7 is going to be strictly typed language. Will this work?

5月 12, 2015 #In English, #PHP 投稿者 yohgaki

In previous blog, I wrote how PHP7’s basic type hinting works and missing piece to make it work. I would like to explain reason why current type hinting design will not work well for PHP.

Computer, Development, PHP Security, Programming

Don’t use PHP7 type hint for external data

5月 11, 2015 #In English, #PHP 投稿者 yohgaki

PHP7, expected 2015 Q4, comes with scalar type hints that supports “int”, “float”, “array”. While it is good thing to have type hints for basic data types, but it changes the way data was handled in older PHP versions.

Computer, Development, Programming

Building Dynamic websites. Harvard OpencourseWare. CS E-75

5月 11, 2015 #PHP 投稿者 yohgaki

すこし古い（2012年）ハーバード大学での「動的Webサイト構築」の動画です。英語の勉強を兼て基礎からWeb開発を学ぶには良い動画です。長いので流石に全部は見ていません。しかし、ほとんどの内容は現在でも通用する物になっていると思います。

Computer, Database, Development, PHP Security, Programming, Secure Coding, Security

不整合が起きてはならない場合、トランザクションはシリアライザブル

5月 8, 2015 #MySQL, #PostgreSQL, #SQLite, #セキュアコーディング技術投稿者 yohgaki

リレーショナルデータベースが優れている点はトランザクションをサポートしている点です。トランザクションは手続きが一貫性ある形で実行されることを保証してくれます。しかし、トランザクションを使えばOK、という物ではありません。

もしトランザクションさえ使っていればOKと思っていた方はトランザクション分離レベルを理解してください。

Computer, Programming, Review

いちばんやさしいPHPの教本

5月 4, 2015 #PHP 投稿者 yohgaki

「一番やさしいPHPの教本」を献本いただきました。表紙に書いてある通り、パソコンさえつかえれば知識ゼロではじめても挫折せずに動くプログラムが作れます。最初の一歩を踏み出すための本なのでこれだけで十分とは言えませんが、初めてWebアプリを作ってみたい、という方にはぴったりの本だと思います。

Computer, Development

Zephirで作られたIce Framework

5月 4, 2015 #Framework, #PHP, #Zephir 投稿者 yohgaki

Ice FrameworkはC拡張モジュールとして作られたPHP用フレームワークです。PHPのC拡張モジュールを簡単に作れるZephirで作られたIce Frameworkが公開されています。GitHubで見てみると半年ほど前からあるようです。

Computer, Windows

VMWareのWindowsがBSoD（ブルースクリーン）でクラッシュする場合の対処

5月 2, 2015 投稿者 yohgaki

VMWare 11上のWindows 7 VMがBSoD(Blue Screen of Death)で時々クラッシュするので困っていたのですが、少し大きなファイルをネットワークを使ってコピーなどするとクラッシュするようになり使い物になりませんでした。対処方法が分ったので書いておきます。

Computer, Development, PHP Security, Programming, Secure Coding

PHPスクリプトファイルアップロード攻撃を防止する方法

4月 26, 2015 #PHP, #セキュアコーディング技術投稿者 yohgaki

PHPはスクリプトアップロードに弱いシステムですが、PHPアプリにはファイルアップロードをサポートしているアプリが数多くあります。WordPressなど自動更新を行うアプリも増えてきました。

PHPアプリの場合、MVCフレームワークなどを使っていてもエントリポイントにはPHPファイルが必要です。ファイルアップロードをより安全に使うための設定も可能ですが、WordPressのようなファイル配置で自動更新を行っているアプリの場合、攻撃を完全に防ぐ事ができません。

しかし、簡単な方法でドキュメントルート以下のPHPファイルの実行をホワイトリストで防御することができます。

Computer, Development, PHP Security, Security

開発者でなくても解るセキュリティ対策 – 入力バリデーション編

4月 25, 2015 #セキュアコーディング技術, #入力バリデーション投稿者 yohgaki

ITシステムに限らずセキュリティ対策で最初に行うべき対策は境界防御（契約による設計と信頼境界線、標準と基本概念、開発者は必修SANS TOP 25）です。ソフトウェアにおける境界防御の第一番は入力の確認（入力の確実な制御）です。このブログでは何度も取り上げていますが、最も重要なセキュリティ対策である境界防御の概念と入力の確認が正しく認識されていない場合がよくあります。

開発者であるから「これで解るはず」と思い書いたエントリは幾つか（「合成の誤謬」の罠、エンジニアに見られるセキュリティ対策理解の壁など）ありますが、どうも成功しているとは言えないようです。今回は開発者でなくても理解できるよう努力してみます。

ホワイトリストの基本中の基本は”デフォルトで全て拒否する”であることに注意してください。全て拒否した上で、許可するモノ、を指定しないとホワイトリストになりません。

Computer, Development, Security

今すぐできる、WordPressサイトへの2要素認証導入

4月 21, 2015 #2要素認証, #WordPress 投稿者 yohgaki

このブログもWordPressです。パスワードの辞書攻撃、ブルートフォース攻撃を思われるアクセスが大量にあります。WordPressへの2要素認証導入はプラグインのインストールだけでできます。

開発者向けの2要素認証導入もブログに書いています。開発者の方は早めに自分のサイト／サービスに2要素認証を導入することをお勧めします。

Computer, Development, PHP Security, Security

OTP（ワンタイムパスワード、2要素認証）とタイミング攻撃

4月 19, 2015 #2要素認証, #タイミング攻撃, #脆弱性, #認証投稿者 yohgaki

今すぐできる、Webサイトへの2要素認証導入と2要素認証のTOTPとHOTP、どちらがより安全か？で紹介したGoogleAuthenticatorですが、ソースコードを確認ところタイミング攻撃に脆弱でした。Pull Requestを後で送る予定ですが、利用される場合は脆弱性を修正してから使ってください。

Computer, Development, PHP Security, Security