yohgaki's blog

Computer, Development, PHP Security, Security

SSL暗号を無効化する仕組み – BREACH, CRIME, etc

2月 18, 2014 #暗号, #脆弱性投稿者 yohgaki

CRIMEやBREACHといったSSL暗号を無効化する攻撃を知っている方は多いと思います。しかし、その仕組みや攻撃方法は広くは理解されていないようです。Webシステムに関わる方であれば、BREACH攻撃の原理と対策を理解しておいて損はありません。BREACHや類似の攻撃は全く難しくありません。直ぐに理解できると思います。原理は簡単です！
もっと読む

Computer, PHP Security, Programming, Secure Coding

PHP本体でタイミング攻撃を防御できるようになります

2月 12, 2014 #PHP, #セキュアコーディング技術, #暗号投稿者 yohgaki

PHP 5.6からタイミング攻撃に対する対策が導入されます。メジャーなアプリケーションはタイミング攻撃対策が導入されていますが、PHP 5.6から簡単に対策できるようになります。

タイミングセーフな文字列比較関数はhash_equalsとして実装されました。
http://php.net/manual/es/function.hash-equals.php

Computer, Development, PHP Security, Programming, Secure Coding

PHPのOpenSSL関数を利用して暗号化する例

2月 10, 2014 #PHP, #セキュアコーディング技術, #暗号投稿者 yohgaki

色々やることがあってブログを更新できていませんでした。久々のブログはPHPのOpenSSL関数を使ってAES-256-CBCを使って暗号化する例です。今時のハードウェアとソフトウェアならハードウェアAESが利用できるので普通はAES-256-CBCで構わないでしょう。

PHP Security, Security

メール送信のセキュリティ

12月 25, 2013 #メール投稿者 yohgaki

昨日はHTTPヘッダーのセキュリティについて解説しました。SMTPはHTTPと似た構造を持つため、メールを送信する場合も似たようなヘッダーインジェクション問題が発生します。
もっと読む

PHP Security, Security

HTTPヘッダーインジェクション

12月 24, 2013 #インジェクション, #セキュアコーディング技術投稿者 yohgaki

テキストインターフェース処理の基本でもう書いてしまいましたが、今回はHTTPヘッダーインジェクションの解説です。
もっと読む

PHP Security, Programming, Security

テキストインターフェース処理の基本

12月 23, 2013 #インジェクション, #セキュアコーディング技術, #ベストプラクティス投稿者 yohgaki

Webアプリは基本的にテキストインターフェースを利用して構築します。HTML、JSON、SQL、XML、XPath/LDAPクエリ、HTTP、SMTP、これら全てテキストインターフェースです。

今日はインターフェースとテキストインターフェースの基本を紹介します。

Security

情報セキュリティ教育の実験

12月 22, 2013 投稿者 yohgaki

情報セキュリティ教育で必要な物は既に判っています。基礎的なセキュリティ対策ではSANS TOP 25のMonster Mitigationsだと思います。（この他に概念の話も必要です）

情報セキュリティに関わっている人で、入力と出力のセキュリティ対策の重要性を解ってない人は居ないはずです。問題なのは広く認知されていない状況にあります。そして効果的な方法はどのような方法であるか、を見つける事でしょう。
もっと読む

PHP Security, Security

情報セキュリティの概念・用語

12月 21, 2013 #セキュアコーディング論理, #セキュリティ標準投稿者 yohgaki

基礎、基本が大切です、とブログに書いてきました。しかし、情報セキュリティを語る上で最も基礎的と言える情報セキュリティの概念について、まだ書いていません。今日は情報セキュリティの用語の定義、概念を紹介します。

用語の定義、概念レベルで認識の違いがあると、コミュニケーションはなかなか成り立ちません。情報エンジニアは次々に現れる新技術や日々の業務に追われ、情報セキュリティの概念について学ぶ機会はなかったと思います。一般の教育機関は勿論、情報セキュリティ教育・対策を専門で行う組織であっても目の前にある個々の脆弱性対策教育に追われ概念の解説を行えない状況でしょう。

この結果、異なるITセキュリティの概念が幾つも生まれ、コミュニケーション自体が難しくなっている状況にあると思います。特に情報セキュリティ対策の定義は重要であるにも関わらず、あまり浸透していないように思えます。このエントリが少しでもこの状況を改善する一助となれば幸いです。
もっと読む

PHP Security, Security

インジェクション対策、基礎の基礎

12月 20, 2013 #SQLインジェクション, #インジェクション, #セキュアコーディング技術投稿者 yohgaki

インジェクション攻撃には様々な手法があります。メモリ管理をプログラマが行うC言語などではメモリにインジェクションするバッファローオーバーフロー／アンダーフロー、テキストベースのインターフェースではテキストインジェクション（JavaScriptインジェクション、SQLインジェクションなど）があります。

これらのインジェクション脆弱性はなぜ発生するのでしょうか？

今回は「インジェクション対策、基礎の基礎」の話です。

Computer, Development, PHP Security, Security

サニタイズは絶対的な悪か？

12月 19, 2013 #セキュアコーディング論理投稿者 yohgaki

いつも堅苦しく「こうするほうが良い」とばかり書いているので、たまには「あまり良くない」と言われているセキュリティ対策も、有用かつ必要である例を紹介します。サニタイズの話です。

サニタイズ（Sanitize）とは消毒、汚れた物を綺麗にする事を意味します。汚れた物、つまり悪い物を除去・変換して綺麗にする処理がサニタイズ処理と言われています。悪い物を定義し排除する典型的なブラックリスト型の処理です。ブラックリスト型の処理を行うと「悪い物」の指定に「漏れ」が発生しやすく、間違いの元なのでセキュリティ処理では基本的に使わないことが推奨されています。

「サニタイズはするな！」これはほとんどの状況でサニタイズしない方が安全になる可能性が高くなるので正しいと言えます。しかし、これは全ての状況で正しいでしょうか？

Development, PHP Security, Programming, Secure Coding, Security