まずはとは？/ ディック
[ 1514] 第1回 まずは「クッキー」を理解すべし：ITpro
[引用サイト] http://itpro.nikkeibp.co.jp/article/COLUMN/20080221/294407/
|
Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気付けない。 最近，セッション管理に関連するぜい弱性が顕在化するようになってきた。例えば2007年秋にはGmailや無線LAN製品に付属する管理アプリケーションなどに相次いでCSRFのぜい弱性が報告された。2008年1月にはヤマハのブロードバンド・ルーターにも同様のぜい弱性が発覚した。潜在的にこれらのぜい弱性を抱えているアプリケーションは少なくない。今後も同様の報告が増加することが予想される。 開発者が対策を講じるには，セッション管理の原理を理解したうえでアプリケーションを見直す必要がある。本稿では，セッション管理を悪用する攻撃と対策，および更なる問題の例としてセッション変数使用時の注意点を，クッキーの仕組みを基に解説する。 携帯電話向けアプリケーションを除き，Webアプリケーションにおけるセッション管理ではクッキーを使うことが多い。そこでまず，クッキーの仕組みを解説しよう。 Webアプリケーションは本来，アプリケーションの「状態」を持たない。プロトコルとしてHTTPを使うためだ。あるユーザーから送られてきた前回のリクエストと，今回のリクエストを関連付けることはできない。ただ，これではユーザー認証を必要とするようなアプリケーションを実現できない。そこでWebアプリケーションの黎明期には，ユーザーはURLに識別情報を含める方法でセッション管理を実現していた。 ところがこの方法は，実装が複雑な上，セキュリティ上の問題が発生しやすいなどの欠点を抱えていた。そこで考案されたのがクッキーである。起源は米ネットスケープ・コミュニケーションズが提案した仕様である。その後，RFC 2109，RFC 2965と規格化が進められたものの，現状では主要なブラウザはネットスケープ仕様を採用している。以下ではNetscape仕様に基づいて解説を進める。 攻撃者は自分が送信するリクエストに盗んだクッキーを含めることで，本来のクッキーの持ち主になりすますことができる（図2）。サーバーはクッキーの内容を見てクライアントを判別するだけで，送信されてきたクッキーが盗まれたものであるか否かは判断できないからだ。 クッキーの盗難に関する問題は軽視されがちである。クライアント・パソコンに記録されたクッキーを盗み出すのは容易ではないというのがその理由だ。それでも，なりすましが成功すれば個人情報漏えいなど重大な被害が発生してしまうことは，直感的に理解できるだろう。 では，どのようにクッキーを保護したらいいか。対策は，クッキーの仕様で定義されている属性のパラメータを注意深く設定することである。クッキーの属性としては，secure属性，expires属性などが挙げられる。これらは正しく設定されていないことが多い。 secure属性が指定されていないと，暗号化されていない通信経路上にクッキーが送信されてしまい，盗聴される危険がある。最近の開発環境では，アプリケーション・サーバーや，フレームワークがsecure属性の設定を自動的に設定することが多いため気付きにくいかもしれない。マニュアルを確認し，正しく設定する必要がある。 expires属性は，被害が発生してしまう可能性と関連する。この指定がある場合，指定された日時までクッキーが送信される。つまり，クッキーは指定された日時までファイル上に保存され，ブラウザ再起動後もその値が読み込まれ使用される。指定がない場合，有効期限はブラウザが終了するまでとなる。 この属性が指定されていなければ，ブラウザを起動していないユーザーが被害に遭うことはない。しかし，この属性が指定されていると，ブラウザ起動時にクッキーが自動的に読み込まれ送信されるため，ブラウザを起動していないユーザーも被害に遭う対象となる。この属性は，オートログイン機能を実現するために設定されることが多いが，このようなリスクが発生することは認識しておかなければならない。 「次の要求があった場合，ブラウザは保持しているクッキーを検索し，送信先のURLにひも付けられたすべてのクッキーをHTTPヘッダーに含めてリクエストを送信する」ことは前述した。 ブラウザがクッキーを送信するサーバーのドメイン名。ブラウザがアクセスするURL内のドメイン名がこれに後方一致（一部制限がある）する場合のみクッキーを送信する。後方一致しない場合はブラウザにセットしない。省略した場合は，アクセスしたURLに含まれるホスト名が使用される。 ブラウザがクッキーを送信するサーバーのパス。ブラウザがアクセスするURL内のパスがこれに前方一致する場合のみクッキーを送信する。前方一致しない場合はブラウザにセットしない。省略した場合は，アクセスしたURLに含まれるパスが使用される。 クッキーが送信される条件は，普段はあまり気にとめられない。ただ，Webアプリケーションのセキュリティ上の問題の多くは，クッキーの仕組みゆえに発生する。ぜい弱性を理解するために必要な知識である。次回からは，クッキーの仕組みを使ったセッション管理に潜むぜい弱性と，それを悪用した攻撃手法について解説する。 安西 真人ユービーセキュア 技術本部 テクニカルサービス部 セキュアナレッジコンサルタント 兼 Webアプリケーション検査ツールVEX開発エンジニア 野村総合研究所（千手インフォメーションセンター） コストメリットに優れた運用管理ツールの導入が監視サービスの展開を支える 松下電器産業 パナソニック システムソリューションズ社 i-Proシリーズが牽引する映像監視セキュリティの進化 NTTコミュニケーションズ 迷惑メール対策はアウトソーシングサービスが有効 〜決め手は振り分け精度の高さ 製品＆サービス・ディレクトリ業務アプリケーション設計開発OS/DB/ミドルウエアサーバー/ストレージ ｜著作権・リンクについて｜個人情報保護方針/ネットにおける情報収集/個人情報の共同利用について｜サイトマップ｜ |
[ 1515] Google マップが携帯電話向けアプリで登場、まずはドコモに対応:ニュース - CNET Japan
[引用サイト] http://japan.cnet.com/news/media/story/0,2000056023,20354824,00.htm
|
Javaアプリケーションを使うことで、表示地区を移動する場合に毎回ページをロードすることなく、PCからGoogleマップを使用するのと同じような感覚で地図上をスクロールできるようになった。 またアプリ版のGoogle マップは、できるだけ少ないクリック回数で操作できるようにボタンの割り当てや表示方法が工夫されている。 具体的には、重要でない情報は意図的に表示せず、さらに色使いを調整したことで情報の視認性も向上しているという。もちろん、よく見る場所はお気に入りとして登録できる。 トラックバック一覧からリンクされているウェブページはこの記事にリンクしている第三者が作成したものです。内容や安全性について当社では一切保証できませんのでご注意下さい。 ※サービス名をクリックするとこのページをブックマークできます。また、人数をクリックするとブックマークしている人やコメントを一覧できます。なお、サービスによってはログインが必要な場合があります。 モバイルの世界で近年盛り上がりを見せているのが、広告を主体とした一般サイトだ。エンターモーションはそうした一般サイトのビジネスを支えるソリューションを提供するとともに、起業家の育成にも力を入れている。 ソフトウェアの終焉を予測し、SaaS型サービスをいち早く成功させたセールスフォースのCEOに、マイクロソフト対する見解やサービスとしてのプラットフォームの今後について聞いた。 「ひろゆき」こと西村博之氏へのインタビュー後編。ニコニコ動画の誕生秘話や今後の展開について聞くうちに、話は日本が目指すべき方向へと広がった。 昨年からポーカー熱が高まっている。専門誌が次々に創刊、サロンもできている。ブームの背景には簡単にアクセスできるオンラインポーカーサイトの影響が関係あるようだ。 PCサイトでできることも、モバイルサイトではできない場合がある。また、その使われ方も大きく異なる。モバイルサイトならではの特徴を、技術面、利用面から押さえておこう。 パイオニアは主力商品であるプラズマディスプレイパネルの生産から撤退することを発表した。市場関係者の評価は前向きで、中期的には株価も上昇軌道に乗ることが期待できそうだ。 消費者の趣味嗜好は多角化しており、時代はプロダクトアウトからマーケットインの時代へと変化していると言われています。そんな中で「的確な分析」はさらに重要度を増しています。今回は分析手法の1つとしてアンケートリサーチについて述べていきたいと思います。 インスタントメッセンジャーの認知や利用状況などを調査したところ、認知度、利用意向ともに7割を超えるという結果が出た。しかし一方では、携帯電話メールのほうが便利であるという回答も7割を超えるという結果となった。 シニア層のコミュニティーサイト利用について調査したところ、ブログやQ&Aコミュニティなどシンプルな機能のサービスに人気が集まった。しかし、コミュニティーサイトの利用は全体の約3割に留まっており、若年層の半分以下という状況であることが分かった。 スイスで開催された世界経済フォーラムで、B・ゲイツ氏は「創造的資本主義」を訴えるスピーチを行った。裕福な国々の企業は発展途上国を支援すべきだというものだが、それは世界にとって本当にプラスになるのだろうか？ 米マイクロソフトが、再び米ヤフーに買収を持ちかけている。ヤフーの主事業領域は、マイクロソフトのOSやアプリケーションなどといった主事業領域ではないにもかかわらず、巨額の買収額を提示している。それはなぜなのか。 シャープが今春にも中国市場に携帯電話を投入すると、日本のメディアが報じた。上海や北京、深センなど高所得地域においては、中国でも利用できるように改造したソフトバンクモバイルの携帯電話が販売されていて、特にシャープ製の電話が人気なのである。 インテリジェント ウェイブ、証券市場向け製品強化に向け29West社通信ミドルウェア製品の代理店契約に合意 「画質」でも「記録メディア」でも、さらには「保存方法」でも選べる今シーズンのビデオカメラ。その機能と 機能も画質もデザインも、今年のビデオカメラは例年にないくらいの充実ラインアップを誇っている。SD画質か |
[ 1516] まずはプシュッ！ビール片手に作る料理♪
[引用サイト] http://carlsbar.blog58.fc2.com/
|
“1ヵ月にビール5ケース、酎ハイ2ケース、ワイン12本＋α” 料理するのは、おいしくお酒を飲むため♪その日のメニューは奥さんの飲みたい物で決まります！そんな我が家の楽しい食卓＆レシピをご紹介します。 主婦＆派遣社員生まれも育ちも神戸結婚後は隣の市に在住趣味は、テニスとお酒同じ嗜好を持つ夫と二人暮らし毎晩酒盛り週末はテニス三昧楽しい毎日です(^^)v 3月20日の晩ご飯あじの刺身たくさんあったので、一部を塩昆布と米酢で和えておいて（3時間位漬け込み）わかめ酢に。残ったきゅうりにはごま味噌をつけてえのきベーコンらっきょうこれは失敗作！Risaピョンちゃんが作っていた居酒屋風〜山芋の鉄板焼き〜のようなものが出来上がる予定だったんだけど、いい加減な分量で作ったもんだから、いくら焼いても固まらない→裏返せない(>_なんとか形にしてねぎをかけてごまかしたけど、あんまりおいしくなかったな〜。。。気を取り直して食後にワイン♪前日のImoImoを使ったデザートのアレンジ版。レーズンを1昼夜漬けて柔らかくし、漬け汁ごと火にかけて煮詰めました。煮詰めすぎて失敗(>_気を取り直して再チャレンジ！熱々のソースでチーズが柔らかくなっていい感じ♪ワインに合うわ(#^.^#)もうちょい水分飛ばしてもいいかもね？もう一つおつまみ 逸品会のポップル（塩かりん）これは、いただきもの。ねじれたパスタを油で揚げて、塩で味付けをしたスナック菓子。これ、やばいわ！歯ごたえがよくて、程よい塩加減で食べ出すと止まらない(^_^;)ワインに合うように、黒胡椒をガリガリ振ってみたら、これまた美味♪いつになったらダイエットを始めるんだろ、私？(>_ 3月20日の旦那さんのお弁当鶏むね肉のピリ辛韓国風（辛味噌・醤油・らっきょうの漬け汁で味付け）茹でブロッコリー（チンして塩を振る）オムレツふきのきんぴら見た目前日とほぼ同じね(^_^;)唯一違うのはお肉の味付けだけ。でもおいしいと思うよ（笑）昨日は、旦那さんは仕事、私は、父のお墓参りに行って来ました（*^_^*） 3月19日の晩ご飯旦那さんが大好きな2品 母作のらっきょう＆いかなごのくぎ煮♪前日に作っておいた、ふきの煮浸し（干し桜海老入り）＆豚バラと大根の生姜煮ふきはさっと煮てたっぷりの出汁に漬けておいた。薄味だけど、しっかりと味が染みておいしかったわ♪お行儀悪いけど、お出汁も飲み干しちゃった(^_^;)豚バラと大根の生姜煮は、この冬よく作った煮物。圧力鍋を使った簡単な煮物なんだけど、豚の旨味を吸った大根がおいしいのよね〜♪作り方は、圧力鍋で大根の下茹で5分。豚バラ、生姜の千切り、ひたひたの出汁、砂糖、醤油（我が家はめんつゆ+水に醤油+砂糖を入れて調整することが多いけど）を入れてさらに5分。翌日の晩まで放置しておくだけ。グリルチキンのっけサラダグリルチキンは、鶏むね肉を醤油+米酢に1昼夜以上（今回は3昼夜）漬け込んだものをグリルで焼いて裂いたもの。（グリルで焼いて焦げ目を付けた後、チンでもOK。）いつも行くホルモン屋さんで教えていただいたレシピで、ほんのり酢醤油の味が付いたむね肉がしっとりとしておいしいの〜♪ドレッシングは適当に作ったごまみそドレ。適当に作り過ぎて何を入れたかもよくわからない。まあ、普通においしかったけど(^_^;)ワイン♪■【送料無料】ENOTECA パーティパック・ルージュ（750ml×12本セット）おつまみはB-Promotionのモニターでいただいたサントリー「ImoImo」を使ったもの♪興味のある方は続きからどうぞ（*^_^*）続きを読む 3月19日のお弁当ピリ辛和風酢鶏茹でブロッコリー（チンして塩を振る）オムレツふきのきんぴら『ピリ辛和風酢鶏』 �〃椶爐容�に、塩・胡椒・酒で下味を付ける。（←前日に準備） �↓，砲靴栃匏�粉をまぶしてこんがり焼き、お皿に取り出す。 ��フライパンをペーパーできれいにしてから、めんつゆ＆らっきょうの漬け汁＆ヤンニンを入れて煮立て、お肉を戻して味を絡める。いつもは豆板醤を入れるけど、今日はヤンニンを使用。Leeさんに教えてもらったんだけど、ヤンニンは豆板醤のように使うことも出来るらしい。常備しておくと便利だね〜♪『ふきのきんぴら』 �，佞�は鍋に入る長さに切って、塩を入れたお湯で1分茹で、水に漬けておく。��太いものは縦半分に切り、5cm位の長さに切る。��フライパンにごま油を熱し、�△鬚気辰庇屬瓠∈重�、醤油、鶏がらスープの素で味付けをする。水分をとばすように炒め煮にする。最後に一味を絡めて出来上がり。お弁当なので味は濃い目。ふきのしゃきしゃき感が残るように手早く仕上げました。ご飯は、ふきの葉＆干し桜海老入りなので、いい香り♪下処理したふきの葉（2分茹でて水に漬けておく）を細かく切り、と干し桜海老と一緒にごま油で炒めたもの（味付けは濃い目の塩味）を炊きたてご飯（シェフズ米入り）に混ぜました♪昨日の晩ご飯は、キムチ鍋のため写真は無し。撮ったのはこれだけ。毎度おなじみの写真です(^_^;)このセットの中の1本です♪■【送料無料】ENOTECA パーティパック・ルージュ（750ml×12本セット） 3月18日のお弁当豚肉のWチリソース茹でブロッコリー（チンして塩を振る）オムレツ天ぷら昨日は、酔っ払っていたので、ベッドへ直行。なのでお弁当の下ごしらえ出来ず(>_今朝はバタバタしたけど、なんとか間に合ったわ！最近、旦那さんが朝の洗い物を手伝ってくれるの♪これが無ければ間に合わなかったかも？新婚の頃から、朝ご飯（シリアル＆コーヒー）の用意はしてくれていた。途中から、お弁当箱にラップをして（チンして食べるので）蓋をし、袋に入れる作業もしてくれるようになった。そして、数ヶ月前からは、洗い物のお手伝いも。朝の旦那さんのお仕事がどんどん増えていってるわね(^_^;)強制している訳じゃないけど、やってもらえるとすごく助かる♪いい旦那ちゃんだ〜（*^_^*）そう言えば、今朝は昨日干しっぱなしにしていた洗濯物も片付けてくれてたわ♪『豚肉のWチリソース』 �‘擇寮擇衢遒箸靴�3重にして厚みを出す。塩・胡椒・酒で下味を付ける。�↓，吠匏�粉をまぶしてこんがり焼き、お皿に取り出す。 ��フライパンをペーパーできれいにしてから、チリソース：スイートチリソース：米酢＝1：1：1を入れて煮立て、�△鯡瓩靴凸�を絡める。 3月17日の晩ご飯昨日は、旦那さんと一緒にいつもの豚串ホルモン屋さんへ♪まずは、黒生♪マスターの義姉さんが漬けられたおいしいらっきょうキムチ納豆これは、仕事の後、トレーニングをして来た旦那さん用。プロテイン代わりなんだそう(^_^;)ビールの後は、旦那さんキープのおはら（芋焼酎）のお湯割り♪昨日もよく飲んだわ〜(#^.^#)がつ刺し（豚の胃袋をボイルしたもの） 生姜醤油で付けながら食べるのが正しいと思うけど、旦那さんと一緒の時は最初にどばっとかけちゃう(^_^;)その上から唐辛子をかけていただきます♪この唐辛子、タイのお土産でとっても辛い！旦那さん、かけすぎ！(>_豚ホルモンの串 6本マスタースプーン下さい♪このタレをアテに焼酎を飲む女は私です（笑）サービスのフローズンバナナ昨日もおいしくて楽しかった〜(#^.^#) |
ディックの審査サイト、 ディックの審査比較サイトのお得な情報、 ディックの主婦情報、 ディックの低金利情報など、 ディックに関することの申込み情報サイト。
