プライベートカレンダーにもJavaScriptからアクセスできるようになった http://googledataapis.blogspot.com/2007/09/calendar-mashups-anyone.html Calendar API | Google Developers しかしこのサンプルがまったく動かん！だれか動いてる環境の人いないの？ http://gdata-javascript-client.googlecode.com/svn/trunk/samples/calendar/meeting_notes/meeting_notes.html この前のWeb AIMに続いて、自分の中では結構大ニュースなのに。これがちゃんとできてるのならば、Webってマジで変わるよ、などといってみる。もちろん、Googleのサービスだからということじゃなくって、そのアーキテクチャ自体
AOLのOpenAuthという認証APIがあります。YahooのBBAuthだったり、Google Account Authentication、日本で言うならはてな認証、livedoor Authなどに代表される、最近流行のサービスプロバイダによる認証APIの一種なんだと思います。ただ、少なくともAOL IDを使うことはほぼないから、アナウンスは聞いてもとりあえずスルーしてたのだけど、たまたま仕様を読んでいたらかなりびっくりした。なんと通信経路にJSONPを使って認証トークンをやり取りできてしまう。JSONPはパブリック情報の配信以外に使うな、ってのが常識になりつつあった人たちから見たら、これはたぶん衝撃。 でも、これがセキュリティ的にヤバいかっていうと、決してそうではなくって、OpenAuthではいわゆる「リファラによるサイト制限」を実装しているところがポイント。つまり、JSONPリク
SEの進地です。 2007年1月に投稿した「Web 2.0的アプリのセキュリティ：機密情報にJSONPでアクセスするな」は多くの方にお読みいただきました。誤りも指摘され、元エントリーに改修を加えましたが、かなり読みづらい状態になってしまっています。また、JSON、JSONPのセキュリティに関する新たな話題もSea Surfers MLで議論されているのを読み、自分自身の認識や理解も変化しているので、このエントリーでもう一度JSON、JSONP（+JavaScript）に機密情報を含めることの是非と方策を整理、検討したいと思います。 ○JSON、JSONP、JavaScriptによるデータ提供時にセキュリティ対策上留意すべき特徴 JSON、JSONP、JavaScriptによるデータ提供時に留意すべき特徴としてあるのが、「クロスドメインアクセス可能」というものです。JSONPだけでなく、JS
AOL OpenAuthがすごいとか、JSONPによる認証だとか騒いでたけど、もう去年の１１月にAOL Web AIM APIが公開されていたということについて、なんで気づいてなかったのか。一年近くもこれを正当に評価してこなかったことは、恥ずべきことだ。 Web AIM APIは、以下の理由で画期的、あるいはちょっとネガティブな側から見れば問題児なAPIである。そして、これからWebサービスAPIを設計／開発する人、およびWebのセキュリティを考える人にとっては、少なくとも現在こういったWebサービスの実装が存在していることについては、ちゃんと注視しておかなければならない。 1. サーバレスでメッセンジャーアプリを構築できる これがとりあず一番目に重要なポイント。これはAPIリクエストとしてJSONP形式のバインディング(運搬方法)を採用していることによる。サーバレスでアプリが作れることの
これ、ほんとうにだめなのかな？ http://kokogiko.net/m/archives/002062.html 2007年09月07日 kazuhooku kazuhooku security 実装みてみないとわかんないけど、危ない橋のにおい。別のガジェットからiframeされたらどうなるのとか、Consumerの身元をどうやってユーザーに提示するの、とか はてなブックマーク - ここギコ！: MappletやiGoogleのガジェット等でOpenIDやはてな認証等を使う方法を思いついた もしConsumerの身元保証が難しいというのがネックなら、自前サーバとmapplet間はServer to Server でやるのではなく、JSONPをつかってフロントで情報を渡すというのは、どうか。 受け渡しをフロントでやることで、正当なConsumerかどうかをHTTPリファラレベルでチェック
Flashを用いたクロスドメインアクセス 前回までは、クロスドメインアクセスを行うための方法として、リバースProxyを使う方法とJSONPを使う方法を紹介しましたが、どちらの方法も少し変わった方法だったと思います。なにか無理やりのように感じた方もいるのではないでしょうか。今回紹介するFlashを使った方法では前回までの方法とは違い、自然な形でクロスドメインアクセスを行うことができます。 Flashでは、呼び出される側で設定を行うことでクロスドメインアクセスが可能になります。 設定といっても非常に簡単で、呼び出される側のWebサーバにcrossdomain.xmlというファイルを設置するだけです。このときのURLは http://www.example.com/crossdomain.xml となります。 ファイルの内容は以下のようになります。 crossdomain.xmlの内容 <cr
GMailのコンタクトリスト漏洩のエントリのついでに。 JSONデータをscriptタグにのせて配信するサービス（JSONPなど）で、限られたサイトのみにしかそのデータを配信しないようにするためには、クライアントが送出してくるリファラ情報を使ってサービスコンシューマとなっているサイトを特定してアクセス制御する方法がある。 この方法はおそらく大部分のクライアント（ブラウザ）に対しては有効で、例えば実際にGoogle MapsなどもそれとAppKeyを組み合わせてサイトを判別しているっぽいのだけど、意図的にリファラ送出を切っているブラウザであったり、あるいはプロキシプログラムなどが自動的にリファラヘッダを除去してしまうようなクライアント環境に対しては無効になってしまう。 ということで、そんなクライアントでもなんとかならないだろうかと考えていたときにちょっと思いついた、もしかしたらこの方法なら許
GMailのコンタクトリストが外部から呼び出し可能になってしまってた件について。 Google内プライベートなはずのデータが、関係のない外部のサイトからもスクリプト経由で読み込まれてしまうというもの。 http://ajaxian.com/archives/gmail-csrf-security-flaw でもこれってCSRFっていうのかな？なんか問題がちょっと違ってるような気もするけど。CSRFは情報が抜き取れるかどうかってとこは別に関係ないはずだし。外部サイトにプライベートデータを盗まれるという脅威としてはCSSXSSに近いような。（追記：どうもCSRFの定義ってのはもうちょっと広いみたい） この騒ぎに呼応して、クロスサイトのセキュリティモデルについてまとめてあった。 http://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/cross
Lingrのブログパーツ(Lingr Blog Widget)です。 はてなダイアリーに対応しました！！(2007/10/8) サンプル （＝この部屋です。） 自分をブログにチャットを設置しよう あなたのブログにチャットを設置できます。 （お使いのBlogサービスがJavaScriptのブログパーツに対応している必要があります。） 動作確認済みブログ： はてなダイアリー[New!] ロリポブログ 動作確認済み環境： OSX(10.4):Firefox2,Safari WindowsXP:IE6 動作報告、動作しませんでした報告をお待ちしております。コメント欄へお願いします。 1. Lingrのアカウントを作成します。 1-1. http://www.lingr.com/account/signupを開きます。 1-2. メールアドレスとパスワードを入力。送信。 1.3. Li
<script src="http://ssktkr.com/lingrjs/blogparts/js/fJa4dXjDKtV"></script> by <a href="http://d.hatena.ne.jp/urekat">d:urekat</a> and <a href="http://www.lingr.com/">Lingr</a> こいつを張っちゃってください！！ LingrAPIのバグ(http://lingr.g.hatena.ne.jp/urekat/20070202)がなおったらいろいろカスタマイズとか できるようにするかもしれません。 でも、はてなじゃJavaScript効かないんだよなああ。 次は、はてなチャットorはてなLingrをはてな認証で作ろうかな。 追記：macのfirefoxしか試してない。Lingrのバグはなおったらしい。設置例：http://s
2007年6月7日 はてなブックマークのコメントをうけて、「常にJSONP、JSON、JavaScriptに機密事項を含めないように」という主張を改め、「クロスドメインアクセスの対策をとっていない状態ではJSONP、JSON、JavaScriptに機密事項を含めないように」という主張に関して記述しました。 こんにちは、SEの進地です。 今回から週単位でWebアプリケーションのセキュリティに関するエントリーを書いていこうと思います。 僕自身、日々勉強して精進というところですので、もし何らかの誤りがあれば是非ご指摘ください。 つっこみ大歓迎です。 今回取り上げるのはWeb 2.0なアプリケーションでセキュリティ面で気をつけるべきことの一つ、機密情報にJSONPでアクセスするなです。 JSON(JavaScript Object Notation)はJavaScript(ECMAScript)の
Google AJAX Search APIは、動的にGoogle検索結果を自分のページに挿入することができるAPI(あまり使っているサイトを見ないけど)。Ajaxっつっても内部はJSONP(みたいなもの)だったりするので、普通にGwebSearchクラスのsetSiteRestriction()メソッドを使うのではなく、JSONPを直接叩いてサイト内検索を実装することもできる。もちろんサイト内検索に限った話ではないけど。 Google AJAX Search APIのGwebSearchクラスによる検索は、 http://www.google.com/uds/GwebSearch?callback={コールバック関数名}&context=0&lstkp=0&hl=ja&q={検索文字列}&key={Google AJAX Search API key}&v=0.1 というURLへリクエス
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
