■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは
OpenSocial周りの調査をしていると、Cajaという言葉に遭遇します。セキュアなJavaScriptを実現するもの、ということだけ分かっていたのですが、詳細を調べてみました。 クロスサイトスクリプティングとブログパーツ gooやlivedoor、fc2などのホスティングを含めたブログサービスを使ったことのある方はご存知と思いますが、サービスによってブログパーツが貼れるもの、貼れないもの、一部だけ許可しているものがあります。なぜでしょうか？ Cookieには同一ドメインから実行されたスクリプトしか参照できないという特徴があります。これを利用して、Cookieをセッション情報や閲覧履歴の保存場所として活用しているサービスは少なくありません。上記ブログサービスがブログパーツを許可しないのは、これらの情報を悪意のあるJavaScriptから守るためです。逆に言うと、同一ドメイン上でJavaS
Webは修理が必要だ — Javascriptのセキュリティ問題 前回に続き、Ajax World East2008におけるDouglas Crockford氏の「Webを修理できるか」のスライドの続きをご紹介します。 ※前回はこちらです。 2008年04月03日 Webは修理が必要だ — Turducken問題 １８．Webを修理するための三又戦略 — Javascriptの安全な部分集合（本要約19～22項）、ブラウザの小さな改善（本要約23項）、ブラウザの強力な改善(本要約24～25項)（スライド３３） １９．Javascriptを小さくして、セキュアでない部分を削除する（スライド３４～３７） JSLint http://JSLint.com/は、HTMLとJavascriptの安全な部分集合を定義している。 ADSafeでは、グローバル変数・関数は定義されない。 ADSAFE オ
JavaScriptハイジャッキングは，AjaxスタイルのWebアプリケーションを狙う新手の盗聴攻撃である。Ajaxコードに的を絞った初めての攻撃と断言してもいいだろう。この攻撃が可能なのは，WebブラウザがHTMLほどにはJavaScriptを保護しないからだ。WebアプリケーションがJavaScriptによるメッセージで機密データを送信すると，場合によってはこのメッセージが攻撃者に読み取られてしまう。 人気の高いAjaxプログラミング・フレームワークの多くは，JavaScriptハイジャッキングを防ぐ手立てを持たない。実際のところ，うまく機能させることを優先して，ぜい弱性を抱えたWebアプリケーションを構築するようにプログラマに“要求”しているものもあるのだ。 似たような多くのぜい弱性と同じく，この手の攻撃は容易に防げる。大抵は，わずか数行のコードを加えるだけで済む。また，ソフトウエア
IPAとJPCERT/CCによると、先日リリースされた「Firefox 1.0.7」「Mozilla Suite 1.7.12」で修正された脆弱性の1つが、他の複数のWebブラウザにも存在するという。 情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンター（JPCERT/CC）は9月30日、先日リリースされた「Firefox 1.0.7」「Mozilla Suite 1.7.12」で修正された脆弱性の1つが、他の複数のWebブラウザにも存在するとし、警告を発した。 JVNの情報によると、問題となっているのはJavaScriptのXMLHttpRequestオブジェクトの処理に関する脆弱性だ。 XMLHttpRequestオブジェクトは、Webページの再読み込みを行うことなくサーバと通信するための機能を提供するものだ。本来ならば、JavaScriptの制限によ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
