公開: 2010年6月1日1時30分頃 WASForum Conference 2010、OAuthの話の次は、日本IBMの吉濱佐知子さんによる「"Web2.0" におけるセキュリティ ～ セキュアなWeb2.0環境の構築とは」というお話。吉濱さんはWASForum初の女性スピーカーなのだそうです。 ※全体的に話の流れが非常に速く、ほとんどメモが取れませんでした。以下、メモは断片的です。 Web2.0におけるセキュリティWebアプリケーションの脆弱性は依然として多いWeb2.0(ツーオー)の特徴……Ajaxによる非同期アクセス、MashUpSame-Origin Policyを破るコンテンツ …… サイト運営者が用意したものではないUGC (user-generated content、ユーザが投稿したさまざまなコンテンツ) や JSONP による外部ドメインコンテンツの取り込み 脅威の発
公開: 2010年6月1日0時30分頃 WASForum Conference 2010、高木さんのセッションが延びてしまって開始予定時間を大きく過ぎたところで、トライコーダ上野宣さんによる「OAuthとWEBサイト運営のエコシステムに潜む罠」。
公開: 2010年5月31日0時45分頃 WASForum Conference 2010、ソフトバンクの脆弱性の話に続き、産総研の高木浩光さんによる「どうするケータイ認証」。 ケータイWebの世界従来、WASForumではあまり扱ってこなかった分野。その理由は…… 独自方式、仕様が明確でないNDAの壁 (特に公式サイト)契約で縛った独自世界なら、キャリアが責任を持つべき。部外者は何かを言うべき立場にないしかし、昨今では…… ケータイ独自方式が一般サイトにまで侵出2008.3 iモードIDがスタートスマートフォン対応の活発化 ログイン認証の欠陥ID (契約者固有ID) による認証を JavaScript + DNS Rebinding で突破される問題海外ではあまり問題にならないDNS Rebindingという手法は古くから知られていたのだが、そんな認証は日本でしか使われていないため、海外
公開: 2010年5月30日16時40分頃 WASForum Conference 2010。OpenIDのお話の後は、昼休みを挟んで午後のセッションです。午後の一発目は、HASHコンサルティングの徳丸浩さんによる「ケータイ2.0が開けてしまったパンドラの箱」。実はこのセッション、事前に「未公表のネタ2件を発表する (twitter.com)」と宣言されていました。未公表の脆弱性が複数公開されるのではないか……と、期待と不安が高まります。 各サービスのかんたんログイン機能はてな …… 「かんたんログイン」ありライブドア …… 「クイックログイン」ありmixi …… 「かんたんログイン」ありブラウザ三国志 …… なんと、「かんたんログイン」のみ。むしろ潔い?Twitter …… かんたんログインあり。このサービスは、端末が3台あれば3台ともかんたんログインできるように頑張っている。Remem
公開: 2010年5月29日13時35分頃 WASForum Conference 2010、国民のためのウェブサイトを運営するID認証の舞台裏。前半に引き続き、外部サービスとの連携の話に移って行きます。 オープン化とプライバシー社内で明文化されたポリシー : 「ヤフーをプラットフォームとして、ヤフーだけにとどまらず、パートナーサイトとの最適な連携を通じて、インターネット上に存在する情報・サービスの中から、お客様にとって最良の情報・サービスを提供して行く」OpenID、OAuthなどによるプラットフォーム提供プロバイダ側が充実しても、ユーザーにはその事が分からない。共同プレスリリースを出して行く 連携の例smart.fm × Yahoo! Yahoo!側のプロフィールをsmart.fm側で出せる渡したくないものは渡さないように選択できたりするOisix × Yahoo! 決済・ポイント連携
公開: 2010年5月26日1時25分頃 WASForum Conference 2010、オープニングセッションに続いて、ヤフーの松岡泰三さんによる「国民のためのウェブサイトを運営するID認証の舞台裏」。松岡さんは「R&D統括本部プラットフォーム開発本部セントラル開発1部」に属し、OpenID、OAuth、認証API、認証(ログイン)、ソーシャルプラットフォーム、ストレージプラットフォーム、外部サービス連携……といった諸々のお仕事をされているそうで。 今回のお話は大きく前後半に分かれていて、前半はYahoo!の認証に関する仕組みや統計データについてのお話、後半は外部サービスとの連携の話になっていました。まずは前半部分のメモから。 Yahoo! Japan ID の現在アクティブユーザ数 …… 2396万IDYahoo!ウォレットのユーザ数 …… 1900万Yahoo!プレミアムの会員数
WAS Forum Conference 2010講演資料「ケータイ2.0が開けてしまったパンドラの箱」
■ クッキー食えないのはドコモだけ ろくに安全な作り方も確立していないくせになぜかやたら蔓延ってしまった「簡単ログイン」。そもそもUI設計からしておかしい。ボタンを押せば入れるなら、ボタンがある意味がない*1。ログアウト不可能な常時ログインサイトだ。（それなのに「ログアウト」ボタンがあったりする。） 「そんなこと言ったって便利だから必要なんだ」とか、「ケータイでパスワードなんか入れてられない」だとか、「お客さんが付けてくれって言ったら俺たちIT土方には何も助言なんてできないんだ」とか言う人が出てくるわけだが、そんなのは、一般のインターネットのサイトだって、昔から「□ 次回から自動的にログイン 」とか「□ 次回から入力を省略」といったチェックボックスが普通に用意されている。amazon.comなんか大昔からログインしっぱなしだ。 そしてそれはcookieによって実現されてきた。個人識別番号な
公開: 2010年5月12日11時55分頃 WASForum Conference 2010 (wasforum.jp)ですが、プログラム (wasforum.jp)を見ると「ケータイ2.0が開けてしまったパンドラの箱」「どうするケータイ認証」というテーマが挙げられています。タイトルからして危険な雰囲気が漂っていて、ケータイサイトを実装することもある身としては聞いておいた方が良さそうですね。 このプログラムが発表になったのが4月30日。前回は会社のお金で行かせていただいたので、今年も……と思ったのですが、「5月6日までに振り込むと安くなる」というアナウンスが。「連休中に稟議を通すのは無理 (twitter.com)」とつぶやいたら、なんと「5/7まで (twitter.com)」としていただけました (ありがとうございます)。お言葉に甘えて昨日稟議を通し、本日振り込みました。 というわけで
テーマ:ウェブサイトの「ユーザ」と「ID」にかかわる成功事例と都市伝説 WASForumは、「WASForum Conference 2010」を、2010/5/22土曜日に、コクヨホール（品川駅港南口側徒歩5分）で開催します。 「ユーザ」を扱うウェブサイトの関係者は全員集合！！ 今回のテーマは、ウェブサイトの「ユーザ」と「ID」にかかわる事柄となりました。iPhone, Android, ケータイなど、ユーザを取り扱うウェブの環境は大きく変化しています。OpenID, OAuth, Facebook Connect, Windows Live ID,… AuthN(認証)とAuthZ(認可)の決定打は何でしょうか。ID/パスワード方式の次とは？一日でみっちり扱います。 開催概要 日時： 2010年5月22日土曜日 10時〜18時 場所：コクヨホール (アクセス)（品川港南口） 参加費用：
▼ [雑] WASF Conference 2008 Day 2 #1 「EV SSLの意義と課題」日本電子認証協議会の秋山さん。 EV SSLについてはそれなりに存在意義も課題も知っていたつもりだったのだけれど、弱い暗号強度の使用期限が割とすぐに来る（2010年12月31日まで）ことは把握していなかった。 ▼ [雑] WASF Conference 2008 Day 2 #2 「SQLインジェクション対策再考」HASHコンサルティングの徳丸さん。 「SQLのエスケープ再考」というエントリの再編集版といった発表だった。元記事もそうだったけど、問題点が整理されており、分かりやすかった。 HASHコンサルティング専属デザイナー（子供さんかな？）に描いてもらったという「危険なライオン」が可愛かった（笑） ▼ [雑] WASF Conference 2008 Day 2 #3 「携帯電話向けWeb
WASForum Conference 2008 (wasforum.jp)に行ってきました。印象に残った話を中心に、とりとめなくメモしておきます。 まずは1日目、「不正アクセス事件から学んだ事」について。2005年に不正アクセスでサイト閉鎖となったカカクコム (kakaku.com)の、安田さんのお話です。 事件の経緯まず事件の経緯の話などが出ますが、まあそれはさんざん出ているので割愛します。細かい部分で興味深い話が2点ほど。 改竄を把握したのは水曜。改竄部分を戻したら問題なかったようなので運営を継続したが、その後も断続的に改竄と修正を繰り返した。土曜の夕方に一旦サーバを停止。その後再開するも、土曜の夜になって改竄の頻度が非常に高くなり、改修での対応は無理だと判断して閉鎖に至った。「どのくらいで復旧できるのか?」と社長に詰め寄られ、「一週間くらい」と返答 (実際には10日間の閉鎖)。 サ
1日目、カカクコムのお話の次に来たのがサウンドハウス (www.soundhouse.co.jp)のお話。 今年の4月にクレジットカード情報の流出が発覚し、大胆なプレスリリースが話題になったサウンドハウスですが、中島社長自らがお話しされるということで、かなり期待していました。実際にお話を聞いてみると、これがもうメチャクチャ面白かったです。ただ、あの話し方、身振り、スライド、どれ一つが欠けてもこの面白さは出ないと思いますので、生で見ていない人に面白さを伝えるのは難しいと思います。 ※ちなみにスライドの一部は使い回しのようです。「「被害を隠すな」サウンドハウス社長が不正アクセス体験語る (internet.watch.impress.co.jp)」に掲載されているものはおおむね使い回されていました。 ともあれ、話された内容をメモしておきます。ほぼ手元のメモのままなので、長いですが……。 導入部
日経クロステック登録会員になると… ・新着が分かるメールマガジンが届く ・キーワード登録、連載フォローが便利 さらに、有料会員に申し込むとすべての記事が読み放題に！ 年額プランも今ならお得 ＞＞詳しくは
日経クロステック登録会員になると… ・新着が分かるメールマガジンが届く ・キーワード登録、連載フォローが便利 さらに、有料会員に申し込むとすべての記事が読み放題に！ 年額プランも今ならお得 ＞＞詳しくは
「セキュリティ・ツールを入れたことで油断してしまっていた」---サウンドハウス 代表取締役社長 中島尚彦氏は2008年7月4日，「WASForum Conference 2008」で，同社を襲った不正アクセスによる情報漏洩被害の経緯と教訓について語った。カカクコムの取締役COOの安田幹広氏も，不正アクセス被害と再発防止体制について講演した。 WASForum Conferenceは，Webセキュリティに関する研究と啓蒙を目的とする非営利団体「Web Application Security Forum」が2004年から開催しているイベント。 「見逃しや消し忘れページ，どこかに穴が出てくる」サウンドハウス社長 中島氏 サウンドハウスは楽器や音響などのインターネット通販を行っている。2008年4月3日，「不正アクセスにより最大9万75000件のクレジットカード番号などが流出した可能性がある」と
朝4時台起きセルフメソッド 自分のため(セルフ)の朝４時台起きメソッド。 これはそういうことなんだ。。。 朝が暖かくなる５月半ばから 朝４時台に起きることを目標に試行錯誤していく。 まずは２日間だけ試した記録。 時間設定 ＋朝４時台とは 午前４時～午前４時４０分ならOK ＋寝る時間 午後９…
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く