インフラソリューショングループのmookjpです。NIGHT」を定期的に開催しています。Webのセキュリティ技術」を開催しましたので、イベントレポートをお届けします!今回は弊社のセキュリティエンジニア西村と、社外からのゲストスピーカーJxckさんをお迎えして、Webのセキュリティ技術をテーマに設定しました。「Webとセキュリティ」というテーマはやはり注目度が高かったようで、当日の参加者は120人を超える大盛況となりました。よる防御とリアルワールドレポート収集」というテーマで40分のトークをしていただきました。DeckCSPとは、「Content-Security-Policy」ヘッダをレスポンスに含めることで、コンテンツ取得の許可リスト(ポリシー)を定義することができる機能です。MDNでは、CSPを使い、あらかじめサイトの管理者が実行を許可するスクリプトの提供元を定義しておくことによって、XSSが発生する箇所を”削減・根絶することができます”...と紹介しています。CSPには、ポリシー定義に加えて、report-uri(またはreport-to)というディレクティブを書いておくことにより、ポリシーに違反した内容を指定したURLに送信してくれるという機能もあります。Jxckさんは実際に自身のWebサイトがCSPヘッダを返せるように変更し、report-uriでどのような内容が送信されてくるのかを約1年間検証されたとのこと。その際に見えてきた、CSP実運用の課題点などを様々なポイントから解説していただきました。休憩をはさんで後半は、弊社のセキュリティエンジニア西村より「脆弱性発見者が注目する近年のWeb技術」としてトークセッションを行いました。Deckセキュリティエンジニアとして注目している最新のWeb技術とその脆弱性について取り上げた濃い内容でしたが、なかでも盛り上がったのはFlyWebの脆弱性を体感できる「参加型」コンテンツでした。FlyWebとは、Mozillaが実施しているWebと物理デバイスを連携させる機能のプロジェクトです。Nightlyのコンフィグで機能を有効にしないと使えません。FlyWebはBonjourプロトコルにも対応していることから、オフィス内のネットワーク機器のふりをしてFlyWebサーバを起動し、誤って接続してきてしまったユーザを攻撃できてしまうのでは?と気づいたとのこと。会場では実際に攻撃者としてFlyWebサーバを起動し、そこからユーザにドライバファイルに見せかけた悪意のある実行ファイル(ただしデモなので計算機が起動するだけ)をダウンロードさせるというデモを行いました。脆弱性のデモのはずが、弊社西村のデモサーバに対して数分程度で逆攻撃に成功する猛者が現れるなど、参加者の技術レベルの高さも伺えるセッションとなりました...!トークセッションの後の親睦会中では、弊社のエンジニアよりカジュアルLTを3本させていただきました。kasasagiと、かなりテーマが分かれたLTとなりましたが、弊社のエンジニアのバラエティ豊かさが参加者のみなさんにも伝わったのでは...!とポジティブな感触を得ています。弊社は「何をやっている会社かわからない」と言われてしまうことがたびたびあるのですが、今後もこのようなイベントを通して現場のエンジニアがどんなことに取り組んでいるのか、社外の方にもどんどん伝えていきたいです。ARCHIVES2020年2月2020年1月2019年12月2019年11月2019年10月2019年8月2019年7月2019年6月2019年5月2019年4月2019年3月2019年2月2019年1月2018年12月2018年11月2018年10月2018年9月2018年8月2018年7月2018年6月2018年5月2018年4月2018年3月2018年2月2018年1月2017年12月2017年11月2017年10月2017年9月2017年8月2017年7月2017年6月2017年5月2017年4月2017年3月2017年2月2017年1月2016年12月2016年11月2016年10月2016年9月2016年8月2016年7月2016年6月2016年5月2016年4月2016年3月2016年2月2016年1月2015年12月2015年11月2015年10月2015年9月2015年8月2015年7月SHAREリクルートグループサイトへ利用規約プライバシーポリシーお問い合わせ。