『徳丸浩のWebセキュリティ教室』を読んだ感想はじめに待望の徳丸先生の新刊が発売になりましたね。』)にも載ってない内容があり、勉強になります。セキュリティ関連の本は随時アップデートが必要ですね。本書の構成は、インタビュー、第一章で概要、第二章で攻撃手法、第三章で対策となっています。インタビューインタビューはかなり厳しい内容になっています。セキュリティを勉強してきっちり予算を確保し、ユーザーはリテラシーを上げることを求めています。セキュリティの状況を見ると、これらの対策は必要だと同意せざるを得ません。法規制が入るのであればそれに対応して開発者も成長していく必要があります。いつまでも、ソフトウェアは不具合はなくせないではすまされません(脆弱性は悪用できるバグなので)。意外だったのが、「安全なウェブサイトの作り方」はセキュリティガイドラインとして利用するのには内容が足りないということです。この資料は、かなり脆弱性も網羅されていると思っていたのですが、作成者の方曰く、「最低限の内容」とのことで、セキュリティガイドラインは別途作成する必要があるということですね。これは、みなさん知っておいたほうがよいのではないでしょうか。セキュリティの動向を抑えた概要が解説されています。重要なのは、侵入経路というもは2つのみで、これは今も昔も変わらないということです。インジェクション、ガンブラー、パスワードリスト攻撃などといった攻撃手法が登場し、常に進化しています。いったフレームワークの脆弱性を攻撃するようにもなっています。脆弱性をなくすには、各段階で適切な対応を取る必要があります。セキュリティをしっかりと考慮する必要があるという訳ですね。SQLインジェクションによる判決について解説がされています。これからの脆弱性対策の責任は、一義的には発注者にあるとしても、仕様にないからといって脆弱性対策を行わなくてもよい時代は終了したと言えるのではないでしょうか。個人的には、この判決は少々開発者に厳しいのではないかと感じています。この判決はベンダーを萎縮させ、対価をもらうことなく、セキュリティ対策をせざるを得なくなる可能性があるからです。体力のある企業ならなんとかなるかもしれませんが、中小ベンダーは厳しい状況に置かれるのではないでしょうか。サイトの記事には間違ったセキュリティ対応が載っていることがあることも言及されています。その上で、間違った情報に触れれば間違いに気がつくことができます。本当はなぜ危ないかについて詳細に解説されています(本書のコア部分かも)。詳細は、本書を読んで欲しいのですが、一文でまとめられている文章があるので、ここで引用しておきます。本質は、「本来ならば実行されないはずのJavaScriptを実行されてしまう」ことにある。出力時エスケープ漏れの場合もあるでしょうし、同一生成元ポリシーに違反している場合もあるでしょう。実行させてしまえば、個人情報の取得や乗っ取りも容易に行うことができるようになるでしょう。第三章では対策について解説がされています。最初に、ソフトウェアのサポートライフサイクルに触れています。より大きく異なりますが、サポートライフサイクルが終了してしまったソフトウェアはセキュリティパッチが提供されなくなります。これは採用前に調べておくことです。中には突然サポートが終了してしまうものもありますが、それは仕方ないですね。サポート期間の短さです。そこまで求めるのは無理がありますが、3年間というのは短いですね。アプリケーションを構築したら、すぐにバージョンアップの用意をしなければいけないですね。本書では「パッチ適用容易性」という概念が提唱されていますが、パッチ適用やバージョンアップのしやすさは重要だと思います。ようにバージョンアップが早い言語だと特に重要ですね。脆弱性は全て解消しておくことは難しいですし、緊急時対応、サポートの終了したプロダクトの脆弱性対策に役に立ちます。セキュリティ要件を組み込むことの重要性についても書かれています。これは、発注者に「安全」にはコストがかかることと、安全にするための意思を持ってもらうことが重要だからです。安かろう悪かろうでは、また裁判になって、不幸な結果が待っているだけですからね。いうか、徳丸先生ならではのテーマである「パスワードの定期変更」の効果についても解説があったのがうれしいです。数字を根拠にして「パスワードの定期変更」の効果の低さを明確にしています。「パスワードの定期変更」を行うくらいなら2段階認証など別の方法を採用すべきだそうです。「パスワードの定期変更に頼ったら負け」というスローガンとのこと。診断サービスを受けるには、実際には「フルサービス」を依頼することが望ましいが、コスト的に難しいので「抜き取り検査」をすることになるとあります。アプリケーション脆弱性診断には、ツールによる診断と手動診断の2通りあるので、ツールで安く全体を診断して、重要部分をコストをかけて手動診断するとよいのではないかと思いました。アプリケーションに関わる方には是非手にとってもらいたいです。発注者の方、プロジェクトマネージャー、SEの方々ですね。この本を読んだら、以下の本も手にとって貰えるとよりよいです。「安全なウェブサイトの作り方」は読んだ上でですけどね。いろんな情報を発信しています。コメントをキャンセルメールアドレスが公開されることはありません。*サイト上に表示された文字を入力してください。プロフィール名前:fnya趣味でセキュリティを追っかけています。脆弱性が生まれる原理と対策の実践Webアプリケーションセキュリティの定番である「徳丸本」の最新技術動向を反映した第2版です。