「何してますか？忙しいですか？手伝ってもらっていいですか？」。すでに有名になったLINE乗っ取り詐欺は決まってこのメッセージから始まる。この後、「近くのコンビニエンスストアでweb moneyのプリペイドカードを買うのを手伝ってもらえますか？」とお願いしてきて、カードのコードを写真で送らせる手口だ。 このLINE詐欺、ふとnetgeek編集部が悪ふざけで乗っ取られたふりをして友人にメッセージを送ってみたところ、なんとアカウントを凍結されてしまった。完全な誤解だが、本人だと証明する術はないので泣き寝入りに…。 まさかLINE運営が監視していたとは思いもしなかった。頻発するLINEアカウント乗っ取り詐欺は完全に自己責任の名の下、放置されているという認識だったのだ。そのため、「現在、LINEを利用できません」というお知らせを見た時はなにかのサービスの不具合かと思っていた。しかし、待てど暮らせど復
様々なプログラミング言語の ウェブサーバとウェブアプリケーション間のインターフェースを調べています。 調べたのはこちらです。他にあったら教えてください。 PythonはWSGI RubyはRack PerlはPSGI/Plack JavaはServlet 3.0 CommonJSはJSGI CommonLispはClack ClojureはRing...Ring（これかな...？）...Clojure Web Development with Ring（これ...？） ErlangはEWGI 個人的には、当初Schemeのインターフェースを調べていたのでSchemeについて詳しい方は特に宜しくお願いします！！ 追記：CGI、FastCGIが抜けてました...。
このブログはlifehackerを含むgawkerメディア系サイトの#!URLへの移行を批判している。 http://isolani.co.uk/blog/javascript/BreakingTheWebWithHashBangs/ 以下、isolaniとテングの見解をごっちゃ混ぜに紹介する。 lifehacker他のgawkerメディアサイトが数日前に長時間におよびアクセス不能になった。(厳密に言うとページ内のコンテンツアクセス不能になった) #!URLベースのサイトはJavaScriptにエラーがあるとコンテンツが一切ロードせずのっぺらぼう状態になってしまうようだ。 #!について 「#!」は何で呼ぶの？ shebangと綴られる。 Hash=# Bang=!の略 発音すると「シバン」といったところか。(ちなみにUnixの#!とは無関係) 以下「#URL」は： サイト内のロケーション情
■ クロスサイトリクエストフォージェリ（CSRF）の正しい対策方法 「クロスサイトリクエストフォージェリ」がにわかに注目を集めている。古く から存在したこの問題がなぜ今まであまり注目されてこなかったかについて考 えているところだが、引越しやら転勤やらでいまひとつ日記を書く時間がない。 しかし、 @ITの記事などのように混乱させる解説も散見されるので、一点だけ対策 方法について書いておくとする。 クロスサイトリクエストフォージェリ――Cross-Site Request Forgeries (CSRF)を防止する簡潔で自然な解決策は以下のとおりである。 前提 ログインしていないWeb閲覧者に対するCSRF攻撃（掲示板荒らしや、ユーザ登 録を他人にさせる等、サイト運営者に対する業務妨害行為）はここでは対象と しない。 ログイン機能を持つWebアプリケーションの場合、何らかの方法でセッション 追
JavaScript を使った CSRF 対策の方法として、以前 Kazuho@Cybozu Labs で紹介されました。 CSRF 対策 w. JavaScript CSSXSS に対して脆弱でない CSRF 対策とはどのようなものか、という議論が続いているようですが、JavaScript を用いてよいのであれば、簡単な対策手法が存在すると思います。 ここでさらに一歩進めて、既存の FORM 要素に onsubmit 属性、および hiddenフィールドを直接追加せずに、JavaScript ファイルを１つインクルードすることにより、既存アプリケーションの書き換えをさらに少なくする方法を紹介したいと思います。 以下の JavaScript ファイルをHTMLの最後でインクルードする方法です。 fight_csrf.js sessid_name = ""; scripts = docume
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
最近はSNSやブログなどのソーシャルサービスだけでなく、オンラインショッピングや公共機関の電子申請などの生活に密着したサービスも、Webアプリケーションで提供されるようになりました。類似したWebアプリケーションが数多く開発される中、ユーザに選ばれるサービスとなる差別化ポイントのひとつがWebユーザビリティ（Webアプリケーションの使い勝手）です。 Webユーザビリティの悪いWebアプリケーションは、利用上のストレスを生み出し、利用者を減少させ、販売などのサイトではビジネスチャンスを失いかねません。つまり、WebユーザビリティはWeb上でのビジネスを成功に導くために必要な付加価値とも言えます。 今回と次回で、日立のシステム運用基盤Cosminexusの機能の1つである「クライアント性能モニタ」を使って、システム管理者がWebシステムのユーザビリティを診断する方法について紹介しましょう。 W
初心者Webアプリケーション開発者がチェックすべき情報源を集めてみた。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。 @ikepyonさんのご指摘により「LASDEC ウェブ健康診断」を追記した。 はてなブックマークの関連リンクによさそうな情報源があったので追記しました。それから、カテゴリを作りました。 ■Webサイト構築 安全なウェブサイトの作り方 http://www.ipa.go.jp/security/vuln/websecurity.html 安全なウェブサイトの作り方(全92ページ、2.09MB） セキュリティ実装 チェックリスト（Excel形式、33KB） 安全なSQLの呼び出し方（全40ページ、714KB） ■Webアプリケーション開発 セキュア・プログラミング講座 http://www.ipa.go.jp/security/awareness/ve
FattyはCakePHP/PHP製のフリーウェア（ソースコードは公開されている）。Gitは便利なバージョン管理システムだ。チームで使うのはもちろん、個人でリポジトリを作っておいても便利だ。だが今のところGUIの決定打は出てきていないように思える。 コミット履歴 普段のファイル追加、コミットくらいであればコマンドラインで良いが、コミット履歴を見たり差分を見る時にはやはり専用インタフェースがあると便利だ。そんな機能が欲しいならばFattyを使ってみよう。 FattyはCakePHP製のソフトウェアであり、app/pluginsディレクトリ以下に配置して実行する。リポジトリのパスを設定すれば、後はブラウザからコミット履歴の一覧が見られる。もちろんその内容や変更点を閲覧することも可能だ。 差分 さらにコミット一覧をドラッグして別なコミットにドロップすると、指定したコミット同士の差分を見ることもで
従来、JSP／サーブレットにおいて、アップロード処理を実現するのは困難でした。というのも、JSP＆サーブレットAPI、あるいはJavaコアAPIが標準で備えるライブラリには、アップロード処理に特化したライブラリが存在しなかったためです。そのため、アップロード機能をアプリケーションに組み込むには、POSTされた生のリクエストデータを解析し、ファイル名やその本体データを取り出すという処理を自分自身で行わなければならなかったのです。本稿では、その泥臭い作業手順については触れませんが、これが大変面倒なものであろうことは想像に難くないでしょう。 しかし、Jakarta Commonsサブプロジェクトから公開されているFileUploadライブラリを利用することで、従来の煩雑なアップロード処理の大半は軽減されます。論より証拠、早速具体的なサンプルコードを見てみることにしましょう。 解説 サンプルコード
［編集者からの注記：本稿の筆者Andrew Mager氏は、米国時間2月22日から24日までの日程でマイアミにおいて開催された「Future of Web Apps」（FOWA 2010）カンファレンスの会場からレポートしてくれた。］ Union Square VenturesのFred Wilson氏は2月23日の朝、マイアミで開催中の「Future of Web Apps」（FOWA 2010）で講演を行い、優れたウェブアプリケーションを構築するための10個のティップスを披露した。本記事ではその内容を紹介する。 スピード スピードは単なる特長ではない。最も重要な特長である。このことはパワーユーザーに対しても、一般的なユーザーに対しても当てはまる。パワーユーザーの方が、遅いアプリケーションに対して寛容であるものの、スピードは追求するべきである（お年寄りが耐えられるぎりぎりのスピードを目指
方々を調べていると S2BlazeDS を使用していてもファイルのアップロード・ダウンロードはフツーに Servlet 作ってやったほうが良いというか、それしか方法がない気がする。なので Flex で Servlet からファイルダウンロードするやり方についてのメモ。 そういえば Adobe AIR と Flash Player 10 ではローカルファイル見れるようになったんで別かもしれないねぇ。 ちなみにアップロードは こっち とりあえず、OutputStream にデータを書き込むという例のアレ的な処理をする Servlet をこさえる。 public class CsvDownloadServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest reqest, HttpServletRe
考えてみた。 ここんところ静的型付けなんか不要な空気になってたり、プログラムの内容よりも品質だとか開発管理の話題のほうが盛んだったり、IDEはあると便利だけどなくても大丈夫って雰囲気だったりする理由。 この10年Webアプリケーション花盛りだから、その理由はWebアプリケーションの構造にあるとして考えた。 Webアプリケーションの構造 で、まずはWebアプリケーションの構造。 字が汚いけど、左からブラウザ、アプリケーション、セッション、DB。 赤文字は、左がプログラム実行、右がデータの永続と書いてある。つもり。 Webアプリケーションでは、ブラウザからのリクエストを受けて、プログラムが動き、データベースの情報を処理して返す。 ブラウザ側でプログラムが動くことはあるけど、入力補助程度であまりたいしたプログラムは書かないので、主にサーバー側のプログラムを組む。 このとき、サーバー側のプログラム
WSJSはJava/JavaScript製のフリーウェア（ソースコードは公開されている。ライセンスは独自）。今時のWebアプリケーションではJavaScriptが多用されるようになっている。JavaScriptを一切触れずにWebサービス、Webアプリケーションを構築するのは難しいとすら感じられるはずだ。そうなるとサーバサイドおよびクライアントサイドで言語を二つ習得する必要が出てくる。 デモアプリケーション それを一つに統合できる可能性があるとすればGWTのようにJavaScriptを生成するフレームワークを使うか、逆にサーバサイドでJavaScriptを使うかだ。WSJSはサーバサイドJavaScriptを使うためのフレームワークを開発している。 MVCを厳密に定義し、HTMLの描画はクライアントサイドで行える。またモデルはクライアントからサーバ側のJavaScriptを呼び出せるように
今回は、これからPostgreSQLの運用方法を解説するに当たり、運用時の状態を簡単にシミュレーションするために、ベンチマークツールをインストールして動かします。ベンチマークツールは、チューニングの際にも指標として使えますから、ぜひ使い方を覚えておいてください。 ベンチマークツール OSDL DBT-1とは >>> 本連載の前提環境 データベース：PostgreSQL 8.3.1 OS：CentOS 5（Linux kernel 2.6 ） シェル：bash CPU：Intel Xeon 3060 2.40GHz HDD：73.4GBytes／15,000rpm／SAS 16MBytes RAM：PC2-5300 8GBytes データベース用のベンチマークツールはいろいろとありますが、ここでは「OSDL DBT-1」（以降、DBT-1）を取り上げます。 DBT-1は、OSDL（Open
NTTデータCCS、アウトソーシング事業本部 ネットワークサービス部 シニアセキュリティスペシャリストの長谷川武氏 昨今、情報セキュリティの維持は企業において重要な課題となっている。特に2008年は多発したSQLインジェクション攻撃によりWebサイト改ざんや情報漏えいが引き起こされ、Webアプリケーションセキュリティ（WAS）の重要性を心に刻みつけた1年だった。 なぜ、Webアプリケーションの脆弱性はこうも甚大な被害を生み出すのか。WAS事業を展開している住商情報システム（以下、SCS）主催のWebアプリケーション開発者向けセミナーに登壇した、NTTデータCCS アウトソーシング事業本部 ネットワークサービス部 シニアセキュリティスペシャリストの長谷川武氏は、次のように説明する。同氏は脆弱性検査の豊富な経験を持ち、IPAで非常勤研究員としても活躍するWASの第一人者だ（なお、細かい表現は筆
アプリ開発でも、よ～く考えよう。キャッシュは大事だよ：現場から学ぶWebアプリ開発のトラブルハック（12）（1/2 ページ） 本連載は、現場でのエンジニアの経験から得られた、APサーバをベースとしたWebアプリ開発における注意点やノウハウについて解説するハック集である。現在起きているトラブルの解決や、今後の開発の参考として大いに活用していただきたい。（編集部） “無駄”より“遅い”ものはない 今回もパフォーマンスにまつわるトラブルをハックするが、アプリケーションのパフォーマンスチューニングで最も有効な手段は「処理を行わない」ことである。何もしないことに勝る高速化は存在しない。今回のトラブルでは、インスタンスをキャッシュ化して、無駄な処理を行わないことでチューニングを行う手法を紹介する。 しかしながら、往々にしてチューニングはトレードオフである。そのトレードオフが引き起こす、さらなるトラブル
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く