徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合もある

2012/03/29 248 users kazuho サニタイズ エントリ 徳丸浩 奥一穂氏

このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱性対策では、脆弱性が発生するのはデータを使うところであるので、データを使う際の適切なエ... 続きを読む

徳丸浩の日記: 処理開始後の例外処理では「サニタイズ」が有効な場合もある

2012/03/29 248 users サニタイズ kazuho 徳丸浩 エントリ 奥一穂氏

2012年3月30日金曜日 処理開始後の例外処理では「サニタイズ」が有効な場合もある このエントリでは、脆弱性対処における例外処理について、奥一穂氏(@kazuho)との会話から私が学んだことを共有いたします。セキュアプログラミングの心得として、異常が起これば直ちにプログラムを終了することが推奨される場合がありますが、必ずしもそうではないというのが結論です。 はじめに Webアプリケーションの脆弱... 続きを読む

僕が「ホワイトリスト」を採用しなかった訳 - ockeghem(徳丸浩)の日記

2011/05/09 207 users ockeghem 文脈 徳丸浩 徳丸本 実態

ホワイトリストという用語はセキュリティの分野では非常に基本的な用語ですが、セキュアプログラミングという文脈では意外に曖昧な使われ方がされているように見受けます。本エントリでは、ホワイトリストという用語の意味を三種類に分類し、この用語の実態に迫ります。拙著体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）では、ホワイトリストという用語を一度も使っていませんが、その理由に対する説明でも... 続きを読む