タリーズの件、CSPが設置されていたら防げていたという話がありますが、それは正しいでしょうか？ CSPを設定していなかったとしても、想定していない外部へのリクエストが発生していな

2024/10/06 445 users タリーズ リクエスト 外部

タリーズの件、CSPが設置されていたら防げていたという話がありますが、それは正しいでしょうか？ CSPを設定していなかったとしても、想定していない外部へのリクエストが発生していないか、定期的にチェックすることも大事ですよね？ タリーズのサイトからのクレジットカード情報漏えいについて、CSP(Content Security ... 続きを読む

ブラウザ開発者ツールのネットワークタブに表示されない情報送信手法 - Qiita

2024/07/14 419 users ネットワークタブ CTF セキュリティエンジニア Qiita

はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってくだ... 続きを読む

Chrome113でHTTPヘッダを上書きしていろんな状態をお試しできる - hogashi.*

2023/05/13 192 users hogashi fetch HTTPヘッダ GitHub 状態

Chrome 113 で、 DevTools の Network ペインで HTTP ヘッダを好きなように編集して、いろんな状態をお試しできるようになっている。 What's New in DevTools (Chrome 113) - Chrome Developers で紹介されている。 GitHub から example.com を fetch してみる GitHub の CSP ヘッダを上書き example.com の CORS のヘッ... 続きを読む

Rails 5.2.0 FINAL: Active Storage, Redis Cache Store, HTTP/2 Early Hints, CSP, Credentials | Riding Rails

2018/04/09 84 users credentials http FINAL

Nearly 14 years since the first public version of Rails , it’s our pleasure to release yet another major upgrade to the framework in the form of 5.2.0 final. We’ve been diligently polishing Active Sto... 続きを読む

Rails 5.2: Active Storage, Redis Cache Store, HTTP/2 Early Hints, CSP, Credentials | Riding Rails

2017/11/27 105 users credentials http Riding Rails

It’s been too hard to deal with file uploads in Rails for too long. Sure, there’s been a lot of fine plugins available, but it was overdue that we incorporated something right into the framework. So n... 続きを読む

mixed contents 対応を促進する CSP ディレクティブ | blog.jxck.io

2017/01/10 60 users ディレクティブ created_at jxck.io 移行

created_at: 2017-01-10 updated_at: 2017-01-10 tags: [ csp , mixed contents , upgrade-insecure-request , block-all-mixed-contents ] Intro HTTPS 移行の問題点の一つに、 mixed contents への対応がある。 逆に mixed contents の発生... 続きを読む

Go言語の並行性を映像化する | プログラミング | POSTD

2016/02/29 442 users POSTD concurrency ビルトイン Go言語 念頭

Goというプログラミング言語の強みの１つは、Tony Hoare考案のCSPに基づくビルトインの並行性(Concurrency)です。Goは並行性を念頭にデザインされているため、複雑に並行したパイプラインの構築を可能にしています。でも、それぞれの並行性パターンがどのように見えるものなのか気になったことはありませんか。Goというプログラミング言語の強みの１つは、 Tony Hoare考案のCSP に... 続きを読む

Content-Security-Policy と nonce の話 - blog.64p.org

2014/09/25 95 users nonce XSS hasegawayosuke デフォルト

Content-Security-Policy の nonce を利用すると、XSS の脅威をかなり軽減できます。 そこで、Web Application Framework ではデフォルトで対応したほうがよいのではないか、という旨を @hasegawayosuke さんから教えて頂いたので、実装について考えてみました。 とりあえず CSP の nonce はどういうものなのかを考慮するために、コ... 続きを読む

弊社のホームページにContent Security Policy(CSP)を導入しました | HASHコンサルティングオフィシャルブログ

2013/12/05 92 users content スライド はせがわようすけ氏 弊社 以下

2013年12月6日金曜日 弊社のホームページにContent Security Policy(CSP)を導入しました 弊社のホームページにCSP(Content Security Policy)を導入しました。CSPについては、はせがわようすけ氏のスライド「5分でわかるCSP」がわかりやすいと思います。以下にスライドの一部を引用します。 具体的には、以下のように指定して使います。 Content... 続きを読む

ChefのrecipeをJenkinsで継続的インテグレーションする方法 | Ryuzee.com

2013/02/27 120 users Jenkins Chef Ryuzee.com recipe

主にアジャイルの話。アジャイルコーチ、認定スクラムプロフェショナル(CSP)、CSM、CSPO。Twitterは@ryuzee 環境構築の自動化のツールとして一番注目されているのがChefです。 Recipeと呼ばれるインストールや設定のためのスクリプトを書いておき、それを使って新しいサーバを速攻で作ったり、Chef Serverを使えば複数のサーバ群に対して環境を一定に保つことが可能です。 Ch... 続きを読む

コマンドラインからDropboxを操作する方法 (+Jenkinsとの連携) | Ryuzee.com

2012/10/21 58 users Jenkins Ryuzee.com コマンドライン CSM

主にアジャイルの話。アジャイルコーチ、認定スクラムプロフェショナル(CSP)、CSM、CSPO。Twitterは@ryuzee 前回のエントリでは、ReVIEWとJenkinsを組み合わせてPDFを自動でビルドする方法について説明しました。今回は更に進んで、ビルドされたPDFをJenkinsサーバから自動でコマンドライン経由でDropboxに保存する方法について説明します。 なお、ここで説明する内... 続きを読む

大きなリリースの際にチェックすべき34のこと | Ryuzee.com

2012/02/02 347 users Ryuzee.com CSM ryuzee アジャイル ケース

主にアジャイルの話。アジャイルコーチ、認定スクラムプロフェショナル(CSP)、CSM、CSPO。Twitterは@ryuzee 以前に作っておいた大きめなリリースをする際にチェックしておくべきことのリストが役に立ちそうなので公開しておきます。 僕の場合は普段はワンクリックデプロイが多いんだけど、かなり大掛かりな変更をするケースが年に数回あったりするので、その際にこういうリストを使ってリリース計画を... 続きを読む

[Agile]コミットメントとは何か？ | Ryuzee.com

2012/01/12 50 users Agile CSM コミットメント Ryuzee.com 参考

主にアジャイルの話。アジャイルコーチ、認定スクラムプロフェショナル(CSP)、CSM、CSPO。Twitterは@ryuzee 昨年夏に同人誌として刊行された「Ultimate Agile Stories」に寄稿させていただいたのですが、昨日のJim Coplien氏の認定スクラムマスター研修でもコミットメントの話が出ていましたので、参考までに僕の考えを転載します。 なお、Ultimate Agi... 続きを読む

より良いテスト駆動開発を行うためのチートシートの紹介 | Ryuzee.com

2011/04/22 164 users Ryuzee.com CSM TDD チートシート アジャイル

主にアジャイルの話。アジャイルコーチ、認定スクラムプロフェショナル(CSP)、CSM、CSPO。Twitterは@ryuzee planetgeek.chというサイトでUrs Enzler氏がTDDのチートシートを公開していたのでご紹介。 Clean Code and Clean TDD Cheat Sheets (PDFファイルでダウンロード可能だ) 以下で、チートシート内の一部を適当訳で載せて... 続きを読む