Yasuo Ohgaki (大垣靖男)

攻撃者は効果、機会、リスクを考えてるのに、脆弱性を直したか？という次元の低い考えだけの対策とか、あり得ない http://fb.me/5pM9LYzCt 

https://blog.ohgaki.net/session-data-injection …... http://fb.me/TmzCEj8c 

https://blog.ohgaki.net/input-validation-disables-most-injection-attacks#i-15 …... http://fb.me/y6fYzNVv 

ISO27000ではセキュアプログラミング／セキュアコーディングは標準もあり普及しているので、具体的な方法は省略した、としています。その標準的な物というのはCERTやOWASPのセキュアコーディングのガイドラインなどです。

セキュリティ対策の目的は「バグや脆弱性を潰すこと」ではなく、「できるだけ安全に利用すること」にありますが、その目的に最も効果的とされるバリデーションがセキュリティ対策ではない、はあり得ない。やってなかくて裁判になったら100％負けると思う。

できるだけ完全なセキュリティ対策なければ、セキュリティ対策でない！と主張しつつ、完全かつ汎用性がある出力対策3つ「エスケープ、API、バリデーション」の2つを「セキュリティ対策として不適当」というのは、どうかと思います。ホントに。

https://blog.ohgaki.net/complete-sql-injection-counter-measure …... http://fb.me/5jzyGL13K 

OWASPのセキュアコーディング習慣でも、似たような文言があってこの文書は「不可知論的」（不可知論：物事の本質は人々には理解されないこと）と書いた上で、セキュアコーディングのチェックリストを載せています。... http://fb.me/4ukeFzKrq 

CERT Top 10 セキュアコーディング習慣では出力の対策が7番目になっている事にずっと違和感がありましたが、何故こうなっているかやっと解ったような気がします。... http://fb.me/25FlY89Mu 

ソフトウェアセキュリティで、どれが根本的な対策か分類してもあまり意味がないです。それぞれが根本的な対策です。 http://fb.me/8r9B0ZcpG 

https://blog.ohgaki.net/what-is-root-security-measure … 忙しいのに余計な時間を使ってしまいました。朝の仕事後の息抜きなのでよしとします。 http://fb.me/56CIxdzLz 

ゼロ脆弱性やゼロリスクを目指すのはそもそも無理です。セキュリティ対策ですべきことはゼロトラスト（他のモノを検証なしに信頼しない）です。https://blog.ohgaki.net/the-7-habits-of-secure- …... http://fb.me/5B9A5b1S1 

WordPressのプラグインマスターにはきっと噛なわないですが、これらのプラグインを使ってセキュリティを強化しています。プラグインに関係ないですがSELinuxは勿論有効です :) http://fb.me/8sLcngryP 

脆弱性を隠すのは良くない（ので入力バリデーションはセキュリティ対策ではない）と言いつつ、脆弱性を隠す為のWebアプリファイアーウォールを売っているのはどういう事なのだろうか？と、どうしても思ってしまいます。