Yasuo Ohgaki (大垣靖男)

つ http://impact-jam.com/ 

http://impact-jam.com/ も

個人情報法もGDPRも、元を質せばOECDプライバシー勧告です。プライバシー勧告が作られた背景に一つにITシステムによる｢名寄せ｣があります。 法の趣旨からすると個人の意図しない名寄せはアウトと考える方が自然でしょう。 http://takagi-hiromitsu.jp/diary/20190609.html …

Gnome Shellがクラッシュする場合、Gnome Shell Extensionを削除／再インストールすると直るかも

bcryptが非バイナリセーフだったことを失念していたので、文字数制限を回避する部分を修正しました。 https://blog.ohgaki.net/password_hash-important-limitation …

入力バリデーションにエスケープが含まれる！とする意見に対して、そんなモノは聞いた事がない、思っていました。灯台下暗し、PHP黒歴史のMagic quoteがありました！全く使ったことがなくて完全に忘れていました。これを最後に追加。 https://blog.ohgaki.net/%E5%85%A5%E5%8A%9B%E3%83%90%E3%83%AA%E3%83%87%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AB%E3%80%8C%E3%82%A8%E3%82%B9%E3%82%B1%E3%83%BC%E3%83%97%E3%82%84%E3%83%95%E3%82%A3%E3%83%AB%E3%82%BF%E3%83%AA …

データ型とセキュアコーディングの関係の話 データ型には言語が提供する”汎用”データ型があります。 オブジェクト指向で開発するとクラスで、そのソフトウェア専用の新しい”専用”データ型を作ると思います。”汎用”データ型を使っているだけ、では不十分になります。 https://blog.ohgaki.net/%e3%83%87%e3%83%bc%e3%82%bf%e5%9e%8b%e3%81%a8%e3%82%bb%e3%82%ad%e3%83%a5%e3%82%a2%e3%82%b3%e3%83%bc%e3%83%87%e3%82%a3%e3%83%b3%e3%82%b0 …

フェイルセーフ対策としてライブラリの奥深くでバリデーションして良いのですが、ライブラリ／部品なら「設計／仕様」としてバリデーションなし、もOK。これは契約による設計／契約プログラミングだと当然のようにしていると思います。 https://blog.ohgaki.net/%e3%82%bd%e3%83%95%e3%83%88%e3%82%a6%e3%82%a7%e3%82%a2%e3%81%ab%e5%85%a5%e5%8a%9b%e3%83%90%e3%83%aa%e3%83%87%e3%83%bc%e3%82%b7%e3%83%a7%e3%83%b3%e3%81%af%e5%bf%85%e8%a6%81%e3%81%aa%e3%81%84 …

はじめてのPackagist Cモジュール版を書かないと、ですが今のPHPは結構速いので十分かも？ https://packagist.org/packages/yohgaki/validate-php-scr …

「セキュリティ機能の利用はソフトウェアセキュリティではない」のですが @IPAjp の「安全なウェブサイトの作り方」はWAFがソフトウェアセキュリティ対策であるかのように解説しています、CWEベースのガイドであるにも関わらず。 https://blog.ohgaki.net/security-feature-is-not-software-security …

GDPRのSCCが無用になって、日本はEU個人情報を「事前手続き」無しで移転できるようになりました。しかし、手放しで喜べる話ではないです。 https://blog.ohgaki.net/%E6%AC%A7%E5%B7%9E%E3%81%AE%E5%80%8B%E4%BA%BA%E3%83%87%E3%83%BC%E3%82%BF%E7%A7%BB%E8%BB%A2%E8%A6%8F%E5%88%B6%E3%81%8C%E6%97%A5%E6%9C%AC%E3%81%AF%E5%AF%BE%E8%B1%A1%E5%A4%96%E3%81%A8%E3%81%AA%E3%82%8B …

初心に帰る、ということで最近のテーマになっている7PKの「APIの乱用」について書きました。 https://blog.ohgaki.net/7pk-api%E3%81%AE%E4%B9%B1%E7%94%A8%E3%81%A8%E3%81%AF%EF%BC%9F …

@IPAjp の責任は重大。おかしなセキュリティガイドラインを長年公開している／していたので。 https://blog.ohgaki.net/ipa%E3%81%AE%E3%80%8C%E5%AE%89%E5%85%A8%E3%81%AAweb%E3%82%B5%E3%82%A4%E3%83%88%E3%81%AE%E4%BD%9C%E3%82%8A%E6%96%B9%E3%80%8D%E3%81%AF%E5%8D%B1%E9%99%BA …

エンジニアリングとは科学的知見からモノを効率的に作って行くモノですが、ソフトウェアセキュリティに関してはエンジニアリングできていない。その証拠にCERT Secure Codingも7PKもCWEも、基礎の基礎、が無視されているのが現状。

セキュリティ対策コードを使う ≠ ソフトウェアセキュリティ https://bit.ly/2HofVau  13年ほど前からソフトウェアセキュリティ専門家が指摘している事です。 https://bit.ly/2HofVau