#JavaDayTokyo 2016 2-C Java EE 7アプリケーションとWebセキュリティ

満員 #jdt2016_2C

2016-05-24 13:57:20

HASUNUMA Kenji (Deprecated) @khasunuma_old

最前列陣取ったら仰角きつかった（でも頑張る！） #jdt2016_2C

2016-05-24 13:58:39

せち🔥🐈 @setys0

満席っぽいです #jdt2016_2C

2016-05-24 13:58:45

社内イントラの感覚わかる #jdt2016_2c

2016-05-24 14:07:13

最初からセキュアなコードを書いておく #jdt2016_2c

2016-05-24 14:09:17

スーツメガネコス浦上さん！スライドが上にありすぎて首が疲れる会場だ。 #jdt2016_2c

2016-05-24 14:10:04

コストは無視できない→抑える方法を考える #jdt2016_2c

2016-05-24 14:10:11

IPAの安全なウェブサイトの作り方 #jdt2016_2c

2016-05-24 14:11:44

セキュリティ対策の基準として、IPAの「安全なウェブサイトの作り方」を参考にしている #jdt2016_2c

2016-05-24 14:11:54

様々な攻撃パターンとその対策例 #jdt2016_2C

2016-05-24 14:13:17

Java EEのテンプレートにおけるXSSの防ぎ方 #jdt2016_2c

2016-05-24 14:15:12

□は文字化けかな #jdt2016_2C

2016-05-24 14:15:44

XSS対策はデフォルトでされている。そう、JSFならね。 #jdt2016_2c

2016-05-24 14:18:58

適切につかわれているのかのチェックはしないといかんよなー #jdt2016_2c

2016-05-24 14:19:18

xss対策漏れの検知容易性の観点から評価、は参考になる #jdt2016_2C

2016-05-24 14:20:43

せち🔥🐈 @setys0

セキュリティでは対策漏れをチェックできることが重要 #JavaDayTokyo #jdt2016_2C

2016-05-24 14:20:45

次はCSRF #jdt2016_2C

2016-05-24 14:21:32

CSRF対策はトークン埋め込み、サーバーでのチェック #jdt2016_2C

2016-05-24 14:23:31

HASUNUMA Kenji (Deprecated) @khasunuma_old

GlassFishのREST管理チャネルは、トークンをリクエストヘッダに持たせています。 #jdt2016_2C

2016-05-24 14:25:33

ログイン画面にアクセスするタイミングでトークンを作る #jdt2016_2C

2016-05-24 14:25:37

トークンにはセッションID以外を使う #jdt2016_2C

2016-05-24 14:26:18

セッションIDの漏洩リスクが上がるので、トークンには使わない方が良い #jdt2016_2c

2016-05-24 14:26:27