#JavaDayTokyo 2016 2-C Java EE 7アプリケーションとWebセキュリティ

てんてん😇 @tenten0213

SQLインジェクション #jdt2016_2c

てんてん😇 @tenten0213

パラメータのバインドにはプレースホルダを使う #jdt2016_2c

てんてん😇 @tenten0213

JPAでの対応 #jdt2016_2c

せち🔥🐈 @setys0

JPAのSQLインジェクション対策は[at]NamedQueryを使い、em.createQueryを使わせない。 #JavaDayTokyo #jdt2016_2C

つりーべると犬 @tada_suzu

SQLインジェクション対策として使えるものにCriteria API なるのがあるのか #jdt2016_2C

てんてん😇 @tenten0213

セッション管理の不備 #jdt2016_2c

せち🔥🐈 @setys0

CriteriaAPIでもSQLインジェクション対策は可能だけど、criteriaAPIは学習コストが高い #JavaDayTokyo #jdt2016_2C

てんてん😇 @tenten0213

セッションIDはログイン時にリフレッシュする #jdt2016_2c

つりーべると犬 @tada_suzu

ログインに成功したらセッションIDをリフレッシュ #jdt2016_2C

つりーべると犬 @tada_suzu

セッションIDはクッキーのみに入れる＆セキュア属性をつける #jdt2016_2C

てんてん😇 @tenten0213

cookieにsecure属性付ける #jdt2016_2c

emag @emaggame

APサーバ側の設定をつい考えちゃうなあ #jdt2016_2C

つりーべると犬 @tada_suzu

自前ファイルラッパーは考えたことがなかった…検知対策に使えるし管理もしやすい。 #jdt2016_2C

つりーべると犬 @tada_suzu

外部リソースを使う時はinterfaceを挟むといい #jdt2016_2C

せち🔥🐈 @setys0

パス名チェックは、ラップした自前APIを使用する。その後java.io.*等をそのまま使っているところを検索して対策漏れをチェックする。 #JavaDayTokyo #jdt2016_2C

てんてん😇 @tenten0213

クリックジャッキング #jdt2016_2c

つりーべると犬 @tada_suzu

クリックジャッキング=SNSに限らず、意図しない投稿をさせる？ #jdt2016_2C

てんてん😇 @tenten0213

X-Frame-Optionsをつける。DENYよりはSAMEORIGINの方が使いやすいかも #jdt2016_2c

てんてん😇 @tenten0213

HTTPヘッダインジェクション #jdt2016_2c

てんてん😇 @tenten0213

自力でヘッダに書き出さない #jdt2016_2c

せち🔥🐈 @setys0

HTTPヘッダインジェクションはServletが対策済み #JavaDayTokyo #jdt2016_2C

てんてん😇 @tenten0213

メールヘッダインジェクション #jdt2016_2c

てんてん😇 @tenten0213

パラメータをヘッダにセットしない。またはセット前にチェックする。 #jdt2016_2c

てんてん😇 @tenten0213

X-Content-Type-Options:nosniffの対応、ここ1カ月くらいで入れた気がする #jdt2016_2c

つりーべると犬 @tada_suzu

後で調べる content-security-policy #jdt2016_2c