2014/01/29(#html5j)第44回HTML5とか勉強会（HTML5とセキュリティ

2^2+=9 @Tsuji_Takuya

今日は #html5j に来てる。

wakasa masao @wks

機材設定が遅れて配信開始が遅れました。失礼しました。配信を開始しました。 http://t.co/qzBvTzZrkz #html5j

拡大

Toru Yoshikawa @yoshikawa_t

これですねー http://t.co/vCmyzGg7aC #html5j

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) 赤く表示してるものを中心に解説していただけるらしい

拡大

【てと】 @shooskay

HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書 http://t.co/pGpHwzcIYz @jpcert これだね ＃html5j

kyo_ago @kyo_ago

そういえば、「XHRでファイルアップできる」って調査報告書にあったっけ？ #html5j

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) 非同期通信をつかったセキュリティの話） クロスオリジン：昔は発行されない HTML5J：クロスオリジンが可能になった（鯖側で許可していなくても送信可能）

拡大

カゲヤマテツヤ @t_kagecchi

今日のhtml5とか勉強会の配信はこちら。#html5j http://t.co/VGO48O3900 http://t.co/JJd0L6Etk9

拡大

azu @azu_re

HTML5(XHR Lv2)からクロスオリジンに対応したことにより発生するようになった脆弱性の話 #html5j

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) リクエスト：Origin レスポンス :Access-allow-Origin という形で返却

拡大

Yusi @yusi00

#html5j 本日の第44回html5とか勉強会の受付を閉じますので遅れて来る方はこちらのアカウントまで連絡ください。

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) http;//example.com/#/XXX.html # 以降が別ドメインのhtmlを参照 のような形で使える

拡大

Teruichi @teruichi81

第44回 html5とか勉強会 の YouTube Live を視聴中。本日のテーマはhtml5とセキュリティ。 https://t.co/hyPlDKH91T #html5j

html5j @html5j

今から始めるHTML5セキュリティ（一般社団法人JPCERTコーディネーションセンター　松本悦宜さん） を配信中です！ http://t.co/F5zQDXNcO5 #html5j

拡大

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) 対策） 　# 以下のURLをそのままリダイレクトしない ＝＞ ホワイトリストを作ってURLをチェックを行う

拡大

Takuo Suzuki @taquo

ライブ配信のURLはこちらですね。 http://t.co/JSIwp3FvAA #html5j

拡大

Yosuke HASEGAWA @hasegawayosuke

iframe sandbox、動きがマニアックで面白いよね。 #html5j

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) HTMLの新属性に関して） video、audioタグ・・ onerror属性にJSを紛れ込ませられる buttonタグ ・・ formation/autofocus 属性にJS

拡大

Teppei Sato @teppeis

input type=emailの仕様って決まってるのかな。 #html5j

坂本寛 @KanSAKAMOTO

体調がすぐれないので帰宅してオンラインhttp://t.co/F6kHvSoS4c で参加中 #html5j

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) emailタグに関して ＝＞emailタグをtextタグに変更 鯖側でチェックしないとクライアント側で書き換えて送信等が出来てしまう （クライアントレイヤーで外せてしまうというお話なのかな？

拡大

2^2+=9 @Tsuji_Takuya

<input type = email> はインスペクターで変えてしまうと、バリデーションがかからないので、サーバー側でのバリデーションが必要。 #html5j

azu @azu_re

CSPー #html5j

Teppei Sato @teppeis

おお、正規表現付きでやさしい #html5j RT @hasegawayosuke: @teppeis http://t.co/DynKlky112

close_yutori @kimukou2628

(#html5j ust at http://t.co/BStngqZJZK ) Content-Security-Policy) コレを設定するとクロスサイトスクリプティング攻撃の被害を最小限にすることも可能 とのお話

拡大