Parse.com を導入する際に気を付けること：セキュリティの甘さについてその２

そんなことないと思うけど

どうにゅうがふえるとねらわれるよねという話

parse.com を使っているサービスを探そう

ソースレベルで検索できる検索エンジンがある。Googleだとソースレベルで検索できないような感じ、できるのかな、よくわからない。

• meanpath - The Source Code Search Engine - http://goo.gl/7rOrLk
• NerdyData - A Search Engine for Source Code - http://goo.gl/WFPfY

ここで、ParseのJavascript初期化スクリプト "Parse.initialize(" で検索をかけると、いくつか見つかる。これで、アプリケーションIDとJavascript Keyを取得することができる。

parse.com を使っているアプリを探そう

逆コンパイルしたり、ルーターで監視したり、Wireshirk使ったり、とても簡単に見つけることが可能。

だいじなこと

• 個人情報関連をさらさないような設計
• Cloud Code を使って隠ぺいする方法を検討
• INSERT 時にACLを適切に設定
• Auditコードを別に用意してバッチで監視
• parse.com を使わない

あとがき

• サービス運営者は小心者であるべき
• グロースハッカーは消えるべき
• 他人のサイトのデータを勝手に消したり書き換えることは迷惑行為であり、場合によっては刑事責任に問われる可能性が。できるからと言ってやらないように。