web セキュリティ対策について、忘れずにメッモします。
出力に関するセキュリティ対策
SQLインジェクション
● 静的プレースホルダ:「準備された文(Prepared Statement)」, データベースエンジン側がバインド処理します。
● 動的プレースホルダ : パラメータのバインド処理はアプリケーション側のライブラリ内で実行する。セキュリティの観点では、プレースホルダを用いたバインド処理によってパラメータの値の埋め込み。
● 他の: ストアドプロシージャ, すべてのユーザからの入力をエスケープ
クロスサイト・スクリプティング(xss)
● レスポンス内でHTMLタグなど要素をエスケープしてまたはダブルクォートで囲む、ファイルをダウンロードさせないように。
● HTTP レスポンスヘッダ: Content- typeに文字コード(charset) を指定する。
コマンドインジェクション
パラメータによって悪意なコマンドを実行する。
● OSコマンドがある関数を使わないことをチェックする。
メールヘッダ・インジェクション
HTTPヘッダ・インジェクション
データ
パスワード やクレジットカード番号、個人情報、プライ バシー情報等は出力に不必要な重要情報が出ないか、キャッシュされないか、ソルトのハッシュ化し保存するか、input要素のautocomplete属性に”off”を 指定するか、オートコンプリートを無効化するか。
パラメータの取り扱いはGETメソッドを用いず,必ずPOSTで送信する。
ログ
セキュリティインシデント発生時調査が行います。しかし、情報が詳しいすぎるとログファイルはセキュリティー問題になってしまうこともそれがあります。
フィッシング
入力に関するセキュリティ対策
入力チェック
不正な文字エンコーディングをエラーにする。
力値チェックは必ずサーバ側でチェックする。
アップロードファイルの拡張子、サイズ、ヘッダ情報をチェックする。
処理（ロージク）に関するセキュリティ対策
クロスサイト・リクエスト・フォージェリ(CSRF)
Cookie
Basic認証
クライアント認証
POSTメソッドでアクセスする
秘密情報にhiddenパラメータ」を挿入する。
ケースよりユーザを再認証する
セッション管理
セッションidはユーザより区別する。
セッションidの長さは128bit以上指定する。
セッションはPOSTでhiddenパラメータに指定する。
要件よりセッション有効期限を設定する。
セッションが終了するとき、ログアウトを提供する。
アクセス制御
機能により最小にアクセス制御を設定する。
情報の暗号
暗号アルゴリズムと鍵長を利用する。
脆弱性
プログラム言語より脆弱性があるコードを利用しないように。
汎用ライブラリを利用する場合は脆弱性をチェックする。
参考
安全なSQLの呼び出し方
The Web Application Hacker's Handbook
安全なWebアプリケーションの作り方