第1回神泉セキュリティ勉強会資料

ECナビ 春山 征吾(@haruyama)

以下でWebシステム開発に関して疑問に思っている点を挙げていきます. プレゼンテーションではパスワード保存の部分のみとりあげます.

当日に向けてじわじわ書いていきます. プレゼンテーションで利用しない部分はちゃんとした記述をしないかもしれません.

疑問点を挙げるのでもやもやした感じになります

1.1以外はかなり適当です.

• 1. パスワード
  • 1.1. パスワード保存
    • 1.1.1. パスワード保存の常識(?)
    • 1.1.2. GNU/Linuxでのパスワードの保存法
    • 1.1.3. ハッシュとは
    • 1.1.4. saltとは
    • 1.1.5. 実際の処理
    • 1.1.6. stretchとは
    • 1.1.7. 実際の処理速度
    • 1.1.8. ハッシュ方式のリスク/stretchの効果
    • 1.1.9. なぜUnixではこうなったのか
    • 1.1.10. Webシステムではどうなのか
    • 1.1.11. 秘密の情報を用いる場合の手法
    • 1.1.12. (共通鍵)暗号
    • 1.1.13. ハッシュ+暗号
    • 1.1.14. 鍵付きハッシュ
    • 1.1.15. その他
    • 1.1.16. 参考文献
  • 1.2. パスワード管理
    • 1.2.1. ユーザによい管理をしてもらうためにサービス側でできること
    • 1.2.2. パスワードの文字種/長さの制限
  • 1.3. マスキングの基準
    • 1.3.1. マスキングのメリットはあるのか?
    • 1.3.2. 選択可能に?
  • 1.4. 秘密の質問
• 2. 個人情報に紐付くid
  • 2.1. 個人情報に紐付くidの利用
  • 2.2. 他者の個人情報に紐付くidを利用しなければならない場合
  • 2.3. 他者の個人情報に紐付くid相当の情報を提供する場合
    • 2.3.1. 例1: ゲームサイトにユーザidを提供
    • 2.3.2. 例2: ASP(アフィリエイト・サービス・プロバイダ)にユーザidを提供
• 3. 暗号
  • 3.1. ブロック暗号の選択肢
  • 3.2. 暗号モードの選択肢
• 4. その他
  • 4.1. セッション終了時のCookieの削除の必要性
  • 4.2. DDoS対策
  • 4.3. 個人情報の保護などの用いる鍵の管理方法
  • 4.4. 有償セキュリティスキャナの費用対効果
  • 4.5. 社内ネットワークの問題
    • 4.5.1. 社内CA
    • 4.5.2. 社内シングルサインオン
  • 4.6. ソーシャルグラフを利用したサービスのリスク
  • 4.7. SSD,メモリデバイスでの安全な削除