新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

Ec3fcf78fa2ad21dcc48478df80e0dc4?s=47 Komei Nomura
August 29, 2018

新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

けーすた #5 - Case Study ! Lightning Talk - @北九州
https://casestudy.connpass.com/event/95140/

Ec3fcf78fa2ad21dcc48478df80e0dc4?s=128

Komei Nomura

August 29, 2018
Tweet

Transcript

  1. ʙηΩϡΞͳWebαʔϏεΛ໨ࢦͯ͠ʙ ໺ଜ޸໋ / Pepabo R&D Institute, GMO Pepabo, Inc. 2018.08.29

    ͚ʔͨ͢#5 @fabbit๺۝भ ৽ଔݚڀһͷݚڀ։ൃ
  2. ໺ଜ ޸໋ / @Komei5296 2 Komei Nomura ݚڀ։ൃνʔϜ ϖύϘݚڀॴ ݚڀһ

  3. • ๺۝भࢢཱେֶ ৘ใ޻ֶઐ߈ म࢜՝ఔΛଔۀ • େֶͰ͸ɺूੵճ࿏ͷࣗಈઃܭ΍ϚϧνϓϩηοαγεςϜͷεέδϡʔϦ ϯάʹֶ͍ͭͯश • 2017೥ʹGMOϖύϘʹ৽ଔೖࣾ •

    2018೥ʹϖύϘݚڀॴʹ഑ଐ • ݱࡏ͸WebαʔϏεͷηΩϡϦςΟͷݚڀ 3 ུྺ
  4. 1. ϖύϘݚڀॴͷϛογϣϯ 2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ 4 ໨࣍

  5. 1. ϖύϘݚڀॴͷϛογϣϯ

  6. 6 ϖύϘݚڀॴͷϛογϣϯ ΞΧσϛοΫͳਫ४ʹ͓͚Δ৽نੑɾ༗ޮੑɾ৴པੑΛ௥ٻ ͢ΔݚڀΛߦ͏ͱͱ΋ʹɺݚڀ։ൃٕͨ͠ज़Λ࣮ࡍͷγες Ϝͱ࣮ͯ͠૷ɾఏڙ͢Δ͜ͱΛ௨ͯ͠ɺࣄۀͷ੒௕ʹߩݙ ϖύݚʹ͍ͭͯɿIUUQTSBOEQFQBCPDPN

  7. 7 ϖύݚͷϫʔΫϑϩʔ֓ཁ ݚڀ ։ൃ αʔϏεӡ༻ αʔϏεʹಋೖ ݚڀ੒ՌΛऔΓࠐΉ ՝୊ൃݟ αʔϏεͷ՝୊ղܾΛݚڀʹΑͬͯߦ͍ɺࣄۀ੒௕ʹߩݙ͢Δ

  8. 2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ

  9. • WebΞϓϦέʔγϣϯͷ੬ऑੑΛར༻ͨ͠߈ܸ͸ޙΛઈͨͳ͍ • ߈ܸʹΑͬͯσʔλϕʔεͷอ༗͢Δػີ৘ใ͕࿙Ӯ͢Δඃ֐͕ൃੜ • ߈ܸͷྫɿSQLΠϯδΣΫγϣϯ • ෆਖ਼ΫΤϦ͸σʔλϕʔεͰ࣮ߦ͞ΕΔલʹݕ஌͢Δඞཁ͕͋Δ 9 എܠ

    8FCΞϓϦ σʔλϕʔε ߈ܸ ػີ৘ใΛ઄औ 8FCαʔϏε ੬ऑੑ ෆਖ਼ΫΤϦൃߦ σʔλฦ٫
  10. • WebΞϓϦ͕ൃߦ͢ΔΫΤϦͷϗϫΠτϦετΛखಈͰ࡞੒ • ϗϫΠτϦετʹొ࿥͞Ε͍ͯͳ͍ΫΤϦΛݕ஌ • ՝୊ • େن໛ͳWebΞϓϦͰ͸ൃߦΫΤϦ਺͕๲େ • WebΞϓϦͷվमʹΑΓൃߦΫΤϦ͕มԽ

    • ϗϫΠτϦετ࡞੒ͷࣗಈԽ͕ඞཁͱͳΔ 10 ैདྷͷෆਖ਼ΫΤϦݕ஌ํ๏ ӡ༻ऀ΁ͷෛ୲͕େ͖͍
  11. • WebΞϓϦՔಇ࣌ʹൃߦ͞ΕΔΫΤϦΛऩूͯ͠࡞੒ • Ϧετ࡞੒ʹ͕͔͔࣌ؒΓɺWebΞϓϦՔಇޙɺଈ࣌ʹݕ஌͕Ͱ͖ͳ͍ • WebΞϓϦͷιʔείʔυΛղੳͯ͠࡞੒ • WebΞϓϦͷ࣮૷ʹରԠͨ͠ղੳث͕ඞཁͱͳΓɺ൚༻తʹར༻Ͱ͖ͳ͍ 11 ϗϫΠτϦετࣗಈ࡞੒ͱ՝୊

  12. • WebΞϓϦέʔγϣϯςετΛ༻͍ͨΫΤϦͷϗϫΠτϦετࣗಈ࡞੒ख๏ • ࣗಈςετΛ༻͍ͨ։ൃϓϩηεʹϗϫΠτϦετ࡞੒Λ૊ΈࠐΉ • WebΞϓϦՔಇޙɺଈ࣌ʹݕ஌Մೳ • σʔλϕʔεϓϩΩγʹΑΔςετ࣌ʹൃߦ͞ΕͨΫΤϦऩू • WebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍

    12 ఏҊख๏
  13. 13 ࣗಈςετΛ༻͍ͨ։ൃϓϩηε ։ൃ ςετίʔυهड़ αʔόʹ഑ஔ ࣗಈςετ /P :FT ӡ༻։࢝ ςετ੒ޭ

    w ৽ػೳͷ௥Ճ w طଘػೳͷमਖ਼ w 8FCΞϓϦͷಈ࡞खॱͱಈ࡞݁ՌΛهड़ w ςετίʔυΛݩʹࣗಈͰςετΛ࣮ߦ w 8FCΞϓϦͷಈ࡞͕࢓༷௨Γ͔Λ֬ೝ w ςετࣦഊɿ8FCΞϓϦͷιʔείʔυ΋͘͠͸
 ɹɹɹɹɹɹςετίʔυʹ໰୊͋Γ w ςετ੒ޭɿ8FCΞϓϦ͕࢓༷௨Γʹಈ࡞ w ৽͍͠8FCΞϓϦͷιʔείʔυΛαʔόʹ഑ஔ w ৽͍͠8FCΞϓϦͷӡ༻Λ։࢝
  14. 14 ։ൃ ςετίʔυهड़ αʔόʹ഑ஔ ࣗಈςετ ʴ ϗϫΠτϦετ࡞੒ /P :FT ӡ༻։࢝

    ςετ੒ޭ w ࣗಈςετ࣌ʹൃߦ͞ΕͨΫΤϦ͔ΒϗϫΠτϦετ Λࣗಈ࡞੒ w ҎԼΛͦΕͧΕαʔόʹ഑ஔ w ৽͍͠8FCΞϓϦͷιʔείʔυ w ৽͍͠8FCΞϓϦͷΫΤϦͷϗϫΠτϦετ ։ൃϓϩηεʹ͓͚ΔఏҊख๏ͷҐஔ෇͚ w ։ൃϓϩηεͷதͰϗϫΠτϦετΛ࡞੒ w 8FCΞϓϦՔಈ࣌ʹ͸ෆਖ਼ΫΤϦΛݕ஌Ͱ͖Δঢ়ଶ
  15. 15 ఏҊख๏ͷઃܭ σʔλϕʔε σʔλϕʔεϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ • ςετ࣌ʹ͸ൃߦ͞ΕΔΫΤϦΛσʔλϕʔεϓϩΩγͰऩूͯ͠ϗϫΠτϦε τΛ࡞੒ɹˠɹWebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍ •

    WebΞϓϦՔಇ࣌͸σʔλϕʔεϓϩΩγͰݕ஌
  16. 16 ςετ࣌ͷϗϫΠτϦετ࡞੒ϑϩʔ σʔλϕʔε σʔλϕʔε
 ϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ 4&-&$5 '30. VTFST

    8)&3&JE 4&-&$5 '30. VTFST 8)&3&JE 4&-&$5 '30. VTFST 8)&3&JEʁ ΫΤϦΛൃߦ ΫΤϦ͸ͦͷ··σʔλϕʔε΁ ςετऴྃޙΫΤϦͷϦςϥϧΛ
 Τεέʔϓ ϗϫΠτϦετʹొ࿥ ΫΤϦΛऩू
  17. 17 WebΞϓϦՔಇ࣌ͷෆਖ਼ΫΤϦݕ஌ϑϩʔ σʔλϕʔε σʔλϕʔε
 ϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ 4&-&$5 '30. VTFST

    8)&3&JE 4&-&$5 '30. VTFST 8)&3&JE 4&-&$5 '30. VTFST 8)&3&JEʁ ΫΤϦͷϦςϥϧΛΤεέʔϓ ϗϫΠτϦετͱೖྗΛর߹ ΫΤϦΛൃߦ ΫΤϦΛड͚औΔ র߹݁ՌΛฦ٫ ෆਖ਼ͷ৔߹͸։ൃऀʹ௨஌
  18. • ςετ࣌ͷϗϫΠτϦετ࡞੒͸࣮૷ࡁΈ • CIʹ͸Drone.ioɺσʔλϕʔεϓϩΩγʹ͸ProxySQLΛར༻ • WebΞϓϦՔಇ࣌ͷݕ஌͸࣮૷్த • ࠓޙ͸࣮૷ΛਐΊͯɺෆਖ਼ΫΤϦͷݕ஌ਫ਼౓΍WebΞϓϦͱσʔλϕʔεؒͷ ϨΠςϯγʔͷݕূΛਐΊ͍͖͍ͯͨ 18

    ࣮૷ͷਐḿͱࠓޙ
  19. ݚڀһɺੵۃతʹืूதʂ http://rand.pepabo.com/