堅牢なアプリケーション開発を目指して / First steps to build a robust and secure application

by Koichi Wada

Slide 1

Slide 1 text

堅牢なアプリケーション開発を目指して B2B SaaS Tech vol.2 避けては通れぬセキュリティ和田浩一 [email protected] 2019-07-31

Slide 2

Slide 2 text

登壇者紹介和田浩一弁護士ドットコム株式会社クラウドサインエンジニアチーム Tech Lead兼ラボコーディネーター [email protected] Twitter: @Koichi

Slide 3

Slide 3 text

カプラクラウドサイン公式キャラクターオスの若いヤギ白ヤギとして生まれたものの、書類を食べすぎたことが原因で体が黒くなってしまいました。おまけ

Slide 4

Slide 4 text

クラウドサインとは

Slide 5

Slide 5 text

クラウドで契約を簡単に 

Slide 6

Slide 6 text

No content

Slide 7

Slide 7 text

開発開始にあたって

Slide 8

Slide 8 text

Slide 9

Slide 9 text

開発において気をつけたこと

Slide 10

Slide 10 text

バグを少なくクラウドサイン公式キャラクター：カプラ

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

安心して使えるようにクラウドサイン公式キャラクター：カプラ

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

漏洩を防ぐクラウドサイン公式キャラクター：カプラ

Slide 17

Slide 17 text

Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 17 設計: 不要な情報が外に出にくくする・IDにUUID V4 ➞ 推測できないURLを構成する・受信側には期限付きの推測できないURLを発行する・ステータスコードは、400/404/500 だけ返す・APIの戻りデータも極力少なく・Passwordはもちろんハッシュ化する(bcrypt)

Slide 18

Slide 18 text

Slide 19

Slide 19 text

脆弱性を作り込まないクラウドサイン公式キャラクター：カプラ

Slide 20

Slide 20 text

Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 20 Escapeを忘れない HTMLはGoのhtml/templateで大丈夫 ● も消してくれちゃう jQuery.html() を使わない ● jQuery.text() ● 今後はVue.js を使うことで直接のDOM操作はしない SQLを極力書かない ● できるだけORMでやる ● どうしようもないときは、PreparedStatementを使う

Slide 21

Slide 21 text

Slide 22

Slide 22 text

最後に

Slide 23

Slide 23 text

We are Hiring! クラウドサイン公式キャラクター：カプラ一緒に世界を変えていく仲間を募集しています!

Slide 24

Slide 24 text

ご静聴ありがとうございましたクラウドサイン公式キャラクター：カプラ