Twilio と Web アプリ
連携におけるセキュリティ

Transcript

1. ɹ@shin1x1 2016/02/27 TwilioJP-UG大阪＆AWScean合同勉強会 5XJMJP
   ͱ
   8FC
   ΞϓϦ
 ࿈ܞʹ͓͚ΔηΩϡϦςΟ

2. https://github.com/shin1x1/twilio-api-security-demo

3. 5XJMJPͱ8FCΞϓϦͷ࿈ܞ

4. αϯϓϧΞϓϦέʔγϣϯ D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY w
   ձһ޲͚ϙΠϯτ؅ཧγεςϜ
   w
   ి࿩Λ͔͚ΔͱݱࡏͷϙΠϯτ͕ฉ͚Δ
   w
   ి࿩൪߸Ͱೝূ

5. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ి࿩Λ͔͚Δ 図 図 - twilio 図 図 -

   twilio Twilio Webαʔό ձһ YYYYYYYY

6. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ి࿩൪߸͕ૹΒΕΔ 図 図 - twilio 図 図 -

   twilio )551ϦΫΤετ
 'SPN
   YYYYYYYY
   ʢൃ৴ݩి࿩൪߸ʣ

7. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ձһೝূ 図 図 - twilio 図 図 -

   twilio YYYYYY
   Ͱ
   %#
   Λࢀরͯ͠
   ձһΛಛఆ͢Δ

8. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ৘ใΛ9.-Ͱฦ͢ 図 図 - twilio 図 図 -

   twilio 5XJ.-ʢ9.-ʣΛฦ͢

9. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ৘ใΛ5XJ.-Ͱฦ͢ 図 図 - twilio 図 図 -

   twilio 5XJ.-ʢ9.-ʣΛฦ͢  YNM
   WFSTJPO
   FODPEJOH65' 
   3FTQPOTF
   
   
   
   
   4BZ
   WPJDFXPNBO
   MBOHVBHFKB+1

   
   
   
   
   
   
   
   ླ໦͞ΜͷϙΠϯτ͸
   
   ϙΠϯτͰ͢ɻ
   
   
   
   4BZ
   3FTQPOTF

10. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY Ի੠Λྲྀ͢ 図 図 - twilio 図 図 -

    twilio Ի੠࠶ੜ

11. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY σϞ

12. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ى͜Γ͏Δ໰୊

13. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY )551ͷੈք 図 図 - twilio 図 図 -

    twilio Twilio Webαʔό ձһ

14. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 -

    twilio ి࿩൪߸Λ 1045

15. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 -

    twilio 5XJ.-Λ औಘ

16. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 -

    twilio Twilio Webαʔό ձһ 
    DVSM
    E
    'SPN#

    
    
    
    
    
    
    
    
    
    
    
    
    
    IUUQTFYBNQMFDPNBQJDBMMJOH
     YNM
    WFSTJPO
    FODPEJOH65' 
    3FTQPOTF
    
    
    
    
    4BZ
    WPJDFXPNBO
    MBOHVBHFKB+1

    
    
    
    
    
    
    
    ాத͞ΜͷϙΠϯτ͸
    
    ϙΠϯτͰ͢ɻ
    
    
    
    4BZ
    3FTQPOTF

17. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 5XJMJP
    ΛِͬͨϦΫΤετ wِ૷ͨ͠ϦΫΤετΛ8FCΞϓϦʹૹ৴
    w৘ใऔಘɺૢ࡞ͳͲͷෆਖ਼ར༻ͷՄೳੑ

18. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ରࡦ

19. ِ૷ϦΫΤετରࡦ D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ܦ࿏ͷ҉߸Խ
    
    ௨৴ݩΛ੍ݶ
    
    ϦΫΤετΛݕূ

20. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ܦ࿏ͷ҉߸Խ w
    )5514
    Λར༻͢Δ
    w
    ࣗݾॺ໊ͷূ໌ॻ͸
    /(
    w
    5-4
    Λར༻ʢ44-W
    ͸ɺഇࢭ༧ఆʣ

21. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 8FCΞϓϦέʔγϣϯͷΤϯυϙΠϯτ IUUQT
    ʹ͢Δ

22. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ݩΛ੍ݶ w
    )551
    #BTJDೝূ
    
    %JHFTUೝূ
    w
    ϢʔβɺύεϫʔυΛ
    63-
    ʹؚΊΔ
    w
    IUUQTVTFSQBTT!FYBNQMFDPN

23. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY *1ΞυϨεʹΑΔ੍ݶ͸ʁ https://www.twilio.com/help/faq/twilio-basics/which-ip-addresses-will-twilios-requests-come- from w
    5XJMJP
    ͷૹ৴ݩ
    *1
    ΞυϨε͸ඇެ։
    w
    ୅ΘΓʹϦΫΤετͷݕূΛߦ͏
    w
    Ͳ͏ͯ͠΋ඞཁͳΒ૬ஊ

24. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ϦΫΤετͷݕূ ɾ5XJMJP
    ͔ΒͷϦΫΤετͰ͋Δ͜ͱΛ֬ೝ
    w
    ଥ౰Ͱ͋Ε͹ॲཧΛ࣮ߦ
    w
    ͦ͏Ͱͳ͚Ε͹ॲཧΛதஅʢΤϥʔʣ

25. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY )."$4)"ॺ໊ʹΑΔݕূ ɾ
    95XJMJP4JHOBUVSFϔομ
    w
    ॴఆͷΞϧΰϦζϜͰॺ໊Λࢉग़
    w
    ্هɺ̎ͭΛൺֱͯ͠߹க͢Ε͹
    PL

26. 95XJMJP4JHOBUVSFϔομ 95XJMJP4JHOBUVSF
    TOEGBQB2 N11;6MO-L)X
    

27. ॺ໊ࢉग़ ɾ63-
    
    IUUQTFYBNQMFDPNDBMMJOH
    ɾ1045ύϥϝʔλʢΩʔͰιʔτʣ

    
    
    ,FZWBMVF
    
    
    
    ,FZWBMVF
    
    
    
    'SPN  IUUQTFYBNQMFDPNDBMMJOH
 'SPN ,FZWBMVF,FZWBMVF

28. ॺ໊ࢉग़ ɾ"VUI5PLFOΛΩʔʹͯ͠ɺ)."$4)"ॺ໊
    ɾCBTFͰΤϯίʔυ TOEGBQB2 N11;6MO-L)X IUUQTFYBNQMFDPNDBMMJOH
 ,FZWBMVF,FZWBMVF'SPN 

29. ॺ໊͕Ұக͢Δ͔ ੜ੒ͨ͠ॺ໊
    
    
    
    
    
    
    
    
    
    TOEGBQB2 N11;6MO-L)X 95XJMJP4JHOBUVSF
    TOEGBQB2 N11;6MO-L)X
    ߹க͢ΔͷͰɺ5XJMJP͔ΒͷϦΫΤετͱΈͳ͢
    

30. UXJMJPTEL
    ʹΑΔݕূ $validator = new Services_Twilio_RequestValidator($authToken);
 
 // ϔομ͔Βॺ໊औಘ $signature =

    $request->header('X-Twilio-Signature');
 
 // URL औಘ Request::setTrustedProxies([$request->getClientIp()]);
 $url = $request->getUri();
 
 // POST ύϥϝʔλऔಘ $postParameters = $request->input();
 
 // ॺ໊ݕূ if (!$validator->validate($signature, $url, $postParameters)) {
 // OK
 } else {
 // NG
 }

31. ·ͱΊ D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY w5XJMJP
    ͱ
    8FC
    ΞϓϦέʔγϣϯ͸
 )551 4
    Ͱ࿈ܞ
    wِ૷ϦΫΤετ͕ૹ৴͞ΕΔ͜ͱΛҙࣝ
    w5XJMJP
    ެࣜυΩϡϝϯτΛࢀߟʹ
    https://jp.twilio.com/docs/api/security