Javaによるセキュアコーディングの第一歩

@yoshitaro-yoyo 2023/01/28 参照から学ぶセキュアコーディング

ΤϯδχΞલ ೥݄d   ɹɹɹɹɹɹ   ೥݄d     ೥݄d
!ZPTIJUBSPZPZP   ༀہళ௕ɾྟচ޻ֶٕ࢜ɾͤͲΓɾεΫʔϧߨࢣ   େࡕͷडୗ։ൃاۀ   େࡕͷࣗࣾ։ൃͷ4&4෦໳   ۚ୔ͷ஍ۜࢠձࣾࣗࣾ։ൃاۀ   ΤϯδχΞͷྠɾژ౎ϓϩάϥϛϯάڭࣨӡӦϝϯόʔ झຯ   μϯεɾԻָɾόΠΫɾөըɾອըখઆɾྉཧɾΞʔτFUD yoshitaro

ෳ੡ʮγϟϩ΢ίϐʔͱσΟʔϓίϐʔʯ ผ໊ࢀর໰୊ʹ͍ͭͯ ෆมੑʢJNNVUBCMFʣ ෆมΦϒδΣΫτͷམͱ݀͠   ɹɹσΟϑΣϯγϒίϐʔ ৴པڥք 5SVTU#PVOEBSZ   参照から学ぶセキュアコーディング

ෳ੡ʮγϟϩ΢ίϐʔͱσΟʔϓίϐʔʯ

γϟϩ΢ίϐʔ͸ࢀরͷෳ੡   σΟʔϓίϐʔ͸࣮ମͷෳ੡ ෳ੡ͷ໾ׂͱͯ͠ɺ࣮ମͷෳ੡͕ٻΊΒΕ͍ͯΔɻ

γϟϩ΢ίϐʔ͸ɺ ࢀর ஋ ͷڞ༗Ͱ͢ ࢀরڞ༗໰୊ͷݪҼͰ͢ɻ

Date retirementDate = new Date(Date.parse("Tue 1 Nov 2016")); Date partyDate
= retirementDate; ϝϞϦ্Ͱ͸Կ͕ى͖͍ͯΔͷͰ͠ΐ͏͔ʁ

Date retirementDate = new Date(Date.parse("Tue 1 Nov 2016”)); Date partyDate
= retirementDate; 、⾔⼀時保存領域、展開必要。両者違、⼤。様⼤領域扱（Java）

σΟʔϓίϐʔ͸ɺ ࣮ମͷෳ੡Ͱ͢ ຊདྷෳ੡ͱ͸ͪ͜ΒͷҙຯΛࢦ͢΂͖ɻ

Date retirementDate = new Date(Date.parse("Tue 1 Nov 2016")); Date partyDate
= new Date(retirementDate.getTime()); σΟʔϓίϐʔͰ͸ɺෳ੡ݩͷ஋Λ༻͍ͯΠϯελϯεԽ Date retirementDate = new Date(Date.parse("Tue 1 Nov 2016")); Date partyDate = retirementDate; γϟϩ΢ίϐʔ͸͜Ε

new 演算⼦領域新展開特殊演算⼦ 1.
領域新領域確保 2. 格納値 3. 新領域参照値変数代⼊ Date retirementDate = new Date(Date.parse("Tue 1 Nov 2016")); Date partyDate = new Date(retirementDate.getTime());

ίϯϐϡʔλϝϞϦྖҬ͸04ͱݴޠͰγΣΞ ώʔϓྖҬʹ͸Πϯελϯε ϩʔΧϧม਺ͱ͔͸ελοΫ ෆมੑʹ΋ෳ੡ʹ΋छྨ͕͋ΓɺͦΕͧΕ۠ผ͕ॏཁ

ϓϦϛςΟϒܕ͸஋͕ͦͷ··ෳ੡͞ΕΔ   ɹˠελοΫྖҬ಺ʢσΟʔϓίϐʔʹࣅ͍ͯΔʣ ࢀরܕ͸ࢀরઌͷΞυϨε͕ෳ੡͞ΕΔ   ɹˠγϟϩ΢ίϐʔ    
˞4USJOHܕ͸ࢀরܕ͕ͩɺෆมΦϒδΣΫτͳͷͰ   ࠶୅ೖͷ౓ʹΠϯελϯε͕ੜ੒͞ΕΔ ࠶୅ೖ͞ΕΔσʔλͷܕ͕ ϓϦϛςΟϒܕ͔ࢀরܕ͔ʹΑͬͯڍಈ͕มΘΔ

ผ໊ࢀর໰୊ʹ͍ͭͯ

・⼆枚⽬ Date partyDate = retirementDate; 同参照値共有・三枚⽬ partyDate.setDate(5);
「共有状態意図変更」   Setter 様可変場合、発⽣問題「不注意」 Java・Ruby・Python・PHP 、参照複製明⽰的記述 OOP 起

·ͨɺ$ ͷߏ଄ମ͸ϓϦϛςΟϒܕͷͨΊɺ ෳ੡͢ΔͱৗʹผͷΠϯελϯε͕ੜ੒͞ΕΔ ͭ·Γ୅ೖ࣌ʹৗʹෳ੡͕ߦΘΕΔ

ผ໊ࢀর໰୊ͷຊ࣭͸ ʮڞ༗͞ΕͨΠϯελϯε͕ՄมΦϒδΣΫ τͷ৔߹ɺঢ়ଶมߋ͕ҙਤͤͣى͖͏Δʯ ͜ͱͰ͢ɻ ͔͜͜Βݟग़ͤΔղܾࡦ͸఺Ͱ͢ɻ

ෆมΦϒδΣΫτΛѻ͏΂͖ ୅ೖ࣌͸ৗʹෳ੡Λߦ͏΂͖ ෆมੑʹ΋ෳ੡ʹ΋छྨ͕͋ΓɺͦΕͧΕ۠ผ͕ॏཁ ෆมͰ͋Ε͹γϟϩ΢ίϐʔͰࢀর͕ڞ༗͞Εͯ΋໰୊ͳ͍ɻมߋͰ͖ͳ͍͔Βͩɻ มߋΛ๷͛ͳ͍ɾՄมΦϒδΣΫτ͔͠ѻ͑ͳ͍ͷͰ͋Ε͹ɺৗʹσΟʔϓίϐʔΛฦ͢

ෆมੑʢJNNVUBCMFʣ

ΦϒδΣΫτͷঢ়ଶΛมߋ͢ΔΞΫηαϝιουΛఏڙ͠ͳ͍ ܧঝͤ͞ͳ͍ʢΫϥεΛɹGJOBMɹʹ͢Δ͔ίϯετϥΫλΛɹQSJWBUFɹʹ͢Δʣ   ɹɹɹ୅ΘΓʹQVCMJDɹͰTUBUJDͳϑΝΫτϦϝιουΛఏڙ͢Δ ɹ͢΂ͯͷϑΟʔϧυΛɹGJOBMɹʹ͢Δ ɹ͢΂ͯͷϑΟʔϧυΛQSJWBUFʹ͢Δ ɹΫϥε͕อ࣋͢ΔϑΟʔϧυʹՄมΦϒδΣΫτ͕͋ͬͨ৔߹ɺ   ɹͦΕʹର͢Δಠ઎తΞΫηεΛอূ͢Δ

ෆมΦϒδΣΫτͷམͱ݀͠ σΟϑΣϯγϒίϐʔ

FYBNQMF FYBNQMF

৴པڥք 5SVTU#PVOEBSZ

ϓϩάϥϜʹҾ͔Εͨڥքઢ ɾҰํͰ͸ɺσʔλ͸৴པͰ͖ͳ͍ ɾଞํͰ͸ɺσʔλ͸৴པͰ͖Δ ͱ૝ఆ   ৴པͰ͖ͳ͍ଆ͔Βೖ͖ͬͯͨσʔλ͸ɺݕূʹύεɾ ແ֐Խ͠͸͡Ίͯɺ৴པͰ͖ΔଆʹҠ͢͜ͱ͕Ͱ͖Δɻ   ͭ·ΓϗϫΠτϦετܗࣜͰ҆શੑΛ୲อ͢Δɻ ৴པڥք
5SVTU#PVOEBSZ

఺ઢ͕৴པڥքઢ

ׂҎ্ͷιϑτ΢ΣΞηΩϡϦςΟ ໰୊͸ʮೖྗɾग़ྗʯͰൃੜ͍ͯ͠Δ ʮ৴པڥքઢ্ʯͰ๷ޚΛߦ͏ʮڥք๷ޚʯͷ֓೦͸ͱͯ΋ॏཁ

ೖྗͷόϦσʔγϣϯ   ৴པڥքΛӽ͑Δશͯͷσʔλ͕ೖྗͱͯ͠৴པͰ ͖Δೖྗʢଥ౰ͳೖྗʣ͔ݕূ͢Δ ग़ྗͷ׬શͳແ֐Խ   ৴པڥքΛӽ͑Δશͯͷग़ྗσʔλΛແ֐Խ͢Δ $&355PQ4FDVSF$PEJOH1SBDUJDFTͷʮҐʯͱʮҐʯ
$&35͸ถΧʔωΪʔϝϩϯେֶʹઃஔ͞ΕͨίϯϐϡʔληΩϡϦςΟରࡦΛߦ͏࿝ฮͷ૊৫

ϓϩάϥϜʹҾ͔Εͨڥքઢ ɾҰํͰ͸ɺσʔλ͸৴པͰ͖ͳ͍ ɾଞํͰ͸ɺσʔλ͸৴པͰ͖Δ ͱ૝ఆ   ৴པͰ͖ͳ͍ଆ͔Βೖ͖ͬͯͨσʔλ͸ɺݕূʹύε ͯ͠͸͡Ίͯɺ৴པͰ͖ΔଆʹҠ͢͜ͱ͕Ͱ͖Δɻ ৴པڥք 5SVTU#PVOEBSZ

ෳ੡ʮγϟϩ΢ίϐʔͱσΟʔϓίϐʔʯ γϟϩ΢ίϐʔ͸ࢀরͷෳ੡ɾσΟʔϓίϐʔ͸࣮ମͷෳ੡ ผ໊ࢀর໰୊ʹ͍ͭͯ ՄมΦϒδΣΫτͷࢀরڞ༗͕μϝ ෆมੑʢJNNVUBCMFʣ ࠷ۙ͸σϑΝΫτελϯμʔυ ෆมΦϒδΣΫτͷམͱ݀͠ ෆมΦϒδΣΫτʹՄมΦϒδΣΫτͷࢀরΛ౉͢ࡍ͸஫ҙ ෆมΦϒδΣΫτ͕ՄมΦϒδΣΫτͷࢀরΛฦ͢ࡍ͸஫ҙ ৴པڥք
5SVTU#PVOEBSZ ͜͜Ͱ֎ͱ಺Λ੾Γ෼͚ɻ͜͜Ͱ๷ޚ͢Δɻ಺ଆ͸਎಺ͷੈք まとめ

͝੩ௌ ͋Γ͕ͱ͏͍͟͝·ͨ͠

Javaによるセキュアコーディングの第一歩

Javaによるセキュアコーディングの第一歩

More Decks by よしたろう

Other Decks in Programming

Featured

Transcript