新卒研究員の研究開発 〜セキュアなWebサービスを目指して〜

けーすた #5 - Case Study ! Lightning Talk - @北九州
（https://casestudy.connpass.com/event/95140/）

Transcript

1. ʙηΩϡΞͳWebαʔϏεΛ໨ࢦͯ͠ʙ ໺ଜ޸໋ / Pepabo R&D Institute, GMO Pepabo, Inc. 2018.08.29 ͚ʔͨ͢#5 @fabbit๺۝भ ৽ଔݚڀһͷݚڀ։ൃ
2. ໺ଜ ޸໋ / @Komei5296 2 Komei Nomura ݚڀ։ൃνʔϜ ϖύϘݚڀॴ ݚڀһ
3. • ๺۝भࢢཱେֶ ৘ใ޻ֶઐ߈ म࢜՝ఔΛଔۀ • େֶͰ͸ɺूੵճ࿏ͷࣗಈઃܭ΍ϚϧνϓϩηοαγεςϜͷεέδϡʔϦ ϯάʹֶ͍ͭͯश • 2017೥ʹGMOϖύϘʹ৽ଔೖࣾ • 2018೥ʹϖύϘݚڀॴʹ഑ଐ • ݱࡏ͸WebαʔϏεͷηΩϡϦςΟͷݚڀ 3 ུྺ
4. 1. ϖύϘݚڀॴͷϛογϣϯ 2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ 4 ໨࣍
5. 1. ϖύϘݚڀॴͷϛογϣϯ
6. 6 ϖύϘݚڀॴͷϛογϣϯ ΞΧσϛοΫͳਫ४ʹ͓͚Δ৽نੑɾ༗ޮੑɾ৴པੑΛ௥ٻ ͢ΔݚڀΛߦ͏ͱͱ΋ʹɺݚڀ։ൃٕͨ͠ज़Λ࣮ࡍͷγες Ϝͱ࣮ͯ͠૷ɾఏڙ͢Δ͜ͱΛ௨ͯ͠ɺࣄۀͷ੒௕ʹߩݙ ϖύݚʹ͍ͭͯɿIUUQTSBOEQFQBCPDPN
7. 7 ϖύݚͷϫʔΫϑϩʔ֓ཁ ݚڀ ։ൃ αʔϏεӡ༻ αʔϏεʹಋೖ ݚڀ੒ՌΛऔΓࠐΉ ՝୊ൃݟ αʔϏεͷ՝୊ղܾΛݚڀʹΑͬͯߦ͍ɺࣄۀ੒௕ʹߩݙ͢Δ
8. 2. WebαʔϏεͷηΩϡϦςΟʹؔ͢Δݚڀ
9. • WebΞϓϦέʔγϣϯͷ੬ऑੑΛར༻ͨ͠߈ܸ͸ޙΛઈͨͳ͍ • ߈ܸʹΑͬͯσʔλϕʔεͷอ༗͢Δػີ৘ใ͕࿙Ӯ͢Δඃ֐͕ൃੜ • ߈ܸͷྫɿSQLΠϯδΣΫγϣϯ • ෆਖ਼ΫΤϦ͸σʔλϕʔεͰ࣮ߦ͞ΕΔલʹݕ஌͢Δඞཁ͕͋Δ 9 എܠ 8FCΞϓϦ σʔλϕʔε ߈ܸ ػີ৘ใΛ઄औ 8FCαʔϏε ੬ऑੑ ෆਖ਼ΫΤϦൃߦ σʔλฦ٫
10. • WebΞϓϦ͕ൃߦ͢ΔΫΤϦͷϗϫΠτϦετΛखಈͰ࡞੒ • ϗϫΠτϦετʹొ࿥͞Ε͍ͯͳ͍ΫΤϦΛݕ஌ • ՝୊ • େن໛ͳWebΞϓϦͰ͸ൃߦΫΤϦ਺͕๲େ • WebΞϓϦͷվमʹΑΓൃߦΫΤϦ͕มԽ • ϗϫΠτϦετ࡞੒ͷࣗಈԽ͕ඞཁͱͳΔ 10 ैདྷͷෆਖ਼ΫΤϦݕ஌ํ๏ ӡ༻ऀ΁ͷෛ୲͕େ͖͍
11. • WebΞϓϦՔಇ࣌ʹൃߦ͞ΕΔΫΤϦΛऩूͯ͠࡞੒ • Ϧετ࡞੒ʹ͕͔͔࣌ؒΓɺWebΞϓϦՔಇޙɺଈ࣌ʹݕ஌͕Ͱ͖ͳ͍ • WebΞϓϦͷιʔείʔυΛղੳͯ͠࡞੒ • WebΞϓϦͷ࣮૷ʹରԠͨ͠ղੳث͕ඞཁͱͳΓɺ൚༻తʹར༻Ͱ͖ͳ͍ 11 ϗϫΠτϦετࣗಈ࡞੒ͱ՝୊
12. • WebΞϓϦέʔγϣϯςετΛ༻͍ͨΫΤϦͷϗϫΠτϦετࣗಈ࡞੒ख๏ • ࣗಈςετΛ༻͍ͨ։ൃϓϩηεʹϗϫΠτϦετ࡞੒Λ૊ΈࠐΉ • WebΞϓϦՔಇޙɺଈ࣌ʹݕ஌Մೳ • σʔλϕʔεϓϩΩγʹΑΔςετ࣌ʹൃߦ͞ΕͨΫΤϦऩू • WebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍ 12 ఏҊख๏
13. 13 ࣗಈςετΛ༻͍ͨ։ൃϓϩηε ։ൃ ςετίʔυهड़ αʔόʹ഑ஔ ࣗಈςετ /P :FT ӡ༻։࢝ ςετ੒ޭ w ৽ػೳͷ௥Ճ
    w طଘػೳͷमਖ਼ w 8FCΞϓϦͷಈ࡞खॱͱಈ࡞݁ՌΛهड़ w ςετίʔυΛݩʹࣗಈͰςετΛ࣮ߦ
    w 8FCΞϓϦͷಈ࡞͕࢓༷௨Γ͔Λ֬ೝ
    w ςετࣦഊɿ8FCΞϓϦͷιʔείʔυ΋͘͠͸
 ɹɹɹɹɹɹςετίʔυʹ໰୊͋Γ
    w ςετ੒ޭɿ8FCΞϓϦ͕࢓༷௨Γʹಈ࡞ w ৽͍͠8FCΞϓϦͷιʔείʔυΛαʔόʹ഑ஔ w ৽͍͠8FCΞϓϦͷӡ༻Λ։࢝
14. 14 ։ൃ ςετίʔυهड़ αʔόʹ഑ஔ ࣗಈςετ
    ʴ
    ϗϫΠτϦετ࡞੒ /P :FT ӡ༻։࢝ ςετ੒ޭ w ࣗಈςετ࣌ʹൃߦ͞ΕͨΫΤϦ͔ΒϗϫΠτϦετ Λࣗಈ࡞੒ w ҎԼΛͦΕͧΕαʔόʹ഑ஔ
    w ৽͍͠8FCΞϓϦͷιʔείʔυ
    w ৽͍͠8FCΞϓϦͷΫΤϦͷϗϫΠτϦετ ։ൃϓϩηεʹ͓͚ΔఏҊख๏ͷҐஔ෇͚ w ։ൃϓϩηεͷதͰϗϫΠτϦετΛ࡞੒
    w 8FCΞϓϦՔಈ࣌ʹ͸ෆਖ਼ΫΤϦΛݕ஌Ͱ͖Δঢ়ଶ
15. 15 ఏҊख๏ͷઃܭ σʔλϕʔε σʔλϕʔεϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ • ςετ࣌ʹ͸ൃߦ͞ΕΔΫΤϦΛσʔλϕʔεϓϩΩγͰऩूͯ͠ϗϫΠτϦε τΛ࡞੒ɹˠɹWebΞϓϦͷ࣮૷ʹґଘ͠ͳ͍ • WebΞϓϦՔಇ࣌͸σʔλϕʔεϓϩΩγͰݕ஌
16. 16 ςετ࣌ͷϗϫΠτϦετ࡞੒ϑϩʔ σʔλϕʔε σʔλϕʔε
 ϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JE 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JE 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JEʁ ΫΤϦΛൃߦ ΫΤϦ͸ͦͷ··σʔλϕʔε΁ ςετऴྃޙΫΤϦͷϦςϥϧΛ
 Τεέʔϓ ϗϫΠτϦετʹొ࿥ ΫΤϦΛऩू
17. 17 WebΞϓϦՔಇ࣌ͷෆਖ਼ΫΤϦݕ஌ϑϩʔ σʔλϕʔε σʔλϕʔε
 ϓϩΩγ 8FCΞϓϦ ϗϫΠτϦετ 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JE 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JE 4&-&$5
    
    '30.
    VTFST
    
    8)&3&
    JEʁ ΫΤϦͷϦςϥϧΛΤεέʔϓ ϗϫΠτϦετͱೖྗΛর߹ ΫΤϦΛൃߦ ΫΤϦΛड͚औΔ র߹݁ՌΛฦ٫ ෆਖ਼ͷ৔߹͸։ൃऀʹ௨஌
18. • ςετ࣌ͷϗϫΠτϦετ࡞੒͸࣮૷ࡁΈ • CIʹ͸Drone.ioɺσʔλϕʔεϓϩΩγʹ͸ProxySQLΛར༻ • WebΞϓϦՔಇ࣌ͷݕ஌͸࣮૷్த • ࠓޙ͸࣮૷ΛਐΊͯɺෆਖ਼ΫΤϦͷݕ஌ਫ਼౓΍WebΞϓϦͱσʔλϕʔεؒͷ ϨΠςϯγʔͷݕূΛਐΊ͍͖͍ͯͨ 18 ࣮૷ͷਐḿͱࠓޙ
19. ݚڀһɺੵۃతʹืूதʂ http://rand.pepabo.com/