ブラウザと資料に関するindicationのブックマーク (4)
-
-
7月中旬からEdgeのセキュリティの仕事を始めて、各ブラウザごとに面白いセキュリティの対策をしていることを学んだのでまとめてみる。ちなみに、僕が担当しているのはSOPバイパスなどのデザインレベルのバグですが、最近のブラウザ セキュリティで各社アツいのは﹁メモリ破壊を使った攻撃を設計レベルでどの様に悪用出来なくするか﹂という点なのでそこをまとめます。専門ではないので広く浅く︵笑︶ Chrome Chromeはブラウザのサンドボックスに力を入れているブラウザです。Chromeの報奨金制度でもサンドボックスのバイパスが最高額で、レンダラRCEの倍額であることからも見てとれます。Chromeはそのサンドボックス技術を使ったSite Isolationという保護機能を開発しています。Site Isolation Chromeにはレンダラプロセスというウェブページを処理し表示するプロセスと、ブラウザ
-
ベンダー接頭辞︵プレフィックス︶については最近いろいろと議論が活発ですが、そういう難しい話ではなくて、現状のCSSについての話です。 新しいCSSモジュールを使うために、ブラウザごとに接頭辞をつけなくてはいけない場合があります。まあそれについては現状では仕方ないことなんですが、接頭辞なしでも動作するようになったものでも、いつまで経っても接頭辞つきのものを書くのはどうなのかなと思うわけです。 CSSのコードも冗長で読みづらくなりますし、もう使われていない︵使われることもない︶であろうものを残しておくのもちょっとなー。 実際に運用されているサイトなんかだとそうそう簡単に手を入れられないかもしれませんが……。 また、はてなダイアリーの方でも書きましたが、ブログのチュートリアルを見ていて﹁もうその接頭辞つきの役目は終わった︵終わりつつある︶のに、なんでそれしか書いてないの﹂と思うことが結構あります
-
最近のモダンなWebブラウザがサポートしている、セキュリティに関連しそうな X- なHTTPレスポンスヘッダをまとめてみました。それ以外にもあったら教えてください。 X-XSS-Protection 0:XSSフィルタを無効にする。 1:XSSフィルタを有効にする。 XSSフィルタを有効にすることでエンドユーザがXSSの被害にあう可能性が低減するが、まれに誤検知することで画面の表示が乱れることもある。IE8+、Safari、Chrome(多分) で有効。IEでは﹁X-XSS-Protection: 1; mode=block﹂という指定も可能。 2008/7/2 - IE8 Security Part IV: The XSS FilterBug 27312 – [XSSAuditor] Add support for header X-XSS-Protection X-Content-Ty
-
1
ちいさな Web ブラウザを作ってみよう
ブラウザ セキュリティの近状
そのベンダー接頭辞はいつまで書くの？
1分でわかる「X-ナントカ」HTTPレスポンスヘッダ - 葉っぱ日記
