owasp

3熱

1答えて

OWASP認証または特権レベルの変更が成功した場合に新しいセッションを再生成することを検討してください

OWASP Webサイトでは、認証または特権レベルの変更が成功した場合に新しいセッションを再生成することを検討する必要があります。これを行う正しい方法は何でしょうか？同僚が教えてくれたことの1つは、私がテストしていないことですが、ユーザーがブラウザのタブを使用すると、各タブは自分のセッションを取得しないため、すべての行為を無効にすると思います。ポール・スペランツァ

3熱

3答えて

ESAPI.NETはデッドプロジェクトですか？

私は最近、OWASPの推奨事項とPCIの遵守を念頭に置いて、入力（および出力）検証を改善する努力をリードすることを任されました。このプロセスでは、2009年の春から何の活動も見られなかったESAPI.NETプロジェクトの価値を評価しようとしています。それはまだ不完全です。誰でもESAPI.NET v0.2を使用しているか拡張している経験がありますか？ターゲットとする脆弱性に対処するためのインフラ

2熱

1答えて

Log4j SyslogAppenderを使用しているときにPatternLayoutを定義するベストプラクティス

PCIスコープのアプリケーションを開発している人に、アプリケーションログを別の層に保存するように指示する場合、syslogサーバーへのリモート処理はベストプラクティス。質問は、毎日少なくともログを確認できるように、PatternLayoutの外観はどうすればよいでしょうか？

1熱

2答えて

単一のURLリクエストに基づいてデバイス/ユーザを認証する

現在、OWASPのトップ10のセキュリティ対策の大部分を実装しているJ2EEシステムがあります。アプリケーションは現時点で、ユーザがパスワードに保存されたユーザ/データベース。私は/*にマップされたJavaフィルターを使用して、ユーザーのログイン状態を判別するセッションおよびセッション属性の有無を確認します。最後に問題があります：特定のイベントが発生したときにGPRS経由でURLリクエストを送

3熱

5答えて

Ruby on Rails and Security

Rubyで安全にWebアプリケーションを開発する方法について、優れたPowerpointプレゼンテーションを行った人は誰ですか？

0熱

1答えて

安全でない直接オブジェクト参照と検索エンジン

OWASP Top 10 Listによれば、安全でない直接オブジェクト参照を防止する1つの方法は、間接参照のみを提供することです。これらは、サーバ上の直接（例えば、DB）参照にマッピングされる人工参照である。マッピングはセッションに格納されます。残念ながら、このソリューションはあまり検索エンジンにはあまり役に立ちません。クローラによって保存されたリンクは、別のセッションで無効になります。この問

0熱

1答えて

セキュリティで保護されたXMLパーサー

典型的なJavaアプリケーションでは、XMLパーサーはXALAN/XERCESですが、セキュリティを考慮して書かれていません。セキュリティに関しては、より堅牢なパーサーがあるかどうかを知りたいと思っています。

1熱

3答えて

PCI/DSS：安心時のデータ

安心してデータカテゴリに製品をキャッシュすることを検討しますか？