mod_sslの SSLCipherSuiteについての調査メモ

mod_ssl本家マニュアル（日本語版は無い）

mod_ssl - Apache HTTP Server
mod_ssl - Apache HTTP Server



CBCモードと圧縮機能の脆弱性についての経緯について

どさにっき



SSLCipherSuiteでRC4を優先するのはよろしくなさそう

ApacheのSSLCipherSuiteにRC4を設定すべきではない - Qiita [キータ]



GlobalSignのSSL脆弱性チェックツール

設定状況や信頼性がわかる！SSLチェックツール｜GMOグローバルサイン



mod_sslで現在有効な暗号化方式を調べる方法

今日も明日もググったー: SSLCipherSuite

タスク（TODO）共有サービスの調査メモ

日本語で使えるタスク共有サービスにアカウント登録して調べたメモ。


Brabio!

• UIはネイティブアプリライクで使いやすいが、ちょっと情報過多？
• ガントチャートを使いこなせるなら、とても便利そう。
• ガントチャートを使わずにタスク管理するだけなら、オーバースペックでかえって分かりづらいか。
• コメントにメールで返信できるのが便利そう。

Backlog

• タスクのプロパティが豊富。
• Tracに似ているので、TracやRedmine経験者なら入りやすい。
• UIは非システム系の人でもとっつきやすいが、やや古いか。（タスク選択時に小さなリンク部分をクリックしないと反応しない、等）

サイボウズLive

• UIが使いやすい。
• 機能的にもバランスが取れている。

Wrike

• UIが洗練されている。その分、ライトユーザーにはとっつきずらいか。
• 日本語化されていない（英語のままの）箇所が、ちらほらある。
• 使い方がわからない機能がある。

Todous

• UIはゆるい感じでよいが、配色等のデザインはいまいちか。
• 余分な機能が無いのは分かりやすくて良い。
• タスクをまとめて見られないのが使いづらい。

ChatWork

• タスク管理については最低限の機能しかない。（タスクにコメントをつけられない、等）

参考

• 時代は共有！タスク管理を共有できるWEBサービス12選 | 株式会社LIG 
• 情報管理、コミュニケーション、などのツールで便利なものを教えて頂けないでしょうか。 
• プロジェクト管理ツールは何を使っていますか？ 

IEのバージョン別の X-Content-Type-Options: nosniffの対応状況

IE8以下は内容がHTMLっぽいとHTTPレスポンスヘッダ‐のContent-typeに関わらず、HTMLとしてレンダリングしてしまう。
IE8はnosniffをつければ、Content-typeに従う。

参考： X-Content-Type-Options: nosniffの効果を確認してみる | UCWD-Studio.【ホームページ制作 / 京都】


PHPの実験用コード

<?php header('Content-type: text/plain') ?>
<script>alert(1)</script>

IE9以降およびChrome・Firefoxなどは、nosniffがある場合はJavaScriptやCSSの外部ファイルのContent-typeが妥当でないと、その外部ファイルは読み込まない。

参考：
X-Content-Type-Options: nosniff の効果 : swdyh
MIME タイプのセキュリティ リスクの軽減 (Windows)

今どきのHTTPヘッダーによるセキュリティ向上の調査メモ

今夜つける HTTPレスポンスヘッダー （セキュリティ編） - うさぎ文学日記の中で、よく知らなかったヘッダーについて調べたメモ。

いくつかのヘッダーについてのブラウザ別のサポート状況はこちら。
（ちょっと古いが、少なくともこれ以降のバージョンではサポートしているということは分かる。）
↓
IPA ISEC　セキュア・プログラミング講座：Webアプリケーション編　第8章 マッシュアップ：クライアントサイドマッシュアップ: #4 対策に利用できる技術


X-XSS-Protection

IE8以降のXSSフィルターはデフォルトで有効になっている（ブロッキングモードではない）。
↓
Security through HTTP response headers

[IEInternals] XSS フィルターを制御する | Hebikuzure's Tech Memo

Internet Explorer 8 には、XSS フィルターとして知られている、反射型クロスサイト スクリプティング攻撃を防止するのに有効な画期的新機能があります。このフィルターは既定ではインターネット ゾーン、信頼済みサイト ゾーン、制限付きサイト ゾーンで動作します。

オフにしている人や、XSS on XSS Filterに備えて、ブロッキングモードで有効にさせるのが無難？

X-XSS-Protection: 1; mode=block

Content-Security-Policy

（参考）Content Security PolicyでXSSを断ち切る | monoの開発ブログ

インラインリソースは'unsafe-inline'で許可できる。
dataスキームURIには"data:"で許可できる。
↓
An Introduction to Content Security Policy - HTML5 Rocks

IEがほぼサポートしていないようなので、効果は限定的か。
↓
CSP policy directives - Security | MDN

CSP is quite usable in Chrome 16+, Safari 6+, and Firefox 4+, and has (very) limited support in IE 10.

セキュリティとしては非常に強力だが、ホワイトリストのメンテが面倒なので外部リソースを気軽に使うようなサイトでは使うのは難しい？

あるいは、こんな風に思いっきり緩くしておくか？（これだと意味がないか...）

Content-Security-Policy:
default-src 'self';
script-src 'unsafe-inline' *;
img-src data: *;
frame-src *;
font-src *;
style-src 'unsafe-inline' *;
report-uri /csp-report.php

見やすくするために改行している。未検証なので取扱注意。
faviconはimg-srcに含まれる。
違反が見つかったら、report-uriにJSONでPOSTされる。
eval()が必要なら'unsafe-inline'も追加する。

Content-Security-Policy-Report-Onlyでチェックのみに使うのが良いかもしれない。


Strict-Transport-Security

IEが10でもサポートしていないことを考えると、これが効かない場合のリダイレクト等の処理も必要。
↓
HTTP Strict Transport Security - OWASP

PHP5.5を Amazonの yumリポジトリからインストール

EC2のAmazon Linux AMIでデフォルトのyumリポジトリであるamznリポジトリから、PHP5.5をインストールできるようになった。

$ yum info php55

↓

Loaded plugins: priorities, update-motd, upgrade-helper
amzn-main/latest/primary_db                                                                                                                      | 2.5 MB     00:00    
amzn-updates/latest/primary_db                                                                                                                   | 301 kB     00:00    
mod-pagespeed/primary                                                                                                                            | 4.5 kB     00:00    
mod-pagespeed                                                                                                                                                     28/28
Available Packages
Name        : php55
Arch        : x86_64
Version     : 5.5.5
Release     : 1.55.amzn1
Size        : 2.9 M
Repo        : amzn-updates/latest
Summary     : PHP scripting language for creating dynamic web sites
URL         : http://www.php.net/
License     : PHP and Zend and BSD
Description : PHP is an HTML-embedded scripting language. PHP attempts to make it
            : easy for developers to write dynamically generated web pages. PHP also
            : offers built-in database integration for several commercial and
            : non-commercial database management systems, so writing a
            : database-enabled webpage with PHP is fairly simple. The most common
            : use of PHP coding is probably as a replacement for CGI scripts.
            :
            : The php package contains the module (often referred to as mod_php)
            : which adds support for the PHP language to Apache HTTP Server.

手元のサーバで使ってる拡張（Extension）のPHP5.4から5.5への変更のメモ。

php54-mbstring → php55-mbstring
php54-pdo → php55-pdo
php54-mysql → php55-mysqlnd？
php54-pecl-apc → php55-opcache
php54-pecl-xdebug → まだない

5.4に比べてまだ少ないようだ。