取り上げられていたのがきっかけ。上でブラウザを動かすという話。いう新しい概念としていること。ようなものであり、JSコードをデプロイして動いている、開発者は動作する環境を変更できる、ということを言っている。問題を解決しているものであれば、コードを変更せずに開発者はそのレンダリングエンジンで動作するように選択できる。お、おぅ...雑に言うとめちゃくちゃレンダリングエンジンやその他のレイヤを非常に細かく権限分離することで安全にする、という話。ライブラリも動かしていること。書かれたアプリケーションが動いている...みたいなことをやっている。ついては安全に文字列をカプセル化するレンダリングエンジンに移行することができるようになるので、解決!という話。捉えるのはなるほどなーという感じ。書かれることが多く、これをパースすることでリクエストを自動で生成、送信することが可能。行ったことについて述べられている。リクエストの依存関係というのは、Bというリクエストを送信するにはAというリクエストを送信する必要があるもの。実行する必要がある、といった感じ。行った結果を載せている。原因と推測されるものを見つけている。見つけたとも記載されている。Matrix)でしかできなかった認可部分を自動化できることが実証されたのは面白い。アーキテクチャとトランザクション分離レベルが噛み合っていないために脆弱性が生じる可能性が増えているということを示した論文。同時にリクエストを送信することにより、ギフトカードを多くもらったり、在庫を操作したりといった脆弱性が生じる。この脆弱性を利用され、預金と引き出しのリクエストを大量に同時に実行された結果、システムが並行実行に耐えられず、サービス閉鎖に至った。eコマースアプリケーションを静的解析することで、22パターンの脆弱性が20万のWebサイトで発見されたとし、ひとつのギフトカードを使い回すことで無限に購入ができる脆弱性も発見している。わかりやすくまとめられているので、興味がある人はそちらを参照してほしい。サービスを出し続ける昨今において、いかにセキュリティを担保していくかというのは難しい問題で、継続的な脆弱性診断やWAFなどのセキュリティ製品の導入などが打つ手として考えられる。ACIDRain)もあるし、誤検知への対応もある。継続的な脆弱性診断も新規サービスにおいては機能追加改善によるリリースを週単位で行うだろうし、「穴がある期間」というのは存在してしまうだろう。回していくには、今回取り上げたような研究の技術を現場に取り込んでいくことが大事だろうと考えている。検出するようなペイロードを取り入れることも可能だ。(アプリケーションに限らず、インストールされているパッケージの)脆弱性検出の自動化というのは、今から取り組んでいかないといけない課題だし、今自分が一番したいことだ。ようにプラットフォームやライブラリ側で安全にし、開発者はセキュリティを意識しなくてもよくなる時代が来るのも、面白いしそうあるべきだと考えている。