Lycolog

お知らせ

現在サイトのリニューアル作業中のため、全体的にページの表示が乱れています。

VSCodeでターミナルのキーバインドを無効化する

投稿日：: 2024/01/30

ソフトウェア::VSCode

Nanoで{Ctrl}+{Q}を終了に割り当ててたらVSCodeで終了できなくなったので、それを解消した話

確認環境

Env	Ver
Visual Studio Code	1.85.2

基本は"terminal.integrated.allowChords": falseで防げるが、それでも出てくるものについてはキーボードショートカットの設定から{Ctrl}+{Q}などで検索し、該当するコマンドを調べ"terminal.integrated.commandsToSkipShell": []に、頭に-を付加した、"-command"形式で記載すると出てこなくなる。

例

{
    "terminal.integrated.allowChords": false,
    "terminal.integrated.commandsToSkipShell": [
        "-workbench.action.quickOpenView",
    ],
}

コメント（0件）

SameSite Cookieの登場によるCSRF Tokenの必要性について

投稿日：: 2024/01/30

技術::セキュリティ

前職で古いWebシステムのマイグレーションしてた時に思ったのだが、SameSite CookieがあればCSRF Tokenは最早いらないのではないか？というのに気が付いたので調べてみた話。

結論として言うとEdgeではPOSTリクエストでCookieが飛ぶ事はないので、CSRF Tokenを考慮する必要はなさそうに思える。

理由としてはCookieでSameSite=strictを指定している場合、クロスドメインでのCookie送信がブロックされるという話が事実であればCSRF Tokenは不要であるはずだからだ。

これによって悪意のあるサイトからAjaxやリダイレクト、フォームなどを使った攻撃をした場合にサーバーにCookieが送信されなくなる筈なので、理論上は問題なくなる。

以下では実際にCookieが送信されるかどうかの動きを見てみた。確認環境はMicrosoft Edge 121.0.2277.83。方式のリンクはシーケンス図になっている。

シーケンス図に書いてあるSameSite={var}の{var}にはstrict、laxが入る。確認内容としてはシーケンスの一番最後のHTTPリクエストでCookieが送信されているかどうかを見ている。noneは面倒なので見ていない。

方式	SameSite=strict	SameSite=lax
HTTP 302 REDIRECT	送信される	送信される
アンカーリンクのクリック	送信されない	送信される
アンカーリンクのクリック→HTTP 302 REDIRECT	送信されない	送信される
location.hrefでの移動	送信されない	送信される
location.hrefでの移動 →HTTP 302 REDIRECT	送信されない	送信される
FORMタグのsubmit(GET)	送信されない	送信される
FORMタグのsubmit(POST)	送信されない	送信されない

SameSite=strictだと外部サイトから開いたときにCookieが送信されないため、Google検索などから流入された時のログイン状態に不都合が出ると思われるので、その様なケースではSameSite=laxが無難だろう。

SameSite=laxの場合、GETリクエストではCookieが送信されるため、CSRF攻撃を受ける可能性があるが、GETで更新系処理をしない限り基本は問題にならないと思われる。

参考

2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか | 徳丸浩の日記
Cookies: HTTP State Management Mechanism (httpwg.org)
- httpwgによるドラフトの仕様（ブラウザがこれを守るかどうかはまた別の話）

コメント（0件）

さくらのレンタルサーバーにNode.jsをインストールする

投稿日：: 2024/01/28

Webサービス::さくらのレンタルサーバーNode.jsジャンル::セットアップ

サーバーサイドでMarkedを使いたかったので。Node.js 20系はC++やclangのバージョンが古くエラーになると思われるので18系にした

前提

さくらのレンタルサーバースタンダードプラン
zshを利用している

手順

所要時間はさくらのレンタルサーバースタンダードプランで2時間丁度くらい

nodebrewを落としてくる

wget git.io/nodebrew

.zshrcにパスを通す
1. PATH=${HOME}/.nodebrew/current/bin:${PATH}
コンパイルして使えるようにする

perl nodebrew setup
## バージョン確認
# nodebrew ls-remote
## プロセスが殺されるのを防ぐためにniceで優先度を下げている
## コンパイルには2h程かかる
nice -n 20 nodebrew compile v18.19.0
nodebrew use v18.19.0

# OpenSSL
wget https://www.openssl.org/source/openssl-1.1.1w.tar.gz
tar -zxvf openssl-1.1.1w.tar.gz
cd openssl-1.1.1w
./config --prefix=/home/$USERNAME/openssl --openssldir=/home/$USERNAME/local/openssl
make
make install

# Node.js
wget https://nodejs.org/dist/v18.9.1/node-v18.9.1.tar.gz
tar -zxvf node-v18.9.1.tar.gz
cd node-v18.9.1
./configure --shared-openssl --shared-openssl-includes=/home/$USERNAME/openssl/include/
export LD_LIBRARY_PATH=/home/$USERNAME/openssl/lib
make install DESTDIR=/home/$USERNAME/local PREFIX=