で完了。 オフラインへのインストールの場合は、いったんオンライン環境で pip install --download ダウンロード先 --no-binary :all: パッケージ名 もしくは pip download -d ダウンロード先 --no-binary :all: パッケージ名 でファイルをダウンロード。 オフライン環境の適当なディレクトリにコピーして、そこに移動。 pip installを行うという流れ。 やってみる 今回はテストとしてopenpyxlで行ってみる。 カレントディレクトリ以下にsrcフォルダを作成して pip install --download src --no-binary :all: openpyxl で、ダウンロードすると DEPRECATION: pip install --download has been deprecated and will

日本企業がDXにつまずく理由と、経営・管理・現場層、それぞれの役割：特集：日本型デジタルトランスフォーメーション成功への道（8）（1/3 ページ） DX（デジタルトランスフォーメーション）のトレンドが高まり、多くの企業が取り組みに乗り出している。だが「具体的に何をすればいいのか分からない」、取り組みを進めてみても「なかなか成果につながらない」など、プロジェクトを推進できていない例が多い。その真因は何なのか？――既存資産を持たないスタートアップや新興企業ではなく、一般的な企業が既存資産を守りながらDXを推進するためのポイントを聞いた。 ビジネスが「体験価値による差別化」「ソフトウェアの戦い」に変容し、およそ全ての企業がテクノロジー企業へと変革することを迫られている。こうした中、DX（デジタルトランスフォーメーション）の推進に当たり、「デジタル推進室」などの専門組織を作る動きも高まっているが、

企業や官公庁、団体のシステムを標的としたサイバー犯罪の手法は、多様化・高度化する一方だ。攻撃に負けない堅牢なセキュリティを実現するために、開発者の負荷は増え続けている。だが納期やリソースが限られた中で迅速に脆弱性を発見・修正するのは、もはや人手では対応しきれない。そこで注目を集めているのが、自動化されたセキュリティテストをDevOpsに組み込む「DevSecOps」だ。日本シノプシスの最先端IASTツール「Seeker」によるテストの自動化と、そのメリットについて吉井氏が語った。 講演資料：セキュリティ・テストの自動化によるDevSecOpsの実現 (デモ有) 日本シノプシス合同会社 ソフトウェア インテグリティ グループ シニア・セールス・エンジニア 吉井雅人氏 セキュリティテストを開発時に行いCI/CD連携を加速するDevSecOps 吉井氏は、「DevOpsとセキュリティの間には、越

アプリを活用したITビジネスを立ち上げたものの、「ユーザが定着しない」「面白くないものができてしまった」といった課題に悩む企業は多い。「その解は、ゲーミフィケーションとおもてなしにある」と説くのは、株式会社ナノコネクトのゲーミフィケーションエバンジェリスト 仲 功児氏だ。ゲーム理論を活用したノウハウを生かし、「面白さを伝える × 面白く魅せる」コツについて、自身のセッションもゲーミフィケーションの工夫を凝らしながら、解説を行った。 講演資料：ゲーミフィケーションエバンジェリストが説く、アプリ開発で見落としがちな「おもてなし」とは～面白さを伝える × 面白く魅せる～ 株式会社ナノコネクト ゲーミフィケーション エバンジェリスト 仲 功児氏 ゲーミフィケーションで、面白さを伝える×面白く魅せる 「今からみなさんに3枚の画像を見ていただきたいと思います」 ゲーミフィケーションエバンジェリストの仲

Javaフレームワーク「Quarkus」登場。Javaコードからネイティブバイナリを生成し瞬時にJavaアプリが起動、コンテナへの最適化を実現。Red Hatがリリース Red HatはQuarkusの目的を、Kubernetesやサーバレス環境においてJavaを先進的なプラットフォームにすることだと説明しています。下記はQuarkusを発表したブログの記事から引用。 The goal of Quarkus is to make Java a leading platform in Kubernetes and serverless environments while offering developers a unified reactive and imperative programming model to optimally address a wider range of d

2. Shun Suzaki(洲崎 俊) Twitter:@tigerszk ITイベントの参加・開催や日々の脆弱性検証をライフワークと する「とあるセキュリティエンジニア」 Daiki Ichinose(一ノ瀬 太樹) Twitter:@mahoyaya Perlが好きなウィークデーバグハンター。 土日は家族サービスとコミュニティ活動に勤しんでいる。 Ken Kitahara(北原 憲) 博士（理学）。物理学で博士号を取得してから、2014年4 月から縁も所縁もない情報セキュリティ業界で働き始める。 ネットワーク系のサイバー攻撃技術が専門。

daiksy.hatenablog.jp 既視感があったので反応しちゃう。すげー懐かしいなこの手の話題と思った。 懐かしいと言っているのは、ネット上の議論では誰も肯定的な反応をしていないと思われる「PG→SE→PM」の出世魚キャリアの憂鬱にそっくりだったこと。 技術者とマネージャって職種(ジョブ・ディスクリプション)が全く違うのに、なんでこれが技術者の出世コースになっているのか。でも、ビジネスサイドと話ができるマネージャーは価値高いけど「作りました」ほどわかりやすい評価体系がないし、陸に上がった魚は老害になるんじゃないか・・・みたいな話ですよね。 当時は今ほどITが本業の会社が多くなく、エンジニアの主たる現場は受託開発を中心に行うSIerでした。その内部でも誰もPMになりたがらないのは人材育成上の課題にあげられていた。給料大差ないのに責任は重いので単なる貧乏くじではという風潮でした。 某ブ

Overcome complex cloud challenges and build cloud talent from within

Loading form... If this message remains, it may be due to cookies being disabled or to an ad blocker.

こんにちは. 研究開発グループ ritouです. だいぶ前の記事で紹介したとおり, mixi Platformは様々なユーザーデータをAPIとして提供するにあたり, リソースアクセスの標準化仕様であるOAuth 2.0をサポートしています. mixi PlatformがOAuth 2.0の最新仕様に対応しました | mixi Engineers' Blog mixi Platformをさらに安全にご利用いただくため, OAuth 2.0におけるCSRF対策を目的とした拡張仕様を検討, 導入しましたので紹介します. OAuth 2.0の認可フローとCSRF エンジニアの方であれば, Webサービスに対するCSRF(Cross-site Request Forgery)をご存知でしょう. CSRF攻撃とは悪意のある外部サービスへのアクセスや特定のURLへの誘導などをきっかけとしてユーザーの意図

SNSなど複数のWebサービスが連携して動くサービスは広く使われている。連携に必要不可欠なのが、アクセス権限をセキュアに受け渡すための「OAuth 2.0」といった仕組みだ。今回はOAuth 2.0に関連する代表的な5つの脆弱（ぜいじゃく）性と攻撃手法、対策についてシーケンス図を使って解説する。 OpenID Foundation Japan Evangelistのritouです。 連載第1回では、RFCが公開されてから5年が経過した「OAuth 2.0」を振り返り、3つのユースケースを通じて、アクセス権限を受け渡す仕組みを紹介しました。OAuth 2.0はさまざまなユースケースに適用できます。その際、開発者はアプリケーションが動作する環境の特性を考慮しながら、仕様で定義されている処理を実装する必要があります。 今回は、脆弱（ぜいじゃく）性を作り込まないOAuth 2.0の実装手法を紹介し

4 日間で 19,000 名を超えるお客様にご来場いただいた「AWS Summit Tokyo 2017」。こちらのページでは、AWS Summit と同時開催された Dev Day Tokyo 2017 セッションの資料と動画を公開しています。当日残念ながらお越しになれなかった方はもちろん、当日のセッションを改めてご参考にしたいお客様もぜひご覧ください。

長年、組織領域とインターネット領域の境界で高価なセキュリティ製品を配備し、脅威から資産を守る手法が、世の中のデファクトスタンダードとして、多くの企業で採用されてきました。しかし、「モバイルデバイスの活用」、「クラウドサービス利用の浸透」、「ワークスタイルの変革」などのリクエストによって、その有効性は失われつつあります。また、これらのリクエストに対し、資産ごとにセキュリティ対策を実施するとなると、高度な実装を要求されます。 本連載は、主にエンタープライズ向けアプリケーション開発者を対象に、新たな境界として台頭しつつある「アイデンティティ型の境界」がサポートする様々な認証連携方法やプロトコルの解説、中でも2014年2月に標準化されたプロトコルである「OpenID Connect」(オープンアイディーコネクト)の解説からはじまります。解説の後、「OpenID Connect」の仕様における認証サ

[参考情報] 【永久保存版】OAuth 2.0 / OpenID Connect シーケンスまとめ URL：https://qiita.com/kura_lab/items/812a62b5aa3427bdb49d タイトル： 『OpenID Connect 入門 〜コンシューマー領域におけるID連携のトレンド〜』 概要： コンシューマー領域におけるID連携のトレンドであるOpenID Connectの概要と仕様のポイントについてご紹介します。 OpenID TechNight Vol.13 - ID連携入門 Aug. 26, 2015 URL：https://openid.doorkeeper.jp/events/29487Read less

概要 proxy環境内でATOMエディタのパッケージインストール等をするには、apmコマンドでhttps-proxyを設定する。またproxyがSSL証明書を自己署名証明書に置き換える場合などは、同様にstrict-sslにfalseを設定する。 詳細 proxy環境内でATOMエディタにパッケージをインストールするために、proxy設定方法を試行錯誤してみた。私の環境では、以下の認証proxyの設定＋proxyがSSL証明書を置き換える場合の追加設定を実施したところ、パッケージの追加ができた。 proxy設定が必要な環境では、Settingsの「+Install」画面で、Install Packagesの検索結果、「Featured Packages」の表示部分ともエラーになり、出力表示はconnect ETIMEDOUTだった。 「Is there any proxy settings

はじめに 皆さん、OpenID Connect を使った Web 認証/認可システムを実装していて、「サードパーティのライブラリなんかに頼りたくない！」とか「署名を自分でパースして中身見てみたい！」とか「OpenSSL の RSA_verify 呼び出すだけじゃ物足りない！自分で $m = S^e \pmod{n}$ ってやって署名検証してみたい！」って思うことよくありますよね？ ここでは、暗号関連のライブラリを使用せず、OpenID Connect の JWT の署名を自力で 検証した際に調べた内容を備忘録としてまとめてみました。 普通はライブラリ任せにする署名検証の処理も自力でやってるので、「RSA 暗号の数式も知ってるし、ライブラリ使えば暗号化もできる。だけど、平文として指定した hogehoge をどうやってあの数式に当てはめてるのか気になる」という人が読むと、もしかしたら嬉しいか

はじめに 「解説記事を幾つも読んだけど OpenID Connect を理解できた気がしない」― この文書は、そういう悩みを抱えたエンジニアの方々に向けた OpenID Connect 解説文書です。概念的・抽象的な話を避け、具体例を用いて OpenID Connect を解説していこうと思います。 この文書では、JWS (RFC 7515)、JWE (RFC 7516)、JWK (RFC 7517)、JWT (RFC 7519)、ID トークンの説明をおこないます。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 『ID トークン』を発行するための仕様 一般の方々に対しては「OpenID Connect は認証の仕様である」という説明で良いと思います。一方、技術的な理解を渇望しているエンジニアの方々に対

どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org JWT認証、便利やん？ - ブログ JWT 認証のメリットとセキュリティトレードオフの私感 - ..たれろぐ.. JWTをセッションに使うことに関して最近少し議論があったので、自分のお気持ちを表明したいと思います。 私は以前SPAを書く時にJWTをセッション管理に使おうとしたことがありましたが、仔細に検討していくとJWTをセッション管理に使うのは無意味にセキュリティ上のリスクを増やすだけで、伝統的なクッキーを使ったセッション管理を使った方が良いという結論に至りました。 前提を整理するためにあらかじめ前置きすると、「JWTをセッション管理に使う」というのは認証APIなどで返ってきたJWTをlocalstorageなどJavaScriptからアクセスできるストレージに保管しておいて、ajaxでサーバ