Microservices における認証と認可の設計パターン
マイクロサービスにおける認証と認可の、一般論としての設計パターンを調べたところ、Web 上の複数の記事で似たようなパターンが登場していた。ここでは、まず認証と認可が実現したい一般的な要件と、そのマイクロサービスでの難しさを整理し、認証と認可に分けて調査したパターンをまとめた。 あくまで “一般論” なので、実際には個々のドメインにあわせてアレンジが必要 往々にしてこの “アレンジ” に価値が宿るものだが、まずはセオリーを知っておきたいというモチベーションで調査した Web 上の記事を読んでまとめただけなので、手を動かしての確認はしておらず、理解が甘い部分はご容赦ください 具体的な通信方式やサービス間通信のセキュリティといった具体論までは踏み込めていない。このへんはサービスメッシュやゼロトラストネットワークといったトピックが登場すると思われる これらは次回以降の Todo としています その
【セキュリティ ニュース】Gitに深刻な脆弱性、認証情報など取得されるおそれ（1ページ目 / 全1ページ）：Security NEXT
分散型バージョン管理システム「Git」に深刻な脆弱性が含まれていることがわかった。アップデートがリリースされている。 同システムの「credential helper」において改行を含む細工したURLを用いることで、Gitクライアントより認証情報を任意のホストに送信させることが可能となる脆弱性「CVE-2020-5260」が明らかとなったもの。 米国立標準技術研究所（NIST）の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」で「クリティカル（Critical）」とレーティングされている。 脆弱性の判明を受けて、開発チームでは脆弱性へ対処した「同2.26.1」「同2.25.3」「同2.24.2」「同2.23.2」「同2.22.3」「同2.21.2」「同2.20.3」「同2.19.4」「同2.18.3」「同2.17.4」をリリース。また脆
Cloudflare Accessで明日から必要なオンプレとクラウドへのリモートアクセス環境をいますぐ構築する | DevelopersIO
ベルリンのしがひです。COVID-19渦はヨーロッパにも広がり、いくつかの自治体で地域封鎖などの緊急防疫が実施されています。 日本では通勤時の混雑と密集がハイリスクであること、また安倍首相が今週からの学校閉鎖を要請するという発表を行ったことで会社員の在宅勤務の必要性がますます高まり、Slack、Zoomといったリモートワークツールへ注目が集まっています。 しかしながらリモートワークはコミュニケーションに使用するツールのみで事足りるものではなく、業務システムやドキュメントへのアクセスが安全に確保されていることが必要で、実際のところ、全社員にこういったリモートアクセス環境を用意することへのハードルが高いのではないでしょうか。 今回はオンプレ、クラウドにあるシステムへのリモートアクセスを即興で構築する方法を実践します。差し迫ったリモートワーク対応のヒントになればと思います。 VPNを構築している
政府、情報システム基盤にAWS採用 高市総務相「セキュリティ対策も含め判断」
政府共通プラットフォームでは、これまで府省が別々に整備・運用してきた情報システムをクラウド上に集約。システムごとに整備していたファイアウォール、運用・監視体制などを統一し、運用コストの削減とセキュリティの強化を図る。 高市大臣は14日の会見で、一般競争入札の結果から、AWSの利用を前提に整備を進めていると明言。（1）作り込みを最小限にでき、運用コストを抑えられること、（2）迅速に整備でき、拡張性にも優れていること、（3）自動化などで運用を効率化できること、（4）政府の基準を満たすセキュリティ性能を備えていること、（5）クラウド特有のリスクを回避できること──といった点を踏まえ、クラウドベンダーを選定したという。 データの所在地を国内にすること、準拠法・裁判管轄を国内に指定すること、クラウドサービスが国内から提供されることなども考慮したという。データの送受信の常時監視、アクセスログの取得、脆
焼肉サブスクの脆弱性 - Qiita
※規約違反として限定公開にされました。Qiita運営からのメールに「Qiitaだけじゃなくて他サービスの規約違反もあかんのやで」という文言があったので、そのへんに気をつけて修正しました。 本記事はすべてフィクションです。実在する企業とは一切関係ありません 焼肉サブスクに２２日通った。 その中で、色々な脆弱性が見受けられたため、詳しく書く。 ※この記事で紹介する脆弱性を実際に突いてサービスを不正利用すると、詐欺罪に問われる可能性があるので、絶対にやらないこと。また、この記事は啓蒙を目的としており、システムの悪用を推奨していない。 焼肉サブスクのシステム サブスクプラットフォームに登録し、クレカでサブスクパスに課金する。 店でパスの画面を見せる。画面には１日１回だけ押せるボタンがあり、ボタンを店員の目の前で押すことで、サービス権を行使する。食べ放題が無料になる 最後にレジで会計するが、食べ放題
The CIA secretly bought a company that sold encryption devices across the world. Then its spies sat back and listened.
For more than half a century, governments all over the world trusted a single company to keep the communications of their spies, soldiers and diplomats secret. The company, Crypto AG, got its first break with a contract to build code-making machines for U.S. troops during World War II. Flush with cash, it became a dominant maker of encryption devices for decades, navigating waves of technology fro
[レポート]サーバレスアプリケーションのコツ総ざらえ！(SVS401-R Optimizing your serverless applications) #reinvent | DevelopersIO
[レポート]サーバレスアプリケーションのコツ総ざらえ！(SVS401-R Optimizing your serverless applications) #reinvent 「サーバーレスアーキテクチャのフルパワーを解き放つ便利なガイド、欲しくない？」 って言われたらそりゃ欲しいですよね！これはこのセッションの紹介文にあった一節です。この言葉に釣られて参加したセッションのレポートをお届けします。「まだre:Inventの話してるのかよ！」とツッコまれたあなた、おっしゃるとおりです。ですが二ヶ月ほど経った今でも十分有用な情報ばかりなのでぜひご一読いただければと思います。紹介文に偽りはなかったです！ セッションタイトル SVS401-R1 - [REPEAT 1] Optimizing your serverless applications セッション概要 あなたは経験豊富なサーバーレス開
![[レポート]サーバレスアプリケーションのコツ総ざらえ！(SVS401-R Optimizing your serverless applications) #reinvent | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/f229d9254bb6a1cbfbc11a651d6a88b228d4b2fe/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2020%2F02%2Fopt-eyecatch1.png)
なぜCoinhive事件でプログラマが怒っているかを一般向けに解説したい。 - かもブログ
Coinhive事件の二審の判決が出た。一審の横浜地裁が無罪判決を出したのに対して、東京高裁は有罪判決。非常に残念な判決だった。事件が起こってからすでに1年半以上経っているが、事態は一向に良い方向に向かっていないと感じている。ネット上のプログラマたちは怒りの声をここ数年上げ続けているにもかかわらず、だ。 しかし、一般の多くの人にとっては、Coinhive事件はあまたの新聞記事の1つかもしれない。その記事を読んだとしてもなぜプログラマが怒っているかわからないかもしれない。少しでもCoinhive事件に関して戦っている人の応援がしたい。そこで、一般の人のために「なぜハッカーが怒っているのか」をQ&A形式で解説したい。 と思う。 （この記事の著者は専門家ではないので色々と誤りがあると思われますが、お許し願います。） Q&A Q Coinhive事件って？ A 自分のWebサイトに、利用者に「Co
sudoに深刻な脆弱性、アスタリスクが表示されているなら要注意
LinuxディストリビューションやmacOSなどでroot権限を使用するために使われるsudoコマンドに脆弱性が存在することが、「Buffer overflow when pwfeedback is set in sudoers」において伝えられた。 脆弱性が存在するとされるバージョンが公開された日から換算すると、10年以上にわたり、この脆弱性が存在していたことになる。 Buffer overflow when pwfeedback is set in sudoers 脆弱性が存在するとされるバージョンは次のとおり。 sudo 1.7.1から1.8.30までのバージョン 脆弱性は次のバージョンで修正したとされている。 sudo 1.8.31 sudoはデフォルトではパスワードの入力時にターミナルに何も表示しない。pwfeedbackはパスワード入力時に視覚的なフィードバックとしてアスタリス
仮想通貨の無断「採掘」に逆転有罪 東京高裁 :日本経済新聞
閲覧した人のパソコン（PC）端末の処理能力を無断で使って暗号資産（仮想通貨）を採掘（マイニング）するプログラムをウェブサイトに設置したとして、ウェブデザイナーの諸井聖也被告（32）が不正指令電磁的記録保管罪に問われた事件の控訴審判決が7日、東京高裁であった。栃木力裁判長は被告を無罪とした一審・横浜地裁判決を破棄し、罰金10万円の有罪とした。 諸井被告は「とても残念です」と話し、弁護人は上告する方針を明らかにした。 判決で栃木裁判長は、他人のPC端末の処理能力を使って仮想通貨をマイニングするプログラム「Coinhive（コインハイブ）」について「PCの機能が提供されていることを知る機会や実行を拒絶する機会も保障されていない」として、意図に反するものと指摘。また「（閲覧者に）一定の不利益を与えるプログラムと言えるうえ、生じる不利益に関する表示もされておらず、社会的に許容すべき点は見あたらない」
2020年、「ゼロトラスト」は理論から実践のフェーズへ アカマイが提供するクラウドシフトに即したセキュリティ基盤とは
働き方の変化や脅威の高度化に対応できていない 企業などの組織における情報セキュリティは、これまで組織ネットワークを外部の脅威から守ることに主眼を置いた、いわゆる「境界型セキュリティ」が主流だった。しかし近年、そのあり方が課題となりつつある。 その要因の一つは、人々の働き方が変わりつつあること。最近ではリモートワークなどで組織ネットワークの外、すなわち境界型セキュリティに保護されていない環境で仕事をするユーザーが増えている。 また、ビジネスを加速させるためコア事業以外の業務を社外リソースに依存するアウトソーシングも広まっており、結果として以前なら社員のみが利用していたシステムを外部ユーザーが利用する場面も増えてきた。こういった環境では境界型セキュリティの範囲外にある端末が多く、脅威にさらされる場面も必然的に増える。 さらに、組織ネットワークの内外を行き来する端末を介して、正当なユーザーの手に
Avast、セキュリティソフトで集めたユーザーデータを匿名化して企業に販売──米報道
チェコのウイルス対策アプリメーカーAvast Softwareがセキュリティアプリをインストールしたユーザーのアクティビティデータを収集し、それをパッケージ化して子会社であるマーケティング解析企業Jumpshotを介して企業に販売していると、米メディアのMotherboardとPCMagが1月27日（現地時間）、Avastの内部文書や顧客企業への調査に基づいて報じた。 Avastのセキュリティアプリは無料のものもあり、日本でも多数のユーザーがインストールしている。Avastによると（リンク先はPDF）、MAU（月間アクティブユーザー数）は4億3500万人以上だ。 Avastは、アプリでのデータ収集はオプトインでユーザーに許可を得ていると説明したが、Motherboardが取材した多数のユーザーは許可した自覚がなく、そのデータが販売されていることも知らないと語った。Avastはデータは匿名化
新型コロナウイルス 感染者数やNHK最新ニュース｜NHK特設サイト
新型コロナの相談先は 「もしかして新型コロナ？」と思った場合は 新型コロナウイルスへの感染が疑われるような症状がある場合は、地域の「かかりつけ医」や「発熱外来のある医療機関」「自治体が設けている相談電話」、もしくは「保健所」に連絡することになります。各都道府県が公表している受診・相談センターの連絡先の一覧は、以下の厚生労働省HPから確認できます。 新型コロナウイルスに関する相談・医療の情報や受診・相談センターの連絡先（厚生労働省HP） ※NHKのサイトを離れます 東京都 発熱外来を設置の医療機関リスト公表 直接予約可能に（2021年9月21日） オミクロン株拡大 かぜ?コロナ? そんなとき、どうすれば…?（2022年1月7日） 「自宅療養中」に体調の変化が不安なときは 政府の分科会の尾身会長など、コロナ対策にあたっている専門家で作る「コロナ専門家有志の会」は、「かかりつけ医」や「診断した医
Create a Growth Culture, Not a Performance-Obsessed One
Summary. Many C-Suite leaders are focused on how to build higher performance cultures. The irony, we’ve found, is that building a culture focused on performance may not be the best, healthiest, or most sustainable way to fuel results. Instead, it may be more effective to focus on creating a culture of growth. Building a growth culture requires a blend of individual and organizational components: a
一つのCPUで複数のスレッドを実行する技術「SMT」が合理的でなくなってきているとの指摘
現代のCPUは、クロック周波数の向上や入力に基づいて論理的に処理を事前に行う「投機的実行」技術など、パフォーマンスを上げるための高度な技術が数多く用いられています。そうしたCPUのパフォーマンス向上に貢献している技術の一つに、単一のCPUコアで複数のスレッドを同時に実行することができる機能「SMT(同時マルチスレッディング)」がありますが、そのSMTが合理的ではなくなってきている可能性があります。 Does SMT still make sense? https://www.codeblueprint.co.uk/2019/11/05/does-smt-make-sense.html 現代のほとんどのCPUにはSMTが使われており、並列してタスクを処理することができます。Intelが実装しているSMTは「hyperthreading」と呼ばれ、パフォーマンスの改善を目指して2002年よりP
ついに「ハンドルなし」のAI自動運転実証へ、米GMが初認可の獲得濃厚
どうやらいよいよ「ハンドルなし」の自動運転車の公道実証が、来年2020年にアメリカ国内でスタートすることになりそうだ。米ロイター通信などの報道によれば、米自動車大手GM（ゼネラル・モーターズ）による申請を米当局が認可する見通しとなっているという。 アメリカ国内では「ハンドルあり」の自動運転実証は既に多くの企業が行っている。「ハンドルあり」で「セーフティドライバーもなし」という条件で既にグーグル系ウェイモも自動運転タクシーの有償サービスに取り組んでいるが、これまで「ハンドルなし」での公道実証は行われていなかった。 米自動車大手GMの自動運転子会社クルーズ（Cruise）はこれまでに、こうした「ハンドルなし」での実証実施について米運輸省高速道路交通安全局（NHTSA）に判断を求めていた。GMは既にYouTubeでこうしたコンセプトの車両イメージを動画で公開している。それが下記だ。 この動画は2
sudo がアレなので doas に乗り替えてみる - Qiita
最初にまとめ 長くなってしまったのでまとめを最初に。 sudoを使うのをやめdoasに乗り替えた doasには必要十分な機能があり、sudoに比べ設定がシンプル doasは元々がOpenBSDプロジェクトのものであり、セキュリティ面でも信頼できる FreeBSDではpkgでインストール Linuxではソースからインストール (記事ではDebian/Ubuntu, CentOSでの例を紹介) doasのソース規模はsudoのそれに比べかなり小さい 最近manやmakeを知らない人が居るという事実を見かけるので、その辺りの利用例も含めて少々回りくどく記述しています。 本記事はSoftware Design誌 2020年1月号 に掲載された「sudoからdoasへ」の内容とほぼ同じもの、というより元の原稿そのものです。ネタを明かすと、元々Qiitaで公開するつもりで書いたのですが、書きすぎてボリ
iPhone4s〜Xなど、A5〜A11搭載製品にアップデートで修正不能な脆弱性 - iPhone Mania
JPCERT コーディネーションセンター（JPCERT/CC）は12月20日、A5からA11プロセッサを搭載したiPhoneやiPad、Apple WatchなどのApple製品に脆弱性が存在すると発表しました。iPhoneシリーズではiPhone4sからiPhone Xが影響を受けます。 A5からA11プロセッサ搭載の製品に脆弱性 JPCERT/CCは、A5からA11のプロセッサを搭載する複数のApple製品で、SecureROM（ブートROMレベル）に、デバイス起動時において解放済みのメモリ使用 (use-after-free) の脆弱性（CWE-416）が存在する、と注意を呼びかけています。 この脆弱性の影響としては、デバイスに物理的にアクセス可能な第三者によって、任意のコードが実行される可能性があります。 アップデートによる対策不可 通常の脆弱性は、OSのアップデートによって対応可
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
The Best Password Managers
“Google アカウント”の2段階認証でiPhoneをセキュリティキーとして利用できるように／物理キーがなくてもiPhone/Androidで本人確認。“高度な保護機能プログラム”も身近に
