IT系コミュニティをタダ飯狙いの不審者からどう守るべきか。あるイベントで発生した深刻な事案と提言
タダ飯狙いでIT系コミュニティのイベントなどに入り込む人たちがいる、ということが少し前から話題になっている中で、実際に不審者がイベントに入り込もうとした事案がまた明らかになりました。 12月11日と12日の2日間、都内で開催されたコミュニティ主催の技術系カンファレンスで、おそらくは無料の食事を目当てにした不審な人物らが侵入しようとした出来事が発生していたことがイベントの当事者の発言で示されています。 スタッフとして不審者に対応した一人である鍋島理人氏は、「勉強会参加者や運営に危害が及ぶほどの脅威であり、必要なのは不審者対策そのものだと認識を改めた。というか僕はそれぐらい怖かった」とポストし、今回の事態の大きさを吐露しました（鍋島氏は以前、翔泳社でDevelopers Summit（通称デブサミ）のオーガナイザーを勤めたこともある、イベントやコミュニティの運営に関して十分な知見を備えた人物で
pull_request_target で GitHub Actions の改竄を防ぐ
本記事では GitHub Actions で pull_request event の代わりに pull_request_target を用い、 workflow の改竄を防いでより安全に CI を実行する方法について紹介します。 まずは前置きとして背景や解決したいセキュリティ的な課題について説明した後、 pull_request_target を用いた安全な CI の実行について紹介します。 本記事では OSS 開発とは違い業務で private repository を用いて複数人で開発を行うことを前提にします。 長いので要約 GitHub Actions で Workflow の改竄を防ぎたい GitHub の branch protection rule や codeowner, OIDC だけでは不十分なケースもある pull_request event の代わりに pull_r
セキュリティ インシデント flatmap-stream@0.1.1 と npm-run-all での対応 - Qiita
人気のある npm パッケージ event-stream (DL数: 2M/週) が悪意ある攻撃に利用されるというセキュリティ インシデントがありました。 私が管理する npm-run-all (DL数: 440K/週) も間接的に event-stream に依存していたため、インシデントの詳細と私の対応について触れておきます。 何をすべき? あなたのプロジェクトが event-stream に依存している場合は、この依存を削除し、代替手段を探すと良さそうです。event-stream の作者は、このパッケージをメンテナンスしないと明言しています。ただ、これだけ騒ぎになったので、信用できる誰かが引き継ぐ可能性はあります。 [編集(2018/11/30)] 現在は npm 社がパッケージ管理を引き継いでいます。ただ、リポジトリは凍結されており、今後変更されることはないでしょう。 次に、あな
セキュリティとUXの◯◯な関係 - 参加記 - debiruはてなメモ
「セキュリティとUX」のイベント 2017年6月9日(金)に開催されたセキュリティとUXの◯◯な関係に参加してきました。 「セキュリティとUXの◯◯な関係 - すれ違い続けた二人の運命の邂逅（かいこう）～セキュリティとUXは本当にトレードオフなのか」というテーマで、ビジネス・アーキテクツ(BA)の太田さん、徳丸本の徳丸さん、ヤフーの日野さんの3人が講演してくれました。 80人の参加枠に260人ほどが応募され主催側もこの人数は想定外だったとのことでしたが、追加されたレポートするぞ枠で参加したので、ここでレポートしておきます。 （執筆後のコメント）なんだかずいぶんと長くなってしまいました。読みたいところだけを読むと良さそうです。 （6月13日追記：他の方の記事はセキュリティとUXの◯◯な関係 - 資料一覧 - connpass にまとめられています） 「セキュリティとUX」のイベント セッショ
セキュリティキャンプ全国大会2016 参加記録（＋東京観光） - HappyNote3966’s blog
セキュリティキャンプ全国大会2016に参加してきました。 事前課題とかについてもなかなか触れられなかったので、この記事で一気に書いていきます。次回以降、参加する方の参考になれば幸いです。 ～Day0 非公式前泊（東京観光） キャンプ参加が決まってからは、色々な事を済ませなければなりませんでした。TODOリストは以下の通りです。 新幹線の切符購入 様々な提出書類 名刺作成 宿泊道具の事前発送 事前課題 新幹線の切符購入 キャンプ日程は8/9~8/13となってましたが、お母さんと一緒に東京観光もしたかったので8/8東京行きの切符を購入しました。日程がお盆と重なることもあって、新幹線の切符購入は購入可能日にすぐに買いに行きました。（その時活きたのが、切符購入は乗車日の一か月前から購入可能だという知識。知識は多いに越したことは無いなぁ） バイトとか学友会とかプロジェクトとかとかとか…色々な予定が重
ハッカー大会にCharlotteの友利奈緒コスプレ4人組が出場 文部科学大臣賞を受賞するなど“能力者”ぶりを見せつける
ハッキングの腕を競うコンテスト「SECCON 2015 決勝大会」が、東京電機大学東京千住キャンパス（足立区）で1月30～31日の2日間にわたって開催されました。4人1チームで戦うこの大会に、男の「友利奈緒」（ともりなお）が4人出場したと話題になっています。 友利奈緒（画像は公式サイトより） 友利奈緒は、テレビアニメ「Charlotte」のヒロイン。星ノ海学園の生徒会長を努めており、任意の1人から姿を消せるという“能力”の所持者です。 お前は一体何を言っているんだと言われてしまいそうですが、つまり男性4人で「友利奈緒」のコスプレをして出場したチームがいたというわけです。チーム名は「TomoriNao」で、出場者の登録名は「TomoriNao」「TomoriNao」「TomoriNao」「TomoriNao」。恐ろしいほどの「友利奈緒」推しです。誰が誰だよ。 ハッキングの大会に現れた4人の友
OWASP Night 第19回イベントレポート：「セキュリティ要件と実装、どこまでやれば十分か」
OWASPコミュニティのドキュメントに関するスピーチにはじまり、OWASPコミュニティの国際カンファレンスのご紹介、標準化団体における活動の共有や、企業におけるOWASPコミュニティの成果物の活用事例の共有など、多岐ジャンルにわたるミーティングとなりました。また、クロージングセッションにおいて、Chapter Leaderの岡田さんからThe OWASP Foundationの年次報告書について紹介がありました。 本記事では、今回のミーティングでのそれぞれのスピーチの内容について、ご紹介したいと思います。 図1：会場の様子。おしゃれなセミナールームをご提供いただきました。 Webアプリケーションセキュリティ要件書プロジェクト近況報告 発表概要 上野さんからは、ミーティング当日にリリースされた「Webシステム／Webアプリケーションセキュリティ要件書 2.0」について紹介いただきました。なお
CODE BLUE 2015 レポート - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 私は10月28, 29日に東京の新宿ベルサール新宿グランドで開催された情報セキュリティ国際会議CODE BLUEに参加、発表してきました。 参加者が600人を超える大規模な会議でした。 ここでは参加した中からいくつかの講演について軽くご紹介いたします。なお、詳細な資料は後日公開されるとのことです。 初日の講演から フローリアン・グルーノさんは「医療機器のセキュリティ」というタイトルで、病院で使われる医療機器の問題について講演されました。 医療機器は医師も患者も信頼しているにもかかわらず、セキュリティの観点を考慮していない製品が多く、今後は対策が必要だろうとのことです。 実際に、ファイアウォールが設定されていない、認証プロトコルが無い、古いOSを使っていて攻撃するとあっさりクラッシュするなどの例が紹介されました。 西村宗晃さんは「Firefox の倒し方」という
テストとセキュリティの葉桜JSに参加してきた
#葉桜JS に参加してきたので記憶メモ。 #葉桜JS – Togetterまとめ (脳内記憶で書いたので、何かと解釈が間違ってる場合があります) #葉桜JS 会場の様子です pic.twitter.com/rIhgaxceHd — azu (@azu_re) April 14, 2014 葉桜JSとは 唐突にネタを持ち寄って食事とかする場所です。 @kyo_agoさんとかが適当に投げた、 それっぽいハッシュタグに反応した人を適当に呼んで開始しました。 kyo_ago Buster.JSはどうなってるのか dwittnerさんがメンテしてる ドキュメントよりの人なので、あんまり機能開発は進んでてない Buster.JSにみたいにSinon.JSが統合されてると、stubの開放処理をミスらない テストコードをASTパースして自動的に開放処理を入れられるか? 非同期処理の時に何時終わったのか分か
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フロントエンド開発のためのセキュリティ入門
XML と PHP のイケナイ関係 (セキュリティ的な意味で) -Introduction of XXE attack and XML Bomb with PHP-
cybozu.comバグハンター合宿
CROSS 2014