The goal of lsp-bridge is to implement the fastest LSP client in the Emacs ecosystem using multi-threading technology, with a plug-and-play design philosophy to save you time and effort, because time is money. Advantages of lsp-bridge: Blazingly fast: Offload LSP request and data analysis to an external process, preventing Emacs from getting stuck due to delays or large data triggering garbage col

Emacs Advent Calendar 2023の25日目です。 長年Emacs使っているのにElispをまともに書けない私ですが TrampでもLSPしたい、という気持ちはしばらく忘れて別の解決策でしのいでいました。 最近Macの仕様が変わったのか、上手く行かなくなってきたので、改めて向き合ってみようと思います。 🖥️ 環境 OS: macOS Sonoma 14.2 Emacs: 29.1 💡先に解決方法 'tramp-remote-path にPATH通したいリモートマシン上のディレクトリを入れていく ✏️ まえがき 私は普段Macを使っているんですが リモートワークなのもあって、Mac上ではたくさんのアプリケーションを立ち上げています。 ブラウザ Gather Slack Emacs Skitch etc... 弊社ではGatherでカメラとマイクも常時繋ぎっぱなしで仕事し

サイバーセキュリティチームでマネージャーをしている岡地と申します。本記事では、いま話題（！？）の脅威モデリングを参考に実施した、社内のセキュリティリスク分析について紹介させて頂きます。 サイバーセキュリティチームについて 私は2022年12月にウェルスナビにジョインし、2023年はコーポレートIT部門でセキュリティ担当として従事してきました。2024年1月からサイバーセキュリティチームとして独立し、チーム戦略の策定から始めているのですが、その中で改めて感じたのが、自社のリスク認識の解像度が不十分だということです。別の表現でいうと、自社のセキュリティのカタチがいまいちわからない状態でした。 この段階でも、過去からの経緯で認識できている課題や昨今のトレンドを踏まえた計画の策定も可能ではあるのですが、より精度の高い戦略を立てるためには、自社環境に対する解像度を上げる必要があると感じました。 自社

2022年3月30日（水）に、 Hatena Engineer Seminar #19 をオンライン開催しました。ご参加いただいたみなさま、ありがとうございました。 このエントリーでは、当日のアーカイブ動画や公開資料をご紹介します。 Hatena Engineer Seminar #19 について 発表概要と資料 カクヨムの10年を見据えた技術 - by id:koudenpa インフラ編──AWSアカウントとIaaSの段階的移行── - by id:koudenpa グルーミングしながら進めるプロダクト開発 - by id:onk プロトタイプ編 - by id:k-murakami0609 フロントエンド編 - by id:mfzy デザイン編 - by id:takuwolog さいごに Hatena Engineer Seminar #19 について Hatena Engineer

デジタル社会を実現するためには、「共通ルール」の下で関係者が協働し、価値を生み出すことが重要です。 デジタル社会推進標準ガイドライン群は、サービス・業務改革並びにこれらに伴う政府情報システムの整備及び管理についての手続・手順や、各種技術標準等に関する共通ルールや参考ドキュメントをまとめたものです。 各ドキュメントの位置づけには、次の2種類が存在します。 標準ガイドライン（Normative）：政府情報システムの整備及び管理に関するルールとして順守する内容を定めたドキュメント実践ガイドブック（Informative）：参考とするドキュメントこれまでは、「デジタル・ガバメント推進標準ガイドライン群」という名称で各種ガイドラインを策定しておりましたが、デジタル庁として政府内部だけでなく社会全体のデジタル化を推進するという観点から、これらのドキュメント体系の名称について「デジタル社会推進標準ガイド

RADIUS/UDP vulnerable to improved MD5 collision attack07/09/2024 The MD5 cryptographic hash function was first broken in 2004, when researchers demonstrated the first MD5 collision, namely two different messages X1 and X2 where MD5(X1) = MD5 (X2). Over the years, attacks on MD5 have only continued to improve, getting faster and more effective against real protocols. But despite continuous advancem

日々巧妙化しているサイバー攻撃に対応していくには政府組織内におけるサイバーセキュリティ対策をより高度化していく必要があります。米国政府では、サイバーセキュリティ対策を高度化するにあたり、CDM（Continuous Diagnostics and Mitigation）プログラムの導入が進んでいます。日本政府においても、米国のCDMプログラムを参考に、常時リスク診断・対処（CRSA: Continuous Risk Scoring and Action）システム（以下、「CRSA システム」という。）の導入を進めています。 概要CRSAとはCRSAとは、組織のセキュリティポリシー等に準拠するために情報システムに導入された必要なコントロール（管理策）に関して、以下を実施します。 リスク診断：必要なコントロールと実際の状態とのギャップやリスクを可視化対処：可視化されたギャップやリスクの是正対応

国民目線に立った利便性の向上の徹底と国民への行政サービス等を安定して安全に提供するといった観点を含めたサイバーセキュリティの確保の両立が不可欠であることから、「サイバーセキュリティ戦略」（令和3年9月28日閣議決定）を踏まえ、施策を着実に講じていくことにより、デジタル庁におけるサイバーセキュリティの強化を図ります。 概要デジタル庁は、サイバーセキュリティの強化を図るため、サイバーセキュリティの確保に関する総合調整役である内閣サイバーセキュリティセンター（NISC）と連携し、以下に取り組みます。 「政府情報システムの管理等に係るサイバーセキュリティについての基本的な方針」（政府情報システムの管理等に係るサイバーセキュリティについての基本的な方針（「情報システムの整備及び管理の基本的な方針」（令和3年12月24日デジタル大臣決定）別添））を示し、その実装を進めていきます。 デジタル庁にサイバー

この記事では、PLAID [https://plaid.co.jp/]のKARTE [https://karte.io/]というシステムの脅威分析をした話について書いています。 脅威分析とは、アプリケーションやシステムなどが直面する可能性のあるすべての脅威を明らかにして、その脅威のリスクを相対的に把握するために行うことを言います。 脅威とはリスクを発生させる要因のことで、クロスサイトスクリプティ

サイバーセキュリティチームでマネージャーをしている岡地と申します。本記事では、いま話題（！？）の脅威モデリングを参考に実施した、社内のセキュリティリスク分析について紹介させて頂きます。 サイバーセキュリティチームについて 私は2022年12月にウェルスナビにジョインし、2023年はコーポレートIT部門でセキュリティ担当として従事してきました。2024年1月からサイバーセキュリティチームとして独立し、チーム戦略の策定から始めているのですが、その中で改めて感じたのが、自社のリスク認識の解像度が不十分だということです。別の表現でいうと、自社のセキュリティのカタチがいまいちわからない状態でした。 この段階でも、過去からの経緯で認識できている課題や昨今のトレンドを踏まえた計画の策定も可能ではあるのですが、より精度の高い戦略を立てるためには、自社環境に対する解像度を上げる必要があると感じました。 自社

In its lifespan, Mozilla's HTTP Observatory tool has scanned over 6.9 million websites, providing useful, actionable insights into how developers can improve web security and guard their sites against would-be attackers. The HTTP Observatory tests website compliance with security best practices, mainly concerning the correct usage of HTTP headers. When a scan is complete, it provides a report to t

高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が

はじめに 技術部の桜です。 今回は、application/jsonにおけるAWS WAFのバイパスを試してきました。 この記事ではまず、 RFC 8259(The JavaScript Object Notation (JSON) Data Interchange Format)を読む過程でWAF Bypassに使えそうだなと思った事を検証しています。 次に、上記の検証を経て気になったことを検証しています。 環境 上記のような構成で、セキュリティグループにより自宅IPからのHTTP, SSHアクセスのみを許可しています。 また、EC2上でDockerを使用し、Nginx、Express×Node.js、PostgreSQLを動かしてXSSを意図的に埋め込んだ脆弱なアプリケーションを構築しています。 (Nginxを動かす必要はないとは思いますが、勉強を兼ねて動かしています。) 検証について

最小限で基礎的なセキュリティガイダンスである「AWS Startup Security Baseline (AWS SSB)」を紹介します いわさです。 SaaS on AWS では大きく 4 つのフェーズ（設計・構築・ローンチ・最適化）で役立てる事ができるコンテンツが提供されています。 設計フェーズでは技術面からコンプライアンスに準拠したりセキュリティベースラインを考える必要があります。 これらについてベストプラクティスが提案されている動画コンテンツがあります。 その中で初期段階で実施出来ることとして次のステップが紹介されていました。 セキュリティ周りは Well-Architected Framework や Security Hub の適用から始めることも多いと思いますが、様々な制約からすぐの導入が難しい場合もあります。 そんな方に本日は上記の中の AWS Startup Secur

前回のブログ冒頭で記載した通り、弊社では今年からサイバーセキュリティチームを立ち上げました。今回はチーム立ち上げにあたって考えたことを共有します。 目指す姿〈Vision〉 目についた課題に対処するだけでは中長期的な成長は望めません。チームとして目指すべき到達点、Visionが抽象的なレベルでもあると、活動の軸になりますし、チームとして自分たちが前進していることを実感できると思います。 では、どういったVisionがよいか。当チームでは、『The Sliding Scale of Cyber Security』[1]を採用しました。このモデルではサイバーセキュリティの防御態勢を大きく5段階で表現しており、チームとして目指すべき姿を認識するうえで良いモデルだなと感じています。当社では少しだけ表現を変え[2]、下の絵のようにしました。 このうち、Offenceは事業会社としてはNGですので、そ

個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお

2024年7月2日に開催された SRE Lounge #17 の発表資料です。 SRE Lounge #17(ハイブリッド開催) - connpass https://sre-lounge.connpass.com/event/321335/ このプレゼンの技術的な詳細は、過去のブログ記事…

Dev Containerを使ってみよう Dev Containerを使う上で知っておくと良さげな情報のまとめ記事です 前にRemote SSHでDev Containerの環境を構築する記事を書いたので、今回はDev Container全般の情報をまとめてみました tl;dr Dev Containerを使うと開発環境をコンテナで構築できるよ(ランタイムとかツール類含めて！) docker composeだとアプリケーションを動作させる環境は作れるけどDev Containerは開発環境ごと構築できて便利 Dev Containerを使うにはdockerとDev Containerを利用できるエディタが必要 Dev Container内でdocker composeを利用できるから、Dev Container用のコンテナ+ミドルウェアコンテナを用意すればアプリケーションを開発できる環境が