A Site Reliability Engineer (SRE) is a person that operates an application by writing software. They are an engineer, a developer, who knows how to develop software specifically for a particular application domain. The resulting piece of software has an application's operational domain knowledge programmed into it. Our team has been busy in the Kubernetes community designing and implementing this

HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 の続き。 今回は Chrome 拡張とは関係ない、サイト設計側の話です。 ※本記事では Zaif のセキュリティ上の問題について指摘していますが、非難の意図はありません。 続報：11月4日 Facebookコメントより。 Ryosuke Hosoi · テックビューロ CTO ご指摘ありがとうございました！少し事情があってすぐに対応出来なかったのですが、先ほどZaifの認証情報にもhttp_only属性がつくようになりました。 しかしながら、jsが汚染されていると他にもいろいろ攻撃出来てしまいますので、今回の件はこれでもう安心、というわけではないと考えています。 15時間前 11月14日時点で httponly 属性が付くようになったようです。対応

コマンドラインからパケットをキャプチャする場合の定番コマンド。 ネットワークインタフェースを指定してそこを流れるパケットをキャプチャしてくれる。 指定しない場合はメイン(?)のインタフェースになる。 たいてい管理者権限が必要。以降の例は全てsuper…

こんにちは！暦も11月へと変わり、朝・夜の冷え込みが日に日に厳しくなっていく一方で、日中はまだ日差しの強い日もあったりして、毎日の服装選びが難しい季節になってきましたね。 Mackerel チームではユニフォーム代わりにパーカーを作成しているのですが、脱ぎ着がしやすいので大活躍しています。 それでは、今週のリリース情報です。 itamae-plugin-recipe-mackerel-agent gem をリリースしました 軽量なプロビジョニングツールである itamae で mackerel-agent をインストールするためのレシピを gem としてリリースしました！ itamae-plugin-recipe-mackerel-agent | RubyGems.org | your community gem host github.com これにより、itamae を使っての mac

なんかサラリーマンになると、他人に厳しくなってるような気がする。昔の同級生や、会社の同期を見ていてたまにそんなことを思う。厳しいというのは無理難題を要求するとかじゃなくて、これくらいは働いて当然だという水準が高くなってて、それを他人に押し付けていて、そのこと自体に疑いをあまり持っていないという感じだ。 この前、ひさびさに同期と同じ電車に乗っていたときに「うちの会社だと製造部門と開発部門で給与面とかの待遇が変わりないけど、ほかの会社だと違うんだろうね」といったことを言われた。その場では一般論というつもりで「ああ、そうかもしれないね」と応えたけれど、それを言った彼が開発部門の人間で、自分が製造部門の人間だから、これってどういうつもりなんだろうと少し思った。開発部門の方が能力的に高い仕事を求められているのだし、そこで待遇面の差がつけられてしかるべきだろう、という意図には違いないだろうけど、それを

OSDI16-面白そう.md Early Detection of Configuration Errors to Reduce Failure Damage Just Say NO to Paxos Overhead: Replacing Consensus with Network Ordering Consolidating Concurrency Control and Consensus for Commits under Conflicts Kraken: Leveraging Live Traffic Tests to Identify and Resolve Resource Utilization Bottlenecks in Large Scale Web Services History-Based Harvesting of Spare Cycles and Sto

Googleの認証がいよいよ2段階認証としてセキュリティキーをサポートするようになった。 従来の2段階認証ではグーグル認証システムなどが生成する6桁のOpen Authenticationワンタイムパスワード(OATH OTP)を利用していたが、新たにFIDO Universal 2nd Factor(U2F)に準拠したハードウェアトークンを利用できるようになったのである。 早速試してみたので報告したい。 背景 U2Fは2段階認証にさらなる安全性と簡便性をもたらすことになる。 まずは簡便性について。OTPでは6桁の数字を制限時間以内に手で打ち込まねばならなかったが、U2FではUSBポートに挿さったトークンをタップするだけなので簡単である。ただしこれについてはOTPでも簡単にする方法はいくらでも考えられるので、必ずしもU2F特有とは言えないであろう。 重要なのはセキュリティである。OTPは確

Japan Product Manager Conference 2016のアンカンファレンスで話させていただいた内容です #pmconfjpRead less

- Connect USB-C Device to Your Monitor - Supports 4K Video - Compact & Foldable This is a really slick little USB to HDMI adapter! It's small, sleek and durable. It tucks nicely into a bag, or will slip into your pocket without feeling bulky. Since the USB plug tucks into the plastic body, there are no loose cables to get tangled up. You can even thread USB-C through a key-ring and carry it on you

With YubiKey there’s no tradeoff between great security and usability Why YubiKey

はじめに 突然ですが、みなさんは秘密鍵の管理、どうしていますか? SSHの接続用、メールの暗号化・署名用など、日常的に使用する様々な鍵があると思います。 私は主サーバへのSSH接続に利用する程度ですが、数台のサーバへのアクセスのため複数の端末(Win/Mac/Linux)に秘密鍵をコピーしており、鍵ファイル数が10を超えて来たあたりから「何とか上手く管理出来ないかな…」と悩んでいました。 大事な鍵のコピーが各所に散らばっているのは、かなり気持ちが悪いです。 また、言葉通りで「秘密鍵」は「秘密」にしなければなりませんが、ファイルとして存在していると、他人に見られたり、万が一ですが標的型攻撃に遭い外部に送信される・自分で誤ってDropBox等の共有サービスに公開してしまう等の危険性もゼロではありません。 理想的には、秘密鍵は物理的には直接読めないようにしたいものです。 更に、管理上、鍵の数は出

先日、前から気になっていた YubuKey を手に入れました。 セキュリティ関連のハードウェアというと Linux でのサポートはどうなんだ？というところが気になる点です。 YubiKey は Linux もサポートしており、（むしろ Linux の方が柔軟）設定関連のソフトウェアも揃っています。 今回は YubiKey で何ができるのかも含めて紹介したいと思います。 YubiKey のタイプについて 尚、今回使用しているのは YubiKey NEO です。 外部サービスの2段階認証だけでなく抜き差しをする想定のため、NEO を使用します。 外部サービスの2段階認証のために使うのであれば抜き差しをあまり行わない nano でもいいかも知れません。 とはいえ U2F の機能があるものが良いと思います。 YubiKey はセキュリティで使用する設定をプログラムすることができます。 YubiKe

こんにちは。照井@雪降る街です。 通勤が無くなったので、その時間分ダイエットのために毎日朝と夕方にウォーキングをしてるんですが、雪が降ったり寒くなったりしてきて、心が折れそうになってきています。 弊社サーバーワークスは本日(2016年11月4日)、AWS環境における先進的なMSPシステムと体制を有する「次世代MSP」として認定され、MSPプログラムの最新3.0更新認定を取得したことを発表いたしました。 つまり、現時点でも高い品質が認められたわけではありますが、ここで満足せず、Datadogを始めとした様々なSaaSを活用し、さらなる品質の向上と効率化へ取り組んでおります。 今回はその一環として、VictorOpsというサービスを検証しましたので、ご紹介したいと思います。 VictorOpsとは VictorOps | DevOps Alerting & Real-Time Incident

昨日に引き続きコレも本当にめも。 でもMSがどういう経緯でOSS活動を始めるに至ったか、最近のイケてるMS感がどうやって出てきたのかという話がされていて面白かった。 ソーシャルコーディングについての話もワクワクさせられたし、良いセッションだった。 githubの歴史とこれから あるプロダクトを作ろうとした人々（別々の会社にいた）がソーシャルコーディングする術がなかったから作った 創業2008年, 1500万+ユーザ, 3800rep, 600従業員, 1000大学 email, subversion,などの方法でかつてはOSSは存在していた コミュニティーの運用も大変だった 今日ではgithubでそれが一本化された。同じワークフローにすることができた 世界中のダレでもOSSに参加できるようにする コミュニティーをその周辺に作るかが重要である 企業がOSS登録することもしはじめた. 企業にと

みなさんこんにちは。@ryuzeeです。 プロダクトバックログはスクラムにおける生命線の1つです。 プロダクトバックログが良くないとプロダクトの価値がでなかったり、そもそもスクラムチームとして安定したデリバリーを行えません。 プロダクトバックログでよく起こる問題プロダクトバックログを管理する上でみなさんがよく知っているのは、並び替えをする、という点ですが、これだけではまったく不十分です。 単に並び替えだけをしたプロダクトバックログで、スプリントを始めてしまうと以下のようなことが起こります。 選択したプロダクトバックログアイテムの中身に対してプロダクトオーナーと開発チームの理解が違ってしまうそのためスプリントを開始した後に頻繁にプロダクトオーナーと会話をする必要が出てきてしまい、場合によっては本来の要求が別のものであることが判明するもしくは色々会話をしていたら、当初の想定以上に規模が大きいこ

どうも。プロダクトオーナーを普段やってるのですが、業務の何割かを占める、改善といいますか、エンハンスメントについて書きたいと思います。 前提として私のプロダクトはB2B2Cで、とある施設に導入いただき、そこのスタッフの方と一般のユーザーがアプリを利用してやり取りをするようなゆるめの業務システムです。エンジニア10名程度の小さめチームで、ゲーム・エンタメや基幹システムとは少し違うと思います。また、日々の改善なので新規企画とも違います。 ○○機能を××してほしいです。 お客様や現場担当者からこのような要望を日々よくいただきます。その要望の中からチームのリソースを用いて最良の投資対効果を出すのがぼくの仕事なのですが、ご要望を頂いてチームに落とすまでプロダクトオーナーとして自ら行っている質問を言語化してみたいと思います。 ■Clarify（クラリファイ・明確化・深掘り） 1.なんでそれがほしいと思

2016/11/03 @ PHPカンファレンス2016 2016/12/15 @ PHPカンファレンス2016再演イベントにて改訂 2017/06/10 @ PHPカンファレンス福岡2017にて改訂 2017/06/10 @ PHPカンファレンス福岡2017講演録画 https://www.…

PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する

PHPカンファレンス2016の資料です http://phpcon.php.gr.jp/2016/

疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog

（訳者注: これは、JavaScript Stack from Scratchを翻訳し、まとめて読めるように1ファイルにしたものです。元の翻訳と各種ファイルについては、日本語訳forkリポジトリを参照してください。また、原文が活発に更新されているため、訳文も追従して更新されます。ご了承ください。） モダンJavaScriptスタックチュートリアル、ゼロから始めるJavaScript生活へようこそ。 ⚠️️ このチュートリアルのメジャーアップデート版を3月初旬に公開する予定です。ご期待下さい! より詳しく(英語). これはJavaScriptスタックを使い始めるための最短最速のガイドです。このガイドは一般的なプログラミングの知識とJavaScriptの基礎を前提としています。これら全てのツールを一緒につなぎ合わせることにフォーカスしており、各ツールについて可能な限りシンプルな例を提供します。

Pmilterというサーバソフトウェアを作りました。 github.com PmilterはProgrammable Mail Filterの略で、SMTPサーバ（送信や受信）とmilterプロトコルで通信し、SMTPサーバの送受信の振る舞いをRubyでコントロールできるサーバソフトウェアです。 これまでにも、milter managerやRubyのgemを使ってmilterサーバを作るといった素晴らしいソフトウェアがありました。ですが、今回僕がフルスクラッチで作りたかった理由としては、 とにかくインストールや設定がシンプルで運用しやすいサーバソフトウェアにしたい ミドルウェアとして振る舞いを設定する感覚でRubyで制御する事に専念したい 依存ライブラリを減らしワンバイナリでサーバに配置できるようにしたい 設定変更に再起動することなくRubyを変更するだけで振る舞いを変えられるようにしたい