Got Some \W+ech?

Could be Japanese. Could be English. Android, セキュリティ, 機械学習などをメインに、たまにポエムったり雑感記載したりします。

AzureADでYubiKeyを管理しつつ認証(TOTP)する #azureAD #yubikey

FOLIOアドベントカレンダー 8日目、個人投稿2回目です。 adventar.org 8日に当社の勉強会「Scramble!」に来ていただいた皆様、ありがとうございました。 folio.connpass.com FOLIOの情報戦略のこれから_-_情報システムを添えて.pdf - Speaker Deck その場で…

踏み台環境でテレポートする

FOLIOのアドベントカレンダー1日目です。 adventar.org ブラウザから使える踏み台(Bastion)であるGravitational社のTeleportについて書きます。SSH秘密鍵を始めとしたクレデンシャル情報をローカルからなくす(もしくはクレデンシャルのアクセス権限を永続…

Go Global参加レポ

go-global.connpass.com 上記のイベントにシュッと参加してきたのでレポ。 tldr 各セッション [リクルート] コードテストでtrack.runを使ってる話と採用フロー by @yosuke_furukawa [インディーゲーム開発者]:付け焼き刃でベイエリアの面接を突破するたった…

FIDO/WebAuthNにおけるAndroid SafetyNet AttestationとKey Attestationの違い

TL;DR 背景 SafetyNet Attestation API SafetyNet Attestaion APIのチェック項目 チェックの経路 Key Attestation Authenticatorの真正性を確認できる 登録に必要な情報以外を集める必要がない 通信量を減らせる おまけ 余談 余談の余談 TL;DR AndroidのSafe…

技術書典5で新刊を出します(セキュア旅団 - 「あ10」

きたる技術書典5で「No Security No Life」 という新刊を出します。ブースは「あ10」です 新刊 各章を紹介します。 PowerShellによるWindows APIプログラミング by @gr4vit0n Exploit-DBでARM分野の掲載数が世界一の @gr4vit0nさんが書くPen tester向けのPo…

Financial APIs Workshop 2018 と Japan/UK Open Banking and APIs Summit 2018参加レポ #fapisum

Authlete社の創業者 川崎さんにお招きいただき次の2つのイベントに参加してきました。 (川崎さん、ありがとうございます!) ⁃ 7/24(火): Financial APIs Workshop 2018 ⁃ 7/25(水): Japan/UK Open Banking and APIs Summit 2018 両日とも満席であり金融機…

July Tech FestaでAWS GuardDutyの話してきた

本日(2018/07/29)、July Tech Festa 2018で「GuardDutyを使ったサイバー攻撃の検出と分析」の話をしてきた。 とりあえず、今年はじめにかんがえていたインフラ関係でアウトプットを出す約束を守れてよかったとおもう、ふいー。 なお、buildersconは落ち…

RSAカンファレンス 2018のお薦めスライド

RSAカンファレンス2018のスライドが公開されていたので、ざっと一通りみました。 おもに私が面白い・役に立ったなと思うもののまとめをします。 オペレーション Incident Response In the Cloud クラウド上でSANS GCIHをするには、というテーマの発表です。P…

技術書典4に出店した as セキュア旅団

技術書典4にサークル名「セキュア旅団」として、新著「俺らの愛したセキュリティ」を販売しました。 お立ち寄りくださった皆様、ご購入いただいた皆様、誠にありがとうございました。万が一入手できなかった方のためにbooth(など)でダウンロード購入でき…

DroidKaigi2018で発表した内容の補足とスタッフとしての役割

DroidKaigi2018でスピーカーとして「認証と認可と君と」というタイトルで話してきました。 speakerdeck.com また、併せて微力ながらもスタッフとしてお手伝いさせていただきました。 スピーカーとして さて、技術的なところは今後ステップバイステップでコー…

2017年を雑に振り返って、2018年の目標を雑に立てる

2017年振返り 1月 Android(Java)以外のプログラミングとして、初めてGoを弄り始める。自分ツールとして、GSuiteのコマンドラインツールをGoで作成。Slack Botも作成していたりしました。Reduxを勉強し始めている形跡があるが、正直ここらへんは自分のキャリ…

Androidアドベンドカレンダー、Firebase Authenticationで電話認証する #Android #Authentication

Android アドベントカレンダー 20日目の記事です。 qiita.com とある同人誌に掲載する予定だったのですが、風邪でぶっ倒れて書けなかった最終章をこちらに書きます。 内容は、Firebase Authenticationを使った電話認証のあれこれです。以降、「Firebase Auth…

High Sierraのパスワードレスrootログインの注意点と対策方法

japanese.engadget.com 話題になってるので、改めて説明をする必要はないと思うので、注意点・対策方法について記載しておく。 注意点 どこかの記事の対策として"root"を無効化する、とあった。でも、rootと打ち込むと勝手に有効化されるので意味がありませ…

GCPのIdentity-Aware Proxyためしてみた #GCP #IAP

GCPで動かしてるWebサービスのstg環境にIdentity-Aware Proxy(IAP)噛ませてみた。これにより外部からアクセスする際、ドメインのサイトにたどり着く前にGoogleアカウントの認証が必要になった。事前に許可されたGoogleアカウントでなければサイトにたどり着…

DockerfileのADD/COPYに--chownオプションができた

11/10: 追記。CI/CDでの制限について書いてなかった。 Dockerのベストプラクティスに、サービスをnon-rootユーザーで走らせなさい、というのがある。 docs.docker.com そうすること自体は簡単なのだけれども、当然ながらユーザー権限にあわせてコンテナ内の…

SMSによる2要素認証は本当に非推奨なのか?

きっかけ ssmjpで発表してきました。最近、「NISTはSMSによる2段階認証を非推奨」という記事をよく見るようになりました。でも、それって昨年度のPreview版の話で、2017年7月のPublic版でもそうなの?という疑問がわいたので、根性だしてNIST SP800-63bを読…

(翻訳)セキュリティで飯食いたい人向けの行動指針

(7/21) コメント欄の指摘を受け英訳追記 前文 本記事はGoogleのセキュリティ担当者 Parisa Tabriz氏(異名: Security Princess)のSo, you want to work in security?を翻訳したものです。 go for it!— Parisa Tabriz (@laparisa) 2016年12月25日 うっ…半年以…

チェキしたいセキュリティ系スタートアップ - 2017年編

1月から書こうと思ってた内容をいまさら書くという。 多分偏ってる。 所感: 大体のサービスにおいてポリシーをもとに設定するという文が目立った。恐らく会社のポリシーがあることが前提になるので、それをしないで導入しても所謂運用でカバーするみたいな残…

GCP + k8sで共有registryからコンテナImageを読み込む #gcp #メモ

プロジェクト毎にregistry作るの意味なくね?と思ったので、ほぼ全てのコンテナImageをアップロードしたregistry付きプロジェクト(以降project-reg)を作った。 ここに対してImageをpullするには、docker login -e相当のことをpodでしなければならない。 Serv…

GCP上のプロジェクトをTerraformで作成する #GCP #Terraform

追記 2017/05/12: 下記の備忘録は正確ではない可能性がある。下記の設定を実際に反映させてないのに、プロジェクトが作成できたから。 本編 GCPの備忘録を作っていこうと思う。 今までプロジェクトを2個つくり、最初は GUIでポチポチと、2個目は極力gcloud …

Railsアプリ(Production)のシークレットキーをGKE & k8sに読み込ませる

An unhandled lowlevel error occurred. The application logs may have details. kubectl create -f services hogehoge.ymlし、公開IPにアクセスした際に出た表示↑ Application系のエラーらしいので、kubectl logs -f [POD_NAME] [IMAGE_NAME]でログを流し…

DroidKaigi2017の振返り「ドキッ★脆弱性 onCreate() から onDestroy() まで」#droidkaigi #android

DroidKaigi2017に登壇・運営スタッフ参加したので、その振返りです。 ドキッ★脆弱性 onCreate() から onDestroy() まで スピーカーとしての振返り 8000円の参加費をとる平日開催のカンファレンスなので気合いれてたつもりだ。 まずやったことは、OverViewの…

Demistoによって俺たちはSOCから解放されるのではないか #セキュリティ #chatops #demisto

結論: とりあえずSlackのintegrationでDemisto入れてみようず Demistoとは SOC的な業務は面白い事も沢山ありますが、それと同じくらいダルくもあります。例えば、「ドキュメントの作成」「進捗図の更新」「エビデンスの確保」「レスポンス前の細かい初期確認…

もしも社長がセキュリティ対策を聞いてきたら

もしも社長がセキュリティ対策を聞いてきたら(日経BP Next ICT選書)作者: 蔵本雄一出版社/メーカー: 日経BP社発売日: 2015/06/30メディア: Kindle版この商品を含むブログを見る 上記のメモといっても、自分が流し読みした本に対するいいまとめがあったので…

大陽日酸に対するサイバー攻撃についてまとめてみた

イントロ 工場や医療現場で使われる酸素や窒素、二酸化炭素などを製造、販売する国内最大手の大陽日酸がサイバー攻撃に合っていた模様。報道された2017/1/1には対応済みっぽい。 タイムライン 日時 出来事 備考 2015/11 最遅でもこの時点で侵入済み 2016/3/1…

2016年の振り返りと2017年の目標

振返り Keep ジムにコンスタントにいくこと 登壇すること 勉強会にもよく参加してた Docker/SIEM/AWS/GCPなどに取り組んだのは良かった。 Goを始めたのもよかった。 本は結構読んだ Problem やる気にムラがあった お金系(401k, NISA使い切らない)などがなか…

Googleが買収したセキュリティ企業

2016年12月までにGoogleが買収したセキュリティ企業を調べてみた。きれいな案件だけでなく、潰しにかかってるっぽいものもあって面白かった(小並感。企業買収をExitとするなら、対象企業がカバーできてないソリューションを開発するのがいいという事だけは…

AndroidのConcealライブラリの中身を読む

色々あれがこれなので、Facebookが出している暗号化ライブラリ「Conceal」のソースコードを読んでみました。 使い方については、こちらの記事を参照いただくといいと思います。 Concealとは Facebookが開発したライブラリです。共通鍵暗号アルゴリズム AES(2…

GoでAESアルゴリズム(GCMモード)を使った実装をする

GoでAESアルゴリズム(CBCモード)+PKCS7パディング+HMACを使った実装をするの続きです さて、前回はHMACを組み合わせることで、暗号化における機密性(Confidentiality)だけでなく、完全性(Integrity)からなる認証まで実現することができました。しかし、これ…

GoでAESアルゴリズム(CBCモード)+PKCS7パディング+HMACを使った実装をする

GoでAESアルゴリズム(CBCモード)+PKCS7パディング+HMACを使った実装をするの続きです。 さて、前回はAES+CBC+PKCSパディングを使った実装例を紹介した。パディングを使って、任意の平文をブロック型暗号で暗号化することが可能になったが、一方で脆弱性がう…