LOCAL Developer Day Online ’21 /Security に参加してきたよ

LOCAL Developer Day Online ’21 /Security に参加してきました。セキュリティの知見を広げるよい機会となりました。主催したLOCAL、せきゅぽろのみなさまありがとうございました。

 Developer-First Securityという考え方


  • Developer-First Security の背景
    • 設計・開発者が安全にものを作れるとセキュリティってよくなるんじゃない？
      • セキュリティの範囲は広い
      • 人によって「セキュリティ」が指すものは違う
      • セキュリティに関わる人も多い
      • 設計・開発者が安全にものを作れる環境が大事では？
      • 安全にものを作れるよいプラクティスはあまりないのではないか
    • うまくいっているセキュリティプロダクトにはDeveloper-Firstという共通点がある
      • これまでのセキュリティプロダクトに課題があった
        • すぐ使えない、コストが高い
        • UXが常人向けではない
        • 開発者の環境になじまない
      • セキュリティプロダクトでうまくいっているスタートアップの共通点としてDeveloper-Firstという考え方があるようだ
  • Developer-First Securityとは
    • 1. 開発者の活動圏にとけこんでいく
      • 開発フローに組み込める製品にすることで開発者のセキュリティへの関心や行動を自然に引き出すようになっている。ツールに密結合したりしている。
        • ex.) Snyk：GitHubと連携して改善のアクションまでをサポートしている
        • ex.) GitHub：数多くのセキュリティ機能を展開している。
    • 2. 開発者の技術スタックにとけこんでいく
      • 例えば認証処理なんかは要件が複雑になりがち。ここをサービスとして提供することで技術スタックに押し込む。認可のサービス化もあったりする
        • ex.) Auth0
        • ex.) build.security
    • 3. 開発者の手元にとけこんでいく
      • 例えばDevOpsは開発者と運用者の間を埋めるものだった。DevとOpsが一緒のもの"コード"を見ることができるようにした。
      • セキュリティチームの扱っていたものを"コード"で保湯元可能なものに変化するとDevSecOpsとして進化するのではないか。いくつか取り組みがある
        • Policy as Code
        • Open Policy Agent（この考え方をもとにした実装としてGatekeeperがある）
        • InSpec
  • "セキュリティ専門家"への期待が変化してきている
    • 開発者の外側でセキュリティの専門家として君臨する存在から、開発者と協働して知識をプロダクトの形で民主化する存在へ

情報セキュリティ勉強会(SC4Y)のご紹介と技術を学び続ける価値について考える

  • 困難な状況をなんとかやっていく
    • 困難とは？自己実現
    • 自分自身のストーリーの中での自己実現の困難さがある
    • それって情報セキュリティとどういう関係が?
    • これまでセキュリティに関わる法律が1980年代から施行されてきた
    • 情報モラル教育は2008年から開始
    • サービスを開発するときは違法じゃないことでも時代の変化と要請に対応していく必要がある
  • 若者がセキュリティを学んでいく場としてSC4Yを立ち上げた
    • 情報セキュリティを１人の力ではまかないきれない
    • 技術を学び続けることが時代をサバイブする手段では？

製品セキュリティのお仕事

  • PSIRTとは(Product Security Incident Response Team)
    • 自分たちの製品のセキュリティに注目して活動するチーム
    • CSIRTは組織が対象、PSIRTはプロダクトが対象
  • やっていること
    • 脆弱性の検出・評価
    • 脆弱性情報の公開（第三者機関での脆弱性診断を受けている）
    • 製品セキュリティに関する相談窓口
  • 開発者をセキュリティの視点で支援しているよ

タイでの生活やセキュリティ教育について

  • タイ：飛行機で6-7時間、GMT+7、道民的には常夏、乾季と雨季がある
  • 高専：道内に4つある
  • タイ高専
    • 「タイに高専を輸出する」プロジェクトで2校設立
      • KOSEN-KMITL
      • KOSEN-KMUTT
  • オンライン授業
    • すべてのFace to Face イベント中止、オンライン授業に
    • 宿題回収：Google Classroom
    • オンライン中継、ホームルーム：Microsoft Teams
    • PythonとかPMBOKとか教えている、後期は実習もある

IoTとセキュリティ

  • セキュリティあんまり専門じゃないんで、話題提供として聞いてね
  • スマートスピーカーのセキュリティリスク
    • 子供がドールハウスを注文しちゃった事件
    • バーガーキングのCMで「OK, Google, What's wapper」
    • 動画配信のコメント読み上げで「私の住所は？」
    • 録音されている？
    • いまは改善されていると思われる
  • Audio Adversarial Examples
    • 人間にばれないようにスマートスピーカーへ命令できちゃう
    • （デモがあったけど、まったく判別不能だった）
  • 行動認識
    • 音とか電力消費とか、トイレットペーパーの巻き取り方（！）とか
    • 漏れても問題ないと思ったら思わぬ情報が漏れることもあるんで、よりプライバシーへの配慮が必要そう
  • IoT機器をターゲットとしたマルウェア
    • Mirai(2016)：ネットワークカメラ、家庭用ルータ等のLinux機器をターゲット
    • 最近はIoT機器を模したハニーポットが研究されていたりもする
  • IoTセキュリティ大事
    • コンピュータセキュリティの対象は情報だったので、個人情報や資産が脅かされる可能性があった
    • IoTセキュリティは対象が物理空間に広がるので、人体の安全が脅かされる可能性があるよ
    • IoTのセキュリティには幅広い知識が求められるよ
    • セキュリティガイドラインがIPAから出ているよ。みてね
    • 参考になる本もいくつか出ているよ

ライトニングトーク大会

  • レゴプログラミングで学ぶ、７歳からのセキュリティ（再演版）
    • 作例に金庫があった。ルパンレンジャーvsパトレンジャーで興味を持った
    • 作ったあとに改造してきた。ダイヤルを回す回数を増やしたらセキュリティが頑丈になる！...と思う
    • 同じキットで二要素認証の体験ができるのでは？と思ったけど、まったく別のものに組み変わっていたw
  • 七年半ぶりに本で人をつなぐ企画をやりました
    • 2013年のLOCAL学生部でやった企画の焼き直しをやった
    • 本プレゼント企画
    • Amazon経由だと住所等の個人情報を一切受け取らずに自宅に発送可能だった
    • 参加者15人に対して40冊以上の推薦が集まった。送りきらん
    • 即効性はなくとも長い人生のどこかで聞いてくるはず。新しいなにかにふれること大事
  •  SecHack365で思索する
    • （SecHack365とはー、と思っていたら終わっていた...）

コメント

コメントを投稿

このブログの人気の投稿

PostgreSQLで多次元配列を1次元配列に展開したい

イメージ
この記事は PostgreSQL Advent Calendar 2016 の8日目の記事です。 PostgreSQL では配列型がサポートされており、多次元配列を扱うことができます。 データ集計などを行う際に配列型を利用することで多少難しいロジックの実現や速度の向上といった恩恵を得ることができる場合があります。 ところがマニュアルの 配列関数と演算子 の項目を眺めてみるとお気づきになると思うのですが、多次元配列を1次元配列に一発で展開するような関数は用意されていません。 以前、ARRAY_FLATTEN が欲しいなぁと思って調べてみたのですが、現時点では何らかの方法で自前で実現してやるしかないようです。 今回、次の3種類の方法を検討しパフォーマンスについて調査してみました。他には自前で集約関数を実装するという方法もあると思いますが、今回は標準の機能で実現できる方法に絞っています。 UNNEST & ARRAY_AGG ARRAY_TO_STRING & STRING_TO_ARRAY LATERAL & UNNEST & ARRAY_AGG 結果としてはどうやら3の方法が、そこそこ安定した速度が出て、気をつける点も少ないため扱いやすそうでした。 追記：あとで気づいたけどスカラサブクエリでも良かった。
続きを読む

inotify でファイル監視しようず！

イメージ
先日 @volpe_hd28v さんから inotify いいですよ！っていうお話を聞いたので早速メインで使用している Ubuntu 環境で使ってみます！ 使用にあたっては次のページを参考にさせて頂きました！ inotify でディレクトリを監視してみる - いますぐ実践! Linux システム管理 / Vol.157 ざっくり概要 インストール： sudo apt-get install inotify-tools 使用： while inotifywait -r -e modify 監視対象; do したいこと（make とか）; done
続きを読む

ジャックパーセルのかかとの内側を直した

イメージ
2シーズン履いたジャックパーセルのかかとの内側の布が破れてきてしまっていたので修理した。壊れたものを分解したり直したりするのはなかなか楽しい。 白い革のジャックパーセル。結構汚れているように見えるが実際結構汚れている。 こんな感じでかかとの内側に貼ってある布が破れてきていた。こうなるとかかとがめっちゃこすれるようになるので、靴下に穴が空いたりかかとが靴擦れになったりして塩梅がよくない。今回はこれを修理していく。 紺色のインソールがはいって。ジャックパーセルにはかなり厚手のインソールがついている。これは僕が持っている登山用の靴のインソールより厚手だったりする。 使うのは代わりの布とハサミとボンド。この写真では2種類布を用意してあるけど最終的は奥にある濃い紺色の布だけを使った。ボンドは手芸店で売っていた皮革とか布とかゴムとかをつけることができるやつ。先日はシャンプードレッサーのプラスチック棚を直すのにも使ったりした。ほとんど万能、とても便利。 ちなみに今回は手元にあるものを使って直したけど、道具がない場合はAmazonとかで売っている修理キットをそちらを使った方が簡単だと思う。ネットの噂によるとちょっと高めになるけど靴の修理屋さんとかでも直してもらえるらしい。 破れてベロッとなっていた部分の布を切り落とす。破れていた部分以外は接着剤か何かでくっついているようで簡単には剥がせなかった。 インソールを外した方が作業がしやすいので、作業時は外している。 破れた部分に貼る布を適当に切って合わせてみる。端の部分はほつれてくると嫌なので折り返してボンドで止めた。 布は手元に持っていた紺色のものを使った。質感からなにがしかのジーンズ生地のきれっぱしだと思われる。元は白い布が貼ってある場所なので白いガーゼ布みたいのでももちろん問題ないし、柄物の生地とかでも面白いかもしれない。 サイズもよさそうだったのでボンドで貼り付けていく。中心の線を最初に留めてそこから左右を留めていくとやりやすかった。底の面のあたりはどうせインソールで隠れるので綺麗に切りそろえたりはしなかった。 インソールを入れたところ。インソールの厚みがあるので、下の方はほとんど隠れている。まあまあよさそうだ。今回使った布がインソールとかなり色の近い紺なのであまり違和感はないと思
続きを読む