タグ knqyf263
人気順 5 users 10 users 100 users 500 users 1000 usersKeyTrap （CVE-2023-50387）を検証してみた - knqyf263's blog
DNSは趣味でやっているだけですし有識者のレビューを経ているわけでもないので誤りを含むかもしれませんが、DNS界隈には優しい人しかいないのできっと丁寧に指摘してくれるはずです。 要約 背景 詳細 DNSSECとは？ DNSSECの可用性 鍵タグの衝突 攻撃内容 SigJam （単一の鍵 x 多数の署名） LockCram（多数の鍵 x 単一の... 続きを読む
OSSをベースにしたサービス提供の難しさ - knqyf263's blog
2023/06/07
338 users
OSS
レベニューシェア
pull request
移行
背景
背景 難しさ 利益相反になりがち 競合OSSの存在 コミュニティからのPull Request 競合サービスによる利用 レベニューシェアにならない 利用統計が取れない やっておくべきこと お金を払いたい機能を見極める 境界線を決める ライセンスについて考える 利用統計の取得方法について考える OSSから有償版へのスムーズな移行... 続きを読む
至高のGoプラグイン用ツールを作った - knqyf263's blog
2022/08/29
83 users
至高
YouTuber
Blog
りゅうじ
パク
最近YouTuberのリュウジの料理を毎日作っているので至高とか無限とか言いがちですが個人の感想です。万人にとって美味しい料理はないように、万人にとって至高のツールは存在しません（何の話？）。ちなみに公開してすぐバグを見つけてしまったので全然至高じゃありませんでした。 要約 概要 特徴 使い方 流れ 事前準備 ... 続きを読む
Dirty Pipe（CVE-2022-0847）の発見経緯が面白かった - knqyf263's blog
2022/03/28
234 users
Dirty Pipe
Blog
Trailer
gzip
パク
最初に断っておくと今回は万人向けの記事ではないです。面白かったので自分が忘れないようにまとめているだけです。 本記事の位置付け はじめに 発見経緯 CRCのエラー HTTPアクセスログ 壊れたgzipのtrailerを見てみる 壊れたファイルの法則性 月次ログファイルの生成 Linuxカーネルのバグの可能性 バグ混入の歴史 ログ... 続きを読む
セキュリティツールの評価は難しい - knqyf263's blog
2022/03/14
304 users
セキュリティツール
Blog
評価
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 ... 続きを読む
20分で分かるDirty Pipe（CVE-2022-0847） - knqyf263's blog
2022/03/11
271 users
Dirty Pipe
マージ
Blog
極限
可否
極限まで詳細を省けば何とか20分で雰囲気だけでも伝えられるんじゃないかと思って書きました。書き終えてから見返したら多分無理なので誇大広告となったことを深くお詫び申し上げます。 背景 概要 脆弱性の影響 ページキャッシュやsplice パイプ マージの可否 下準備 攻撃手順 まとめ 背景 先日Dirty PipeというLinuxカ... 続きを読む
Docker DesktopからRancher Desktopに乗り換えてみた - knqyf263's blog
2022/02/01
364 users
Rancher Desktop
Docker
Blog
宣伝
この記事はPRを含みます。 概要 背景 移行 Docker Desktopのアンインストール Rancher Desktopのインストール Kubernetesクラスタの無効化 宣伝 まとめ 概要 Rancher Desktopがcontainerdに加えdockerにも対応したのでDocker Desktopから乗り換えてみました。 背景 2021年9月にDocker Desktopが有料化されました。移行期... 続きを読む
自分でやるべき（ように思える）ことを得意な誰かに任せるという考え方 - knqyf263's blog
2022/01/11
216 users
Blog
ポエム
考え方
自分
勢い
完全なるポエムです。自分にとって斬新な考え方だったので思わず勢いで書いていますが、知っている人からすると当たり前ですし、冷静に読み返すとだから何だよという内容に仕上がっています。読んだあとにだから何だよと言われても責任は取れません。 はじめに とある方の話 他人に任せる 記事執筆 社外発表 社内発表 マ... 続きを読む
英語ミーティングを乗り切るために身につけたバッドノウハウ - knqyf263's blog
2021/08/04
2006 users
バッドノウハウ
エピソード
前提
奮闘記
Blog
周りを見ていると何の苦もなく英語社会に適応しているわけですが、日々苦しんでいる人の奮闘記があっても良いのではないかと思って書きました。残念なエピソードを晒すことで実は自分もこうやって乗り切ってましたという人が現れお互いに助け合えることを期待しています。 概要 前提 バッドノウハウ 質問編 聞き取れなか... 続きを読む
趣味で作ったソフトウェアが海外企業に買われ分野世界一になるまでの話 - knqyf263's blog
2021/07/29
751 users
ソフトウェア
Blog
趣味
海外企業
2年前の2019年8月に以下のブログを書きました。 knqyf263.hatenablog.com 今回はその続きです。前回のブログは多くの人に読んでもらうことを意識して書きましたが、今回はそうではないです。特に得た学びを書くわけでもなく何で作り始めたのか？とかどんなことがあったのか？とか思い出話を書いているだけなので、言って... 続きを読む
Terraform, Dockerfile, KubernetesなどIaCの脆弱な設定をCI/CDで検知する - knqyf263's blog
2021/07/12
285 users
IAC
Dockerfile
Kubernetes
OSS
概要 自分の所属企業であるAqua SecurityがTFsecというOSSを買収しました。 blog.aquasec.com TFsecはどういうツールかというとTerraformの静的解析スキャナーです。Terraformの設定ファイルを渡すことでセキュリティに関する設定ミスを主に検知してくれます。 github.com そのアナウンスに伴い、TFsecは自分が開発して... 続きを読む
Goバイナリの脆弱性検知 - knqyf263's blog
2021/04/29
88 users
goバイナリ
Trivy
github.com
バイナリ
現代
Trivyのv0.17.0をリリースしました。 github.com 長い道のりでしたが、ようやくこれでGoバイナリの脆弱性検知に対応できました。夜中0時ぐらいからリリース作業を初めて気付いたら朝5時でした。 概要 Go言語で書かれたプログラムをビルドすると依存しているモジュールがバイナリに含まれます。現代のソフトウェア開発に... 続きを読む
DNSpooqの脆弱性詳細と攻撃コード解説 - knqyf263's blog
概要 要約 詳細 背景 前提 インターネット上に公開されたdnsmasq LAN内のマシンが攻撃者の支配下にある LAN内のマシンに攻撃者管理のWebサイトを閲覧させることができる 影響 中間者攻撃 汚染拡大 DDoS/Reverse DDoS CVE-2020-25684: ポートの多重化 CVE-2020-25685: 脆弱なCRC32の利用 CVE-2020-25686: 同一ドメイン名... 続きを読む
Semantic Versioningの闇 - knqyf263's blog
2020/11/10
365 users
Semantic Versioning
余談
幻想
Blog
今回も誰も興味ないシリーズなので今まで書いてこなかったのですが、Semantic Versioningに関して幻想を抱いている人がいる可能性があり、そういう方にどうしても現実を知っておいて欲しかったので書きました。3行要約（と可能なら余談）だけでも読んでいただけると幸いです。 3行要約 Semantic Versioning 2.0.0にはバ... 続きを読む
OSSエンジニアを1年やってみた所感 - knqyf263's blog
2020/08/27
254 users
所感
肩書
Open Sour
本業
ポジション
最近脆弱性の話とか本業と一切関係ないことを書いていたので、今回は本業に関する話です。 2019/08/01にOpen Source Engineerという肩書になってから既に1年が経過しました。そういうポジションの人はまだ日本では少ないんじゃないのかなと思ったので何か参考になればと所感を書いておきます。ちなみに最初の頃Open Sour... 続きを読む
趣味で作ったソフトウェアが海外企業に買われるまでの話 - knqyf263's blog
2019/08/20
1981 users
ソフトウェア
Blog
趣味
海外企業
今回はソフトウェアエンジニアじゃない人や学生にも、ソフトウェアエンジニアという職業には夢があるかもしれないと思ってもらうために書いています。そのため既に詳しい方からすると回りくどい説明も多いと思いますがご容赦下さい。 基本的に記事とかには技術的なことしか書かないスタンスでやってきましたが、今回の件... 続きを読む