パスワードを決める画面でのアホなルールを集めたリポジトリ dumb-password-rules | 秋元@サイボウズラボ・プログラマー・ブログ
dumb-password-rules/dumb-password-rules パスワードの登録や更新画面で出てきたおかしな制約やエラーを募集している GitHub リポジトリがあります。 あほなパスワードの文字制限を分類 多数の事例が載っていますが、代表的なものをグループ化してみます。 文字種や記号を謎に制限 「% は使えません」「\ は使えません」 – 内部でエスケープしちゃうんですねわかります。ちゃんと作ってあればこんな特例要らないと思うんですが。 「記号で使えるのは ? ! $ €% & * _ = – +. ,:; / () {} [] ~ @ # だけです」 「記号はアンダースコアとハイフンだけ使えます」 「数字や記号は使えません」 「使える記号がありますが、どの記号が使えるかは秘密です」 「パスワードは5-15文字です(が、スペースは文字数としてカウントしません)」 「パスワ
これがホントのドレスコード | 秋元@サイボウズラボ・プログラマー・ブログ
Got my monokai skirt from @naughtygits. Never thought minified JavaScript would look this good pic.twitter.com/8nILDSNd3C — jessie wu (@jessie__wu) July 18, 2017 柄に使われているコードはminify された Lodash らしいです。 redditによると、このミニスカートを含めた同ブランド monokai の服やグッズは naughty {gits] というオンラインショッピングサイトで売られていて、上のミニスカートは $44.95(4840円) ということです。 普通のスカート、タンクトップ、レギンス、等も同じ柄でありますが、パーティードレスは無さそう。 プログラマーの多いパーティーがあればウケるかもしれません。
ゼロ幅文字にエンコードした隠し情報で、文書をリークしたメンバーを特定 | 秋元@サイボウズラボ・プログラマー・ブログ
とある会員制掲示板からの文書の流出に困った運営者が、ユニコードの見えない文字「ゼロ幅文字(Zero-Width characters)」を使って流出させたユーザーを特定した、という話が出ていました。 数年前の話、Tom さんが所属していた競技ビデオゲームのチームでは、ログインが必要なプライベートの掲示板を使って連絡していました。その掲示板に書かれた秘密情報や戦術に関する重大アナウンスなどがしばしば掲示板外のウェブにコピペされ、チームにとって大きな問題となっていたそうです。 外部ユーザーの攻撃で中身が漏れたというよりは、メンバーの誰かがコピーしているのでは、と考えた Tom さんは、当時気になっていたユニコードのゼロ幅文字を使ったトリックを仕掛けたそうです。 ユーザーを特定する情報を、見えない文字に変換して埋め込む ログイン中のログインユーザーのユーザーIDを、一定のルールによってゼロ幅文字
恐怖の JVM 大量メモリ消費！メモリリークの謎を追え！！ - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、ミドルウェア開発チームの青木(@a_o_k_i_n_g)です。将来の夢は川口浩探検隊に入ることです。 先日、弊社のアプリケーションサーバーで大量にメモリを消費するという現象に遭遇しました。アクセス頻度の低いサーバーがメモリを大量消費するという謎深いものでした。 発生当初の状況はこんな感じです。 アプリケーションサーバーでは Jetty が稼働 現象が発生した JVM は 5GB 程度のメモリを消費しており、明らかに通常ではない量のメモリを消費している 複数台のサーバーで発生していたが、全てで発生したわけではない。 また、発生したサーバーはいずれもアクセス頻度が少ないサーバーだった。 ヒープ、パーマネント、スタック ひとまず、JVM でトラブルが発生した時は何はともあれヒープダンプとスレッドダンプを見るに限ります。各種情報の取得をインフラ部隊へ依頼し、得られたヒープを解析すると、
Docker で Selenium Grid の環境構築をもっと楽に！ - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、kintone チームの宮田です！ 今回は、Selenium/Appium Advent Calendar 2014 15日目の記事として、Docker を使った Selenium Grid の環境構築方法について説明します。 背景 kintone チームでは、Selenium Grid を使用して Selenium テストを並列化しています。これまでは、VM で環境構築していたのですが、VM 数が増えてくるにつれてメンテナンスコストが上がってきたので、Docker による楽な環境構築方法をチームで探求していました。そこにいいタイミングで本家の Docker イメージのリポジトリが作成されていたので、使ってみることにしました。 Docker のインストール OS は、Ubuntu 14.04 を使用します。 公式HPでは、docker.io パッケージのインストールと lxc-
kintoneのJSユニットテスト最新事情 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。kintone開発チームの天野 (@ama_ch) です。 最近はJavaScriptのテストツールが著しく進歩し、日々新しいツールが登場しています。kintoneの開発もこれらのツールによって支えられています。 kintone開発チームでは、昨年末頃からテスト環境の改善に取り組み、モダンなツールセットに乗り換えました。今回は、現在のkintoneのJSユニットテスト環境について紹介します。 kintoneとJSユニットテスト 数年前からユニットテストと自動化の仕組みはあったのですが、ごく一部のユーティリティ関数に書かれているのみで、普段の開発には活用されていませんでした。 ここ1,2年ほどで テストスケルトンを生成するジェネレータスクリプトを作る テストの書き方をまとめたドキュメントを用意する MTGで「ユニットテストを書かなくていいのは小学生まで」などと煽る コードレビュー
Microsoft Office 2007ファイルに対するパスワード攻撃の実装実験 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちはサイボウズ・ラボの光成です。 先日社内でハッカソンというイベントがありました(Cybozu Hackathon開催)。私はMicrosoft Office 2007ファイルに対するパスワード攻撃の実装実験を行ってみたのでその報告をします。 パスワード攻撃とは、暗号化されたOfficeのファイルに対して総当たり、あるいは英単語辞書、よく使われているパスワード一覧などにあるパスワードを一つずつ試して正しいパスワードを見つけることです。 そのような機能を持つツールは既にいくつもありますが, 自社で保持しているといろいろなサービスに組み込みやすいかなと思って作ってみました。 暗号化フォーマットの仕様 Office 2007以降で使われるファイルの暗号化フォーマットの仕様は[MS-OFFCRYPTO]: Office Document Cryptography Structure Spec
Security Challenge の攻撃者をリアルタイム監視してみた - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、Hazama チームの萩原(@hagifoo)です。 cybozu.com Security Challenge へのご協力ありがとうございました。おかげさまで cybozu.com 及び kintone はより安心して使っていただけるサービスになりました。 当然、期間中は攻撃者のみなさまにより色々な攻撃を受けていたわけですが、我々もただ黙って見ていたわけではありません。kintone チームの刈川さん(@karihei)と攻撃を可視化するシステムを作って、セキュリティチームによるリアルタイム監視を行っていました。今回は、Security Challenge 用に作ったリアルタイム監視システムの概要とそこから学んだことを書いてみます。 モチベーション リアルタイム監視システム アーキテクチャ UI 学んだこと リアルタイムは空気感を伝える 大事なのはどう視せるか まとめ モチベ
出張Shibuya.XSS「HTML5×セキュリティ」を開催します | TAKESAKO @ Yet another Cybozu Labs
今週末1/18(金)に開催される「エンジニアサポートCROSS 2013」にて、出張Shibuya.XSS「HTML5×セキュリティ」を開催します！ 「エンジニアサポートCROSS 2013」 http://www.cross-party.com 開催日時：2013年1月18日（金）10:30～17:30、17:45～20:00 開催場所：ベルサール新宿グランド 参加者数：(定員：1000人) ■HTML5 x セキュリティ（B会場）11:40～12:40 セッションオーナー 竹迫良範 (@takesako) / サイボウズ・ラボ株式会社 登壇者 mala / NHN Japan株式会社 はまちや２（セキュリティエンジニア） はせがわようすけ / ネットエージェント株式会社 今回は200人入れる会場を手配できましたので、クロスする話をみんなで楽しく出来ればと思います。 このセッションは諸事
サイボウズのPython コーディング規約 11 カ条 - Cybozu Inside Out | サイボウズエンジニアのブログ
ymmt2005 こと山本泰宇です。こんにちは。 cybozu.com のインフラ開発チームでは仕事のかなりを Python でこなしています。 Python を選んだ理由は以下の通りです。 便利だから Python には "batteries included" と呼ばれるほど豊富な標準ライブラリが整備されています。例えば HTTP で通信するとか、JSON データを読み込むといった良くある仕事のためにいちいち外部ライブラリを探さなくていいのです。 堅いプログラミングができるから 例外やモジュールといった現代的な機構が備わっているので、ベターシェルスクリプトとして使うのに適しています。 書き方にバリエーションが少ないから チーム開発では他の人が書いたコードを手直しすることは良くあります。書く人によって書き方がいくつもあるような言語より、レビューや修正がしやすいと考えています。 標準的に使
PRML副読本「パターン認識と機械学習の学習」を出版します | TAKESAKO @ Yet another Cybozu Labs
2010年～2011年に社内で開催した機械学習勉強会の『パターン認識と機械学習』読書会で、光成さんが素晴らしいアンチョコを作ってくれました。PDFファイルは既にgithub 上で公開されていますが、このまま埋もれさせておくのはもったいないということで、暗黒通信団の同人誌として正式に出版されることが決まりました。 ※ 表紙のデザインは今後変更される可能性があります。 目次は以下の通りです。 第 1 章 「序論」のための確率用語 1.1 確率変数は変数なのか.............................. 7 1.1.1 確率空間(Ω, F, P)............................. 7 1.1.2 σ 加法族..................................... 8 1.1.3 確率変数X..........
Kazuho@Cybozu Labs: (Twitter の XSS 脆弱性に関連して) 構造化テキストの正しいエスケープ手法について
昨日の Twitter の XSS 騒ぎは、まだ皆さんの記憶に新しいことと思います。いい機会なので、ツイートのような構造化テキストのエスケープ手法について触れておきたいと思います。 Twitter のメッセージは、単なる平文（プレインテキスト）ではなく、「@英数字」のような他のユーザーへの言及と「http://〜」のような URL を自動的にハイパーリンク化する構造化テキストです。 このような複数のルールをもつ構造化テキストを HTML 化する際には、どのようなコードを書けばいいのでしょう？ まず「@〜」をリンク化してから、URL をリンク化すればいいのでしょうか？ それだと、@〜 のをリンク化した A HREF タグの中の URL がさらにリンク化されていまいますね。 では、URL をリンク化してから @〜 をリンク化すればいいのでしょうか？ それだと、@ を含む URL があった場合に
1972年の絵文字(エモチコン) | 秋元@サイボウズラボ・プログラマー・ブログ
Emoticon(エモチコン)、スマイリー(smiley)、絵文字、アスキーアート、いろいろ呼び方はあるけど、コンピュータスクリーン上で文字を使って絵を描くことで感情を表したもの。今ではだれでも、堅苦しくないチャットやメールなんかでは特に、使っているだろう。 “:-)”が(横倒しになった)笑った顔を現すというSmileyは、1982年に発生したと言われている。 上の絵文字、イリノイ大学のPLATOという教育用ネットワークシステムでの掲示板で使われていた、おそらく最古のエモチコンだという。時は1972年。 …1972年だよ? 驚きだなあ。そんなに前から掲示板システムというのがあって、その時にはすでに文字で絵を作って遊ぶことも既に始まっていたなんて。 左側にある四角い絵がそれなんだけど、これは当時の文字しか表示できないコンピュータの端末上で、制御文字を使って一文字カーソルを左に戻し、その上に新
はてなブックマークはソーシャルブックマークではない…はてなダイアリがブログでないようにね | 秋元@サイボウズラボ・プログラマー・ブログ
タイトルは元記事タイトルをもじってみたかっただけ。 前にYahoo!ブックマークやYahoo!みんなのトピックスの参加者の多さについて書いたところ、反論をいただいた。 Future is mild : Yahoo!ブックマークはソーシャルブックマークではない…Yahoo!ブログがブログでないようにね 現在CGM或いはfolksonomyサイトとしてまともに機能しているのははてなブックマーク、次いでlivedoor clip,Buzzurlと言うのが俺の印象です。 ということなのだけれど。それは、何をもってソーシャルブックマークとするか、のところで「はてなブックマークが実現しているもの==ソーシャルブックマーク」という前提を持った場合の話に過ぎないのでは、と思った。 ヤフーブックマークの利用者数の多さが伺えます…だがしかし、ちょっと待って欲しい。人気ブックマークTOP200を順に見ていくと、
twitterで7000人にフォローされる方法。あるいはtwitterスパム注意報 | 秋元@サイボウズラボ・プログラマー・ブログ
twitterを使ってる方も多いのではと思うのだけれど、みなさんはユーザーjmcoonをフォローしてたりしないだろうか? twitterではfollowスパムの活動がひどくなってきているようだ。 twitterでは、他のユーザをfollowすることで、その発言(tweet, つぶやき)を自分のページで読むことができる(API経由でツールで読むときも同様)。 多くの人にfollowされている人は、twitterでつぶやいただけで多くの人に意見やリンクを紹介できる、ということで、その影響力を表すためにfollowerの数をランキング化するtwitterholicのようなサイトも存在する。 本当の有名人(Digg創業者のケビン・ローズさんとか、大統領候補のオバマ氏)は、4万人を越える購読者(followers)が実際についている。しかし、人気があるからfollowers数が多い、を逆用して、fo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
血まみれ壁紙 | 秋元@サイボウズラボ・プログラマー・ブログ
Webサービスファッション | 秋元@サイボウズラボ・プログラマー・ブログ
不自然言語処理コンテスト開催中、Baidu絵文字入りモバイルウェブコーパスがすごい | TAKESAKO @ Yet another Cybozu Labs