こんにちは、技術部の遠藤（@mametter）です。フルタイム Ruby コミッタとして、クックパッドにあたらしく入社しました。よろしくお願いします。 最近、Ruby や RubyGems の脆弱性を発見して、その結果セキュリティリリースにつながるということを経験しました。どういう動機でどのように脆弱性を発見したか、どのように通報したか、などについてまとめてみます。Ruby の脆弱性を見つけたけどどうしよう、という人の参考になれば幸いです。 HackerOne について HackerOne という脆弱性情報の通報と公開のためのプラットフォームをご存知でしょうか。 OSS にとって脆弱性情報の管理は面倒なものです。脆弱性の通報を秘密裏に受け付け、関係者だけで議論しなければなりません。そのため、通常のバグトラッカとは別のコミュニケーションチャンネルを用意する必要があります。 そこで Hacke

最近、Ninja650に乗り換えたSREチームの菅原です。今までマルチばかり乗ってきたんですが、ツインもなかなか面白いですね。シフトペダルをガチャコンいわせながら方々に出かける毎日です。 この記事では、サービスが配信しようとして何らかの理由で差し戻されたメール—バウンスメールの管理をどのように行っているかという話しを書きます。 バウンスメール サービスがユーザに向けてメールを配信しようとすると、多かれ少なかれバウンスメールは発生します。メールアドレスが間違っている・携帯電話の設定で受信を拒否している・メールボックスが一杯にになっている・IPアドレスがブラックリストに載ってしまったためサーバにメールの受信を拒否されている…etc。完全になくすことは難しいですが、バウンスメールを放置するとメールの到達率を下げたり、送信先から一時的にメールの受信を拒否されたりすることがあるため、差し戻されてしま

オープンソースの開発現場では限られたリソースで品質管理をどうしているのか。Twitter4J、GitBucket、Asakusa Framework、power-assertの作者が討論（後編） 2016年3月8日に都内で開催されたソフトウェアテストシンポジウム「JaSST'16 Tokyo」において、オープンソースソフトウェアの品質管理についてのパネルディスカッション「OSSにおける品質管理・テストと運営」が開催されました。 （本記事は前編、中編、後編の3本から構成されます。いまお読みの記事は後編です） そのプルリクエストはユーザーを代表しているのか？ 和田氏　残り20分くらいなので、またツイッターでもらった質問に答えたいと思います。「ユーザーの5％程度からフィードバックが来るという話がありましたが、その5％からきたプルリクエストをユーザー全体の代表として受け取って大丈夫かどうか、どう考

オープンソースの開発現場では限られたリソースで品質管理をどうしているのか。Twitter4J、GitBucket、Asakusa Framework、power-assertの作者が討論（中編） 2016年3月8日に都内で開催されたソフトウェアテストシンポジウム「JaSST'16 Tokyo」において、オープンソースソフトウェアの品質管理についてのパネルディスカッション「OSSにおける品質管理・テストと運営」が開催されました。 （本記事は前編、中編、後編の3本から構成されます。いまお読みの記事は中編です） Twitter APIを叩くTwitter4Jのテストは手間が掛かる 和田氏　リリース周りの話の次は、テスト周りの話を聞いてみようと思います。みなさん、どんなテストを書いているかとか、こんなテストを書いておいてよかったとか、そういう話はありますか？ 川口氏　テストについて言うと、Asak

和田氏　このセッションは、OSSにおける品質管理やテストなどをどう考え、運営しているのか、という内容でパネルディスカッションをさせていただきます。まずは登壇者がどんな方か、自己紹介してもらおうと思います。 竹添氏　ビズリーチの竹添と申します。転職サービスの会社なのですが、今日は個人で「GitBucket」という、GitHubのような機能を提供するWebアプリケーションを作っているので、その立場で参加させていただきます。 もともと僕はSIerにいて、そのときはGitHubのような外部のサービスを使えなくて、それで社内でもGitHubのようなサービスが使えたらいいなと思ってGitBucketをはじめました。 なのでGitBucketはGitHubを参考に開発を始めたのですが、同じようなニーズを持ったお客さんが国内にも、海外にも多くいるので開発を続けています。 川口氏　ノーチラス・テクノロジーズ

本連載ではこれまで、Ansibleの使い方から実際にPlaybookを書く際に役立つTips、テストの考え方などをご紹介してきました。最終回となる今回は、サンプルのPlaybookを使って開発チームのための環境を構築してみたいと思います。今回利用するPlaybookはこちらです。 https://github.com/OSSConsCloud/ansible_wg Playbookの紹介 今回利用するPlaybookは、本連載の第2回から第7回までの著者らが参加しているOSSコンソーシアム クラウド部会の活動で作成したものです。MITライセンスで公開していますので、どなたでも自由に利用することができます。 このPlaybookでは、以下のOSSツールの環境構築を行うことが可能です。 GitLab　（バージョン管理ツール） Jenkins　（CIツール） Redmine　（プロジェクト管理ツ

［速報］オープンソースの「.NET Core 1.0」、マイクロソフトが正式リリース。Windows/Linux/macOSに対応。Red HatがRHELなどで正式サポート開始 これらのソフトウェアはオープンソースとして開発され、WindowsだけでなくLinux、macOSにも対応する.NET Frameworkソフトウェアです。.NET Coreがインストール済みのDockerイメージもマイクロソフトがDocker Hubで提供しています。 .NET Core 1.0の登場で、いままでWindowsでしか実行できなかったASP.NETアプリケーションなどが、そのままLinuxやmacOSでも実行可能になります。 引き続きWindowsでのみ利用可能な.NET環境も存在しますが、.NET環境がオープンソースかつクロスプラットフォームになる大きな転換点が訪れたと言えるでしょう。

Treasure Data provides a data analytics service with the following key components: - Data is collected from various sources using Fluentd and loaded into PlazmaDB. - PlazmaDB is the distributed time-series database that stores metadata and data. - Jobs like queries, imports, and optimizations are executed on Hadoop and Presto clusters using queues, workers, and a scheduler. - The console and APIs

このブラウザ バージョンのサポートは終了しました。サポートされているブラウザにアップグレードしてください。

「日本OSS貢献者賞」は、“⁠OSS開発の振興を図ることを目的に、影響力のある開発プロジェクトを創造・運営した開発者や、グローバルプロジェクトにおいて活躍する卓越した開発者、OSS普及への貢献者を表彰する賞⁠”です。2005年度に創設され、今回が第10回目となります。また「日本OSS奨励賞」は、“⁠過去1年間にOSSの開発や普及に顕著な活躍をした個人ないしグループを表彰する賞“⁠です。この賞は2009年度に新設され、今年度が第6回目となります。 以上2賞の授賞式が、10月24日の「OSC 2015 Tokyo/Fall」（⁠明星大学）で開催されました。賞の授与は、審査委員会委員長の早稲田大学 筧 捷彦氏が行い、司会はOSC実行委員会のNTTデータ 三浦 広志氏が務めました。 「AUFS」「H2O」「cgroups」「fluentd」の開発者が受賞─日本OSS貢献者賞 今年の日本OSS貢献者

人は、新たな環境で経験を積んでいくと、少しずついろんなことが出来るようになり、そのうち、その環境では、何でも自分の思った通りに出来るようになります。 「おら、強ぇ」状態。 これは、素晴らしいことなのですが、一つ問題があります。成長が止まってしまうことです。 人は、知らないことを経験したり、つまずきを乗り越えたときに、成長します。知らないことがほとんどなくなったり、つまずくことがなくなったりすると、成長が止まってしまうのです。 Seasar2.4、S2JDBC、SAStrutsと開発してきて、通常のサーバーサイドJavaは、十分にやりきった感がありました。このままこの場所にいるのは、心地いいんだけど、成長が止まってしまうのが不安でした。 人って不思議なもので、一定の能力でとどまるってことが出来ないんだよね。成長が止まると、能力は落ちていく。 自分はどこか、ドラゴンボールの悟空に似ているところ

Scalaで実装されたオープンソースのGitHubクローン、GitBucket 3.7をリリースしました。 https://github.com/takezoe/gitbucket/releases/tag/3.7 Markdownプロセッサの変更 Markdownプロセッサをこれまで使用していたpegdownから独自実装のmarkedjに変更しました。 markedjはJavaScriptで実装されたmarked.jsをJavaにポーティングしたもので、GitHub Flavored Markdownのより良いサポートを提供します。これによってこれまで問題となっていたGitHubとGitBucketのMarkdown記法の違いはかなり解決されています。 また、markedjはGitBucketで使うためにポーティングされたものではありますが、単なるJavaライブラリなので他のアプリケーシ

DevOps, Immutable Infrastructure, Microservices and Chaos Engineering

Track the weather and get an email when it's going to rain (or snow) tomorrow ("Don't forget your umbrella!") List terms that you care about and receive email when their occurrence on Twitter changes. (For example, want to know when something interesting has happened in the world of Machine Learning? Huginn will watch the term "machine learning" on Twitter and tell you when there is a spike in dis

クラウドを活用したデータマネージメントサービスを展開するトレジャーデータのCTO、太田一樹氏にインタビューを行った。同社がメインで開発を進めるログ収集のためのオープンソースソフトウェア「Fluentd」とコアなビジネスモデルとの関係、トレジャーデータの狙っているユーザー層、更にはエンジニアの雇用から人工知能の可能性まで幅広いトピックに及んだ。 まずはCTOとしての業務領域を教えてください。 現在はCTOという肩書きで、約80名ほどの社員の中の30名ぐらいを占めるエンジニアリングとプロダクトマネージャーを統括する仕事をしています。プロダクトマネージャーというのはアメリカのIT企業では普通なんですが、製品の位置付けとか顧客ニーズを理解したり、顧客向けのメッセージを作る役目です。それに加えて製品を使って頂いているお客様への対応を行うカスタマーサポートのエンジニアという人たちも統括しています。その

検索しているとなにかとNetflixのgithubリポジトリがヒットするので、全部（2015/07/18現在分）調査してみた。 github APIで https://github.com/Netflix のリストを全部取得して、名前・概要・URL・最終更新日時 (なんの更新だ?) を抽出。 AWS用のプロダクトが多かったのでまずそれらと、その他という分類にした。その他はほとんどがJavaライブラリ・システムだが、一部WebアプリケーションやPythonライブラリがある。 日本語での説明はReadmeやWikiを見て書いているが、理解が正しくないかもしれない。 AWS用 aws-autoscaling Tools and Documentation about using Auto Scaling URL: https://github.com/Netflix/aws-autoscalin

既に死んでいるにもかかわらず町中を徘徊（はいかい）し、人間に危害を加えようとする怪物「ゾンビ」―。2014年。ソフトウエアとしての寿命が尽きた「ゾンビOSS」が世界中の情報システムを危機に陥れた。 「Javaアプリケーションフレームワーク『Struts 1』のセキュリティ脆弱性に対応するために、国税庁の確定申告サービスが停止」「暗号ソフト『OpenSSL』の『心臓出血（Heartbleed）』と呼ばれる脆弱性が攻撃されて、大手カード会社のWebサイトから個人情報が流出」―。2014年はOSS（オープンソースソフトウエア）の脆弱性が大きな注目を集めた年だった（図1）。 脆弱性が見つかるのは何もOSSに限った話ではない。「Windows」や「Adobe Flash」などソースコードが公開されていない「商用（プロプライエタリ）ソフトウエア」にも毎月のように脆弱性が見つかっている。 それでもStr

昔、WindowsNT4の頃に、ひどい目にあったIT技術者はWindowsを感情的に嫌うひとが多いです。その反動からか、BSDやLinuxの安全思考は力強いブランドを得て、BSDはMacのベースOSとして活用され、LinuxはサーバOSとして世界中を席捲する流れになりました。 ところが最近、Linuxや周辺を取り巻くソフトウエアのセキュリティ問題が大きくクローズアップされています。 オープンソースは多くの人の目に触れるから脆弱性が見つかってもすぐに修正されるという問題は、最近新たな価値観に変わりつつあるように思えます。 ・人間は必ずバグを作りこむ ・人は間違ってないと信頼しているものには、驚くほど関心を持たない。 ・メジャーなソフトウエアでもびっくりするような不具合があった。 結局のところ、「枯れたソフトウエア」が実は枯れていなかったというのが流れで、セキュリティ問題は、全ての時計の針を最

ちょっとここ最近node.jsを騒がせてるnode-forwardについてまとめました。 node-forwardとは Node.jsを専門とするTechnical Committee(技術委員会)です。 nodeforward.org というサイトができており、簡単にそこに書かれている事を翻訳しておきました。 [翻訳] nodeforward.org Node Forwardとはオープンなコラボレーションを通してNode, JavaScript, それらのエコシステムを改善するために努力をするコミュニティです。 Nodeは驚くべき速さで成長しています。この成長はコミュニティが一定以上の規模になるまでに起きたいくつかの問題を先頭を切って解決してきました。 いくつかの問題は単純にアサインされるようなものだけじゃなく、リーダーシップとコントリビューターの自主性を要求するような問題でした。一方で