こんにちは、CSIG 所属の市川です。普段は FutureVuls という脆弱性管理サービスの開発・カスタマーサポートをしています。 「ん？そういえば、HTTPS 通信 (HTTP over SSL/TLS) では実際どのようにセキュアな通信が確立されているんだろう？」 と、ふと気になってしまうこと、ありませんか？私はありました。 というわけで、SSL/TLS について書籍などで学んでみたのですが… アルゴリズムが沢山出てきて頭がこんがらがる…。結局どのフェーズでどのアルゴリズムが使われているんだろう？TLS ハンドシェイクの中では、実際どういった通信が行われているのだろうか。ハンドシェイク確立後はちゃんと暗号化されているのだろうか。…というモヤモヤが残りました。 本記事 (理論編) と、続編の実践編で、この2点の疑問を解決していきます。 本記事でやりたいこと本記事 (理論編) では、以下

「もっと裁量がほしい」とか「もっと挑戦できる場がほしい」とか。 たまに聞くけど、じゃあそれって、誰が用意してくれるんだろう？って考えたら、たぶん誰も用意してくれない。 もちろん、会社の仕組みとして「この役割を任せます！」っていうケースはあるかもしれないけど、 それはこれまでの積み重ねとか、成果とか、信頼があるからだよなと思う。 まずは今の場所で結果出してるか？例えば、「もっと責任ある仕事をしたい！」って言ったとして、 「じゃあ今の場所でちゃんと結果出してるの？」って話になる。 信頼がないのにいきなり任せられるわけがない 成果が出てないのに「もっと大きいことやりたい」は説得力がない 今の場所で「自分だからできた成果」を積み上げてるか？ 結局、「今、目の前でどうやって結果を出すか？」がスタートだと思う。 やりたいことがあるなら、まずは今の場所でちゃんと結果を出して、 「この人なら任せてみよう」

⚠️ 今回Claude Code MCP Server = Claude Code ということで記事の内容を書いています。 本家としても Claude Code自体を他のアプリケーションが接続できるMCPサーバーとして使用し、それらにClaudeのツールと機能を提供したい場合 という表現を使っていますが、Claude Code内部のエージェント機能を使うわけではないようです（API消費ありません）。 なので、僕の解釈ではClaude Code内部で整備しているClaude Code内Agentが利用するメソッドをMCP ServerのToolsとして一部公開しているだけという認識です。 Agent機能はそららToolsを利用するClaude(Desktop)なり、Clineなり、CursorなりWindsurfなりに譲られる形です（まあ結局Claudeだけどそれぞれsystem promp

「まずは経営の意識改革だ」「まずは内製エンジニアだ」。 確かに経営の理解、SIer依存やレガシーシステムの解決は重要ですが、それは簡単には解けないパズルです。待っていても何も変わりません。 DXを前に進めるには、「意識が変わりきらない経営層」「金のかかるレガシーシステム」「足りない人材」の中で、どう動くかを考えるべきです。そのためには現場のリーダーがアジャイルをはじめとすると様々な技術をどう活用し、どう適用するのかを理解し、行動する必要があります。 「まずは経営層が」という言説の誤謬 最近、繰り返しウォーターフォールとアジャイルの話をしていますが、きっかけはAmazonの書評に星1をいただいたことで、その後のいくつかの記事を書きました。 論理的思考の違いから考えた、日本でアジャイルが機能しない理由と解決 - arclamp ウォーターフォールとアジャイルをマネジメント手法としてフェアに評価

7月23〜24日のデブサミに参加して、とても刺激を受けることができました。 リアル参加はかなり久しぶりで、2018年9月のデブサミ関西以来。 参加費無料で素晴らしいイベントを開催いただいた翔泳社と、出張させてくれた弊社に感謝です。 どのセッションも学びがありましたが、特に心に残ったセッションの感想をざっと書き残しておきます。 Classi 鈴木さん：オーナーシップは誰のものか プロダクトマネージャーに頼らないプロダクトマネジメントへの挑戦 event.shoeisha.jp speakerdeck.com Classiさんの最近の組織・プロセス改編、特に「プロダクトボード」の運用を開始し、プロダクトマネジメントを強化したという話。 Classiさんのここ数年の開発組織再編の動き、今回初めて知ったのですが（もっと早くキャッチしておきたかった...）、チームトポロジーを参考にしたチーム再編、そ

本稿はJCB Advent Calendar 2024の12月14日の記事です。 3-Dセキュアにおける認証取引の仕組み解説 JCB デジタルソリューション開発部 アプリチームの村井です。 アプリチームではJCBが提供する様々なサービスの開発・運用をしています。 今回は非対面のクレジットカード決済で導入が進んでいる3-Dセキュア（本人認証サービス）について、 各システムの動きにフォーカスして認証取引の主な仕組みを紹介します。 3-Dセキュアの認証取引の仕組みは、提唱元であるEMVCoのサイトから公式ドキュメントをダウンロードできます。 本記事では公式ドキュメントの内容を噛み砕いて解説します。 そもそも3-Dセキュアって何？という方は過去の記事もご覧ください。 認証取引 認証取引の概要を図示します。 JCBではDSシステムを運用しています。 また、アクワイアラドメインで稼働するシステムが3D

tl;dr 去年tfactionを導入しようとしましたが、試行錯誤ののち以下の点を重く見て結局導入は見送りました。 導入のためのドキュメントがまとまっていない 構造が複雑すぎる unix哲学に沿っていない(直交性がない) 注意事項 本記事は導入しなかった話という内容の記事ですが、tfactionを全否定したりFUDをする目的のものではありません。 あくまで私達の環境とマッチするか検討して最終的に導入しなかった事実と、そこに至った過程・考えを書くことで、私と同様にtfactionの導入を検討している人の参考になったらと思い書いております。 なので、この記事を元にtfactionは全くだめだといった曲解や制作者への攻撃のために引用しないでください。 そもそもtfaction自体OSSで制作者の個人的な努力の成果物を無償で使わせてもらっており、そこについては感謝しかありません。さらに言えば、今回

Docker コンテナのセキュリティDocker コンテナのセキュリティのトピックにおいては、Docker のベースイメージと潜在的なセキュリティ構成ミスに関連する Dockerfile のセキュリティから、ネットワークポート、ユーザー権限、Docker にマウントされたファイルシステムのアクセスなどに関連するランタイムの Docker コンテナのセキュリティに至るまで、セキュリティに対する懸念が生じています。この記事では、Docker イメージのビルド構築に関連する Docker コンテナのセキュリティに関する側面、Dockeｒ のベースイメージがもたらすセキュリティの脆弱性の数の削減、ならびに Dockerfile のベストプラクティスに焦点を当てていきます。 Docker のセキュリティとは何かDocker のセキュリティとは、Docker コンテナのビルド、ランタイム、オーケストレ

事業計画の策定をコンサルティングしている一人社長さんから、「そもそもなんで月次決算が重要なのか、世の中の小さい会社はそんなことすらもわからない。そういうのを説明するコンテンツを作れば良い」と言われたので、素直に書いてみます。 というか、普段Twitterの会計クラスタに（いちおう）所属していると、流れてくるのは趣味で会計処理の薄い本を書くような変態たちや、財務モデルをゴリゴリ作ってレベルの高い議論をしているファンドの人たちの話なので、世の中の小さい会社の社長さんの感覚とは大きく乖離していたのかもしれません。 未上場中小企業の会計の実情TLの会計クラスタの方々には想像もつかないかもしれませんが、非上場の中小企業だと会計処理はかなり滅茶苦茶で、現金主義の気配が色濃く残っていますし、年度末に顧問税理士さんに綺麗にしてもらってそれでOKと思っているところが大半です。 よく見るのが、簿記三級で習う「

前編のエントリに結構反響があったので後編を書くことにした。後編は"ボールを拾わせる"視点の話を書く。前編はこちらから。 blog.inorinrinrin.com 後編の本筋を語る前に改めて"落ちてるボール"の意味を定義しておく。"落ちてるボール"とは、 誰かがやらないといけないが、誰も手を付けていない状態のタスク "誰かがやらないといけない"ことを他の関係者も認識している状態 のことを指すものとする。前編ではこれを自分が拾うための技術について書いた。 ところで前編に対する感想やコメントにて「ボールを拾わせるのはマネジメントの技術/マネージャーの素養」という意見を持つ人が散見された。実はこれ、半分正解で半分間違ってると思ってたりする。 なぜなら、ボールを拾うことはマネージャー以外でもできる。拾わせることもまたマネージャー以外でもできるのだ。グラウンドキーパーだけがボールを拾う必要があるか？

1981年（昭和56年）故寬仁親王殿下の第一女子としてご誕生。学習院大学を卒業後、英国オックスフォード大学マートン・コレッジに留学され、女性皇族初の博士号を取得してご帰国（専攻は日本美術）。立命館大学総合研究機構のポストドクトラルフェロー、特別招聘准教授を経て、現在は日本・トルコ協会総裁、公益社団法人日本職業スキー教師協会総裁、一般社団法人心游舎総裁、京都市立芸術大学芸術資源研究センター特別招聘研究員、法政大学国際日本学研究所客員所員など、お役職多数。 漫画 2009年デビュー。同年より、『繕い裁つ人』（講談社）の連載を開始(のちに映画化)。14年、『どぶがわ』（秋田書店）で第18回文化庁メディア芸術祭マンガ部門新人賞を受賞。この年、『プリンセスメゾン』（小学館）も連載開始。18年、『ねぇ、ママ』（秋田書店）で第22回文化庁メディア芸術祭マンガ部門大賞を受賞。ほかの代表作に『かごめかごめ』

ラブグラフでエンジニアをしています横江( @yokoe24 )です！ Ruby を扱っていて、たまに出てくる pack メソッドや unpack メソッド。 以前書いた、emoji を１文字と数えるのが大変な記事でも扱いました。 エンコード済みの文字列を直すときに重宝するのですが、毎回使い方がよくわかりません。 よくある使い方を見ながら、なんとな〜く理解できるところまで進みたいと思います！ 1. 理解を深めたい 1-1. ドキュメントを見てみる まずは公式ドキュメント！ pack テンプレート文字列 Array#pack String#unpack pack メソッドは Array に対しておこない String が返ってきて、 unpack メソッドは String に対しておこない Array が返ってくる ものだとわかります。 引数は template だと書かれています。 配列の内

GitHub Actions の action と reusable workflow の version を commit hash で固定する CLI ツールの紹介です。 $ git diff diff --git a/.github/workflows/test.yaml b/.github/workflows/test.yaml index 84bd67a..5d92e44 100644 --- a/.github/workflows/test.yaml +++ b/.github/workflows/test.yaml @@ -113,17 +113,17 @@ jobs: needs: path-filter permissions: {} steps: - - uses: actions/checkout@83b7061638ee4956cf7545a6f7efe594e5a

“見積り” を作成した開発チームと、それを確認したビジネス担当者や経営者が、その内容を巡って対立することがあります。「見積りが大き過ぎる」「いや、これぐらいはかかりますよ」といったあのやり取りです。 これはおそらく、両者がともに “見積り” と “計画” を区別せず、混同しているから発生しています。見積り依頼を受けた時、開発チームが提出するものは、おそらく “見積り” です。しかし、ビジネス担当者や経営者が期待するアウトプットは “計画” なのです。 こうして “見積り依頼” という名のもとに、ソフトウェア組織に対立が日々生じているのではないでしょうか。 “見積り” と “計画” は別物見積り結果の「30人月」という数字（①）は、計画ではなく見積り工数です。そんなことは当たり前ですよね。 工数が明らかになれば計画なのか？それでは、30人月の開発を5人でこなすから「6か月」かかる（②）、とい

本記事は ブログ書き初めウィーク 2日目の記事です。 📝 1日目 ▶▶ 本記事 ▶▶ 3日目 📅 こんにちは、NTシステム事業二部 基盤課 の玉邑です。 2024年7月にNRIネットコムに入社し、AWS上に構築された大規模システムのインフラチームリーダーを担当しています。お客様のビジネスの変化に迅速に対応するため、DevOpsで開発を行いながら、安定稼働を支えるSREを担当しています。 15年以上にわたりインフラエンジニアやクラウドアーキテクトとしてキャリアを積んできましたが、現在担当しているシステムはこれまでで最も規模が大きいものです。今回の記事では、入社してからどのようにしてその大規模システムを理解し、リーダーとして業務をキャッチアップしていったかについてお話ししたいと思います。 担当したシステムについて 監視を通じて知る大規模システム システムの全体像を知ることができる システム

本日、有料プラン(はてなブログPro, for DevBlog, Business, Media)利用者を対象に、Webhook機能を追加しました。 他のシステムとの組み合わせが前提となるため技術者向けの機能となりますが、例えば SlackやDiscordなどへの更新通知や、Hatenablog Workflows Boilerplateと組み合わせてGitHub側のデータ更新の自動化に利用するなど、ぜひご活用ください。 Webhook機能に関する詳しい説明については以下のヘルプをご参照ください。またヘルプでは、WebhookをトリガーにGitHub Actionsを実行する設定例なども用意しておりますので、参考になれば幸いです。 Webhookの設定例のスクリーンショット

こんにちは、Product Securityチームの@gloriaです。前回は、昨年のAdvent Calendarイベントでセキュリティテストについて記事を書きました。 今回は、メルカリSecurity TeamのSecurity Tech Blogシリーズの一本目として脅威モデリングについて紹介したいと思います。脅威モデリングの基礎、なぜ脅威モデリングがセキュア開発ライフサイクル（SDLC）に必要なのか、メルカリの脅威モデリングプロセスについて説明したいと思います。 脅威モデリングとは？ 脅威モデリングは、システムを分析してセキュリティの脆弱性を洗い出す活動です。つまり、システムやアプリケーションの設計を深く分析し、実装前に先手を打って、起こり得る脆弱性を見つけることです。攻撃者をシステムに一歩も踏ませないので、プロアクティブ・セキュリティの一つの手段だと言われます。 プロアクティブ・