ご挨拶

Python Advent Calendar 2024 の17日目の記事です。

JTCでセキュリティ・プライバシー・データ基盤領域の研究開発をしている @laysakura です。
この記事で扱うのは、信頼できないユーザーから与えられたコードを実行するための「言語Sandbox環境」です。特に、Pythonの言語Sandbox環境であるRestrictedPythonを取り上げます。

言語Sandbox環境の理念は素晴らしく、応用先も色々と考えられるものですが、初手の設計を誤ると攻撃者とのいたちごっこになってしまうということをこの記事を通してお伝えできればと思います。

それではお楽しみください（ここからは常体で失礼します）。

続きを読む

Cyber-sec+ Advent Calendar 2024 2日目の記事です。
昨日の初日は Cyber-sec+ コミュニティーマネージャー Nissy さんによる 一切の感情を排したロジカルモンスターがコミュニティロゴを制作するとこうなる の記事でした。

本日の記事は「ソフトウェア研究における脅威モデリング」という題でお送りします。スライドを作成したのでご覧ください。

以下のツイートリンクからフィードバック頂ければありがたく拝読します！

https://twitter.com/intent/tweet?url=https://speakerdeck.com/laysakura/what-s-why-howto-xie-wei-moterinku&text=%E3%82%BD%E3%83%95%E3%83%88%E3%82%A6%E3%82%A7%E3%82%A2%E7%A0%94%E7%A9%B6%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E8%84%85%E5%A8%81%E3%83%A2%E3%83%87%E3%83%AA%E3%83%B3%E3%82%B0

明日3日目は Kensuke Takahashi さんによる「OWASPから学ぶLLM／生成AIのセキュリティモデルとソリューション」の記事です。

ありがとうございました！

2024/06/15(土)にOSCPの試験を受けて、無事に合格しました。合格体験記です。

続きを読む

picoCTF 2024に個人参加し、6954チーム中72位でした。

感想とwriteupを書きます。問題スクリーンショットは開催期間中のものなので、Solved数やLike数は参考程度に見てください。
picoCTFの問題は開催期間終了後もご自身で解けるはずなので是非挑戦してみてください。

続きを読む

防衛省サイバーコンテスト 2024に参加し、450人中7位の成績を収めました ✌️

感想とwriteupを書きます。

続きを読む

⚡️ Flatt Security Developers' Quiz #6 開催！ ⚡️

解答は年明け1/5(金)11:59まで！Tシャツ獲得を目指して頑張ってください！

デモ環境: https://t.co/hXaNP2Ciwv
ソースコード: https://t.co/ejTKzpAp9D
解答提出フォーム: https://t.co/jnc5Wv2Hi7 pic.twitter.com/uf3ZqHEdTK

— 株式会社Flatt Security (@flatt_security) December 29, 2023

Flatt Security Developers’ Quiz #6 に回答し、Tシャツ頂きました👕

Writeup書きます。

続きを読む

Webバックエンド開発やデータベース領域の研究開発を10年近く行ってきた筆者ですが、2023年夏頃からセキュリティ関連のキャリアパスを志向するようになりました。

Webセキュリティの実践的な経験とその証明がほしく、Burp Suite Certified Practitioner (以下、BSCP) を受験し、晴れて合格しました🎉

続きを読む

高いセキュリティが要求されるLAN内のサーバに自宅などのリモートからSSHログインしたい場合、VPNが有効です。
VPNを使うと、リモートからLAN内に仮想的に参加することができるので、プライベートIPアドレスのみが割り振られたサーバにもSSHログインできるようになります。

VPNには色々な認証方式がありますが、SSL-VPNプロトコルでクライアント証明書方式の認証を行えば、誰がいつVPNに参加したのかを高い信頼度でログに記録することができます。

本記事では、OpenVPNを使ったSSL-VPNの構築方法をAmazon EC2での構築も踏まえ詳しく紹介します。

続きを読む