ヤフー株式会社Index現在JavaScriptの設定が無効になっています。このページを利用するにはJavaScriptの設定を有効にしてください。CATEGORY職種一覧エンジニア・デザイナー・ビジネス、各職種についてご紹介します。ENGINEERエンジニアDESIGNERデザイナーBUSINESSビジネスMESSAGEメッセージMESSAGEメッセージ社長と最高技術責任者が語る、ヤフーの価値観。企業文化を支える「ミッション・ビジョン・ステートメント」についてご紹介します。皆さまへのメッセージです。皆さまへのメッセージです。STATEMENTミッション・ビジョン・ステートメントヤフーの存在する意義、実現する世界、なすべきことの表明INTERVIEWインタビューINTERNSHIPインターンシップINTERNSHIPインターンシップヤフーのインターンシップは、実際の業務を通して、「課題解決」を実感できるインターンシップとなっています。学年問わず募集していますので、ぜひチャレンジしてみてください。サービス開発/デザイン体験インターンシップ※募集は終了しました障がい者学生向けインターンシップ※募集は終了しましたWORKPLACE制度・環境WORKPLACE制度・環境ヤフーには、一人ひとりの才能と情熱を解き放つためのさまざまな制度があります。一貫してセキュリティ強化に従事時代の変化に合わせ、安全の自動化を目指す2005年入社システム統括本部INDEXソースコードスキャナなど一貫してセキュリティ強化に従事ログインサーバーから決してパスワードが漏れないようにする備えを自動化し、防御の壁を厚くするソースコードスキャナなど一貫してセキュリティ強化に従事12年前に新卒でヤフーに入社しました。当時は、自分が得意だと思っていたUNIXとC言語でプログラミングする仕事をしたいという軸で就職先を探していました。それもFreeBSD限定で(笑)。そんなとき、たまたまヤフーの採用情報を見ることがあって、ここが良さそうだと思って入社しました。当時考えていたのは、受託開発の会社よりも、自社のサービスを自分たちの手で作っていける会社がよいと思っていました。JAPANは家族や両親、知人も使っていました。やりがいがあるな、と感じていました。入社して2年目からサービス開発に従事し、その後はずっとセキュリティ関連の仕事に取り組んでいます。入社後3年目頃の仕事として、ソースコードをチェックする取り組みを行いました。製品を作るにあたりソースコードを書くわけですが、新たなコードを書くことは新たな問題を作り込んでいくことでもあるので、ソースコードのチェックは必要です。社内にはソースコード管理システムがあります。そこでソースコードスキャナを走らせて、自動的に検査をし、問題があったら通知するもので、この仕組みは2007年ぐらいから動いています。ログインの仕組みの改善にも取り組んできました。「ヤフオク!」不正利用者への対策です。社内で協力しながら、どうやったら不正な利用者を止めることができるか、そうした取り組みを進めました。Inc.が作った鍵管理の仕組みをローカライズする取り組みにも参加しました。鍵管理はなにがうれしいかというと、たくさんサーバーがあった場合でも鍵をローテーションしてうまく活用できることです。サーバーが何万台もあると、1台1台デプロイするのも大変な手間ですから、鍵管理の効率化は重要です。ログインサーバーから決してパスワードが漏れないようにする思い出に残っている仕事は、ユーザーが使うログインサーバーの裏側で動く認証の仕組みを設計、開発したことです。2要素認証のためのプラットフォームがあるのですが、ログインサーバーが置かれているネットワークとは別に、ハッシュ化されたパスワードが流れるネットワークをその裏側において、両者の間にファイアウォールを置く構成にしました。ハッシュ化されたパスワードであっても外部に漏洩(ろうえい)するのはリスクが大きいので、ネットワーク構成上、一番「うしろ」にあるサーバーで管理、利用する仕組みです。ログインサーバーは外部から攻撃される場合もあるので、たとえハッシュ化されたパスワードであってもログインサーバーには置かないようにしました。サーバー証明書へ移行したのですが、このときには、ユーザーサポート部門にまで影響が及びました。XPから来ていました。XPはもう利用できないので、新しいOSを使ってください』というアナウンスをしていくべきではないか」と議論しました。XPからより新しいバージョンのOSへの移行を促すようにしました。多くの部署に影響がある取り組みでしたが、結果として乗り切ったという思いがあります。備えを自動化し、防御の壁を厚くする今後やりたい取り組みですが、もっと安心して使ってもらえる安全なプラットフォームを作り続けたいというスタンスは以前と変わりません。その中でひとつ考えていることがあります。脆弱性は日々見つかっていますが、個別に対応していくことは困難です。ここで、ソフトウエアが最新のバージョンになっていることが、攻撃に対する時間稼ぎになることはいえます。そこで、なるべく自動的、機械的に、最新の状態が維持される仕組みを目指したいと思っています。現場のエンジニアががんばって最新版にアップデートする、サーバーにログインして何か作業する、そうした必要をなくしていきたいですね。なればサーバー運用者のアカウントも必要なくなり、乗っ取られるリスクも減ります。エンジニアには社会を変えるような面白いモノを作ることに力を注いでほしい。パッチをあててソフトウエアを最新バージョンにすることが仕事ではないはずです。そんな仕事は機械に任せたいですね。ひとつ、今はセキュリティのテクノロジー面でサービス側に負担してもらっているのですが、サービスを提供するサーバーの前に、一律で同じプロキシサーバーを置こうとしています。このプロキシサーバーが余計なアクセスをサービスに渡さないよう前処理することでサービスを守れます。ほとんどのサーバーはGETメソッドしか使わないので、POSTメソッドを渡さないようにする。進んで、機械学習を使って不要なアクセスを振り落としつつ、必要なアクセスだけを届けるようにすることも考えられます。CPUやネットワークが高速になったことで、こうした防御の層を厚くしていくことが可能です。処理の負荷が増えすぎないように注意することも必要ですが。将来へ向けて、夢が膨らんでいます。2016年8月時点の情報となります。目先の利益だけに縛られない。APIやSDKを提供しています。ヤフーで働く社員のワークスタイルやキャリアを幅広くご紹介する情報発信メディアです。JAPANのWebAPIや認証テクノロジなど、最新の技術情報を発信しています。ヤフーの研究開発成果のアカデミアにおける発信内容をご紹介しています。Reserved.ENTRY。