はなかずのブログスマートフォン用の表示で見るはなかずのブログこの広告は、90日以上更新していないブログに表示しています。1stに参加してきました。今日はそこで思ったことなどを書いていきたいと思います。Webシステムをはじめとするアプリケーションソフトウェアのセキュリティについての情報共有と、セキュアなソフトウェア開発を促進するための普及・啓発を行うオープンコミュニティです。東海地区におけるOWASPのローカルチャプターとして活動をしております。Chapter代表の岡田さんと、徳丸本の徳丸さんが「ここからはじめるアプリケーションセキュリティ」について、講演をしました。参加したの?名古屋(というか東海地方)って、こういうセキュリティ関連だったり低レイヤーなイベントってないですよね。すごく探していたんです。それで、見つけた瞬間衝動的に参加ボタンを押してしまいました。以前、Webのアルバイトもしていたので、そっち方面には興味があったし。何をしたの?メモを取っていなかったので、ざっくり書きます(色々とうろ覚え、メモを取る癖をつけなきゃなぁ)最初、運営からの説明がありました。Nagoya!爆誕!!!って感じでした。次に、岡田さんの話になりました。OWASP発足の経緯や、色々な事例を混ぜながらのOWASPの各プロジェクトの概要説明、セキュリティのあり方?(考え方?)について聞きました。得られた知見をざっくりまとめます。セキュリティについて考えるときは、OWASPのプロジェクトがとても役に立ちます。セキュリティで何か困ったときは、とりあえずOWASPのプロジェクトを探してみる。先人が議論したものはうまく使っていこう!個人的になるほどなぁと思ったのが、セキュリティはがちがちに固めればいいものではないということ。岡田さんが挙げていたものに、Facabookの例がありました。後進国のような場所では、弱い暗号通信にしか対応していない環境を使っている場合がある。そのような場合、弱い暗号を切り捨てるのではなく、うまく共存していく方法をFacebookは探す。Facebookではそのような後進国の人々もユーザの多くを占め、Facebookの機能が生活のパイプラインになっている人々もいるから、というものです。セキュリティってこういう場合もあるのか、難しいなぁと思いました(小並感)。いうとこまで考えられるようにならなきゃ。Leftがとっても大事!なのです。Wikipediaいろいろと行動してると、本質というか、根本の原因とかを忘れて無駄なことやったりしちゃいますよね。Leftの考え方を常に頭に入れておけば、そういう状況に陥る数は減るはずです。Leftすごい!!)。だいたいこんな感じですかね(ほんとはもっとあるだろうけど、記憶があやふや...orz。あと、岡田さんの話には、終始ネタがぶち込まれてて、とても面白かった。聞きたいです!!次は徳丸さん。徳丸さんはXSSやSQLi、CSRF攻撃の実践を某PHP入門書に載っているコードで行っていた。当たり前だけど、コードの一貫性が大事なことや、Webアプリケーションへの攻撃の考え方、防ぎ方などがわかりました。最近CTFを始めて、Web問題はまださっぱりだったので、攻撃の実践はとても参考になりました。Web問題解いてみよう!!こんな感じで貴重な話を色々とお聞きすることができました。あと、会場特典のおかげで、owaspnagoya.connpass.comに参加することができました。Nagoyaのイベントが予定されているようです。楽しみ(/・ω・)/。感想とか名古屋(というか東海)でこういうイベントは中々ないので、とても嬉しかったし、楽しかったです。懇親会でもいろいろな人と話せたし、後輩の雄姿(後輩がすごい人と熱く語り合っていた、すごい)も見ることができて、良かったです。東京だとセキュリティだったり低レイヤーのイベント、たくさんあるんですけどね...ほんとにうらやましい。東海地方でこういうイベントを盛り上げていきたいです。東京に負けてられない!多分、東海でもこういうイベントって、需要はあると思うんです。Meeting、定員ギリギリまで集まってたし。動ける人が動いていて、もっと雰囲気から活発にしなきゃいけないですよね。Nagoyaのスタッフを募集していたので、応募してみました。大学(浜松)でも低レイヤーの勉強会などを開催する予定。2017参加記(自伝)こんにちは。2017に参加してきました。www.ipa.go.jp講義の内容・解説については他の参加者がupしてるっぽいし、upしてくれるよね(というか、まだ解説書けるほど講義内容を十分に理解できていない。今後上げていくつもりではある。復習しなきゃ...)ということで、僕はseccamp2017に参加したことで得た知見について、別の方面からアプローチしていこうかなーと思う。seccamp2017で得たものはとても膨大。自分の中でも整理ができていないので、とりあえず時系列で自分自身・環境の変化について書きながら、自分の中でまとめてみる。自分で後々見返すために、無駄なこと(多分、読者にとっては大半が無駄)も書いていくと思う。書いていくので結果だけ知りたい人は考察に飛んでください。考察seccampに参加するためにはどうすればよいのか?seccampに参加するとどうなるのか?seccampに参加する際の注意点seccamp2017参加前seccamp参加前、とりあえずコンピュータには興味があった。自分が本当にやりたいところってどこだろう、と常に思っていた。1年の後期から、Webの会社でアルバイトをさせてもらえることになった。サーバサイド、フロント、デザインとWeb全般についてやらせてもらえた。サーバ構築の方法やテストだったりフレームワークの考え方、きれいなプログラムの書き方など、色々と勉強することができた。Webやるのは楽しいんだけど、なんか違うなぁ、もっと面白いことないかなぁと常に感じていた。大学の授業はまだ学部2年生ということもあり、基礎科目が多くて楽しくなかった(基礎科目が重要なことはわかっているから真面目()にやったけど)プライベートでは、思い出しても何をしていたっけ?というのがまず頭に浮かぶくらい、いろんなことを浅くやって興味が薄れては離れてを繰り返していた。勉強会を開催(DeepLearningだったり数学だったり)して、知らないおじさんたちにいろいろと教えてもらったりもした。対して浅くはないんだけど、深くもできなかった。こんな感じで特に何かを極めるわけでもなく、目標なしにダラダラと勉をしていた。1年の終わりごろにCTFに興味を持った。ここでアセンブラだったり、カーネルだったりの低レイヤー部分を触りだした。低レイヤーはずっとやっていても飽きなかった。これこそが、自分が進むべき道だ!と思い、2年に入ってから本格的に低レイヤーの勉強をし始めた。低レイヤーってやっぱり難しい(なんとなくの理解ではどこかで壁にぶつかるからかっちりした理解が必要)し、資料が少なかったり(英語の資料はたくさんあるけど英語読めない...)する。困ったときに頼りになるものがないのは辛い。気軽に何かを聞ける友達が欲しいなぁと思っていた。こんな時にふと、確かセキュリティキャンプなるものがあったなぁと思いだした。seccamp自体の存在は高校生の時から知っていた。対して興味は持っていなかった。Twitterを眺めていると、とても強そうな方が過去にseccampに参加していたのを散見。!ここで強い友達を作ろう!ついでに自分も強くなろう!と思った。一応、これがseccamp2017応募への動機。2年生になってからはIT系サークルにも所属することになって、そこでいくつか勉強会を開いたりした。1年生向けのC言語勉強会だったり、セキュリティ技術勉強会だったり。セキュリティ技術勉強会は僕が得た知識をまとめるために主催してみた。勉強会を主催することは、知識を定着させるためには持ってこいなんだけど、何か新しいものを得ることは少ないなぁ。こんな感じで、応募課題が公開されるまでの間は過ごしていた。応募しようと決心してから4月末から応募が始まった。僕は5月中盤くらいから応募課題に取り組み始めた。https://www.ipa.go.jp/files/000059682.pdf一人では心細かったので、周りに色々と話していたら、同学年の人が3人ほど一緒に応募することになった。先輩も応募すると聞いて、心強かった。S大には過去にseccampを卒業した方が二人程いるらしく、それぞれから話を聞いたりした(一人は後輩のすごい人、もう一人は院生のすごい人。)この人たちにはほんとに感謝してます。ありがとう!集中コースに応募するのはさすがに怖かったので、最初から選択コースへの参加を決めていた。共通課題はとにかく、今まで自分がしてきたことについて、書き殴った。中身があるかどうかはともかく、活動はいろいろとしてきたので、書くことには困らなかった。