100回記念と編集方針の変更
こんばんは、Replay.fm 第100回です。
100回。
3桁です。
3桁ですね。
こんばんは、3桁の世界線です。
こんばんは、100回。
いつも通りやります。
いつも通りだし、なんなら、なんか、割と、あの、なんて言ったらいいんだろう、ライトなタイプの回ですね、今日は。
ネタバレですけど、記事は2つしかありません。
びっくりやね。
いやー。
お盆、お盆だから、でも、お盆じゃない、お盆前なんだよな。なんか。
そうだね。きょう、きょう、きのうからお盆でしょ、多分、世間的には。
だから。
そうだね。
お盆前に、もういいやって思って。
うん。
そうだね、簿数、記事の簿数もめっちゃ少ないから、まあ、なんでしょうって感じですけど。
うん。
はい。
あの、お盆じゃないんですけど、あの、あの、3回ぐらい前の収録から、あることをやめたんですよって話をしようと思って忘れてたんですけど。
うん。
あの、何をやめたかっていうと、編集やめたんですよ。
あ、そうなんだ。
そう。
あの、超ガチ勢だったら気づけるかどうか多分気づけないんですけど。
前までは、その、ちょっと咳払いとかさ。
うん。
あの、僕とか喋るの下手なんで、その同じようなことを自分で聞き返すと、なんか、これ2行でいいじゃんみたいなやつを、なんか。
うん。
5行ぐらいで話してるやつを、なんかちょっと編集して縮めて。
あ、そこまでやってたんだ。
うんうん。
気が向いたらね、気が向いたり時間があったりしたらやってたんですけど、もうそういうの最近一切やめて。
あの、決まったエフェクトをポンポンポンってかけて、コンプレッサーかけて、ノイズ消して。
うん。
あの、不自然な間だけ自動で落として、聞き返さずにリリースするっていうのをね、やりました。
もう、100回も配信してるんでね。
うん。
いいかって気持ちで。
リスナーを試していこうと思って。
ま、ライブ感を大事にね。
あ、そうだね。
うん。
NG発言もそんなしないしな。
なんか、1回だけピー音入れたっけ?
あ、違うんだ。
どっけだったっけ?
なんか、忘れてるけど。
ピー音はまだないんじゃないかな。
ピー音入れないかな。
まるごと削除したトピックはあったような気がする。
あー、あったあった。
うん。
それはあったね。
はい、まぁ。
何だったかは言えないんだけど。
うん、そうだね。
何ならあんま覚えてないんだけど。
うん、いつかも覚えてないな。
うん。
その編集結構苦労した記憶あるな。
あ、そう?
そうやってその、切った感はないように。
あー。
試行錯誤した気がするけど。
あとあれだね。
あの、俺の録音が壊れてて、
ピンポンパンポンでそのアナウンスを
動画に入れたっていう。
うん。
はい、いろいろ言いましたけど。
NPM以外のセキュリティ対策の進捗
あの、程々に肩の力抜いて続けていければって感じです。
そう。
あとあの、プチシクライじゃないですけど、
NPM以外セキュリティ対策どうなってんだろう話あったじゃないですか。
はいはいはい。
あの、調べてきました。
うん。
私のオーパスくんが調べてきたんですけど。
あの、まぁもう細かいのはもう各自もう部屋あるし
調べてくださいって感じなんですけど、
なんか結論結構他も進んでるなっていうのがあって、
やっぱりそのサプライチェーン攻撃のラッシュで
あの、ばーって進んだっぽい。
で、なんか星取り表みたいなの作らせて
一時操作も渡らせて。
ちょっと全部、もうちょっと物理が物理なんで
全部裏取りできてないんで、
ちょっと公開ページにはしてないんですけど。
なんだっけな。
あれかな。
アワイレシでリリースできるとか、
MFAとかトークンの配信とか、
まぁその辺は結構いろいろ。
もう大体手揃ってるんだけど、
結構一部で触ったりしてその、
あとはクールダウンか。
クールダウンとかも手揃ってるんだけど、
トークンなしを強制できるのは、
まぁ実はクレーツと対応だけ。
クレーツと対応は何の言語なんだ。
わかんねえな。
クレーツと対応は、
ラストかな。
カーゴだよね。
だから要はサーブのコマンドとしては。
クレーツとカーゴがどうしても結びつかない。
っていつもフリーズしちゃうんだけど。
耳なじみがない。
そうなんだよ。
書いてる人だとあれだと思うんだけど。
またあれか。
MFA必須化とかは、
結構差が出てそうって感じらしくて。
なんかRubyGemsとかは人気Gemsだけとか。
PHPのパッケージストアはまだにのままとか。
いろいろらしくて。
なるほどねーって感じで。
まぁでも結論結構各自でだいぶ進めてはいそう
という感じでしたね。
なんなら今日の日記事のうちの一つも
それの話。
NPM以外だと思って引っ張ってきたんですけど。
なんでまぁ、ぼちぼち進んでいくと。
ただまぁ、
AIコメントに輸送になってても気が引けず。
まぁ確かにと思ったのは、
トークンが漏れてそのトークン使って
パッケージ更新されるっていうよりかは
どっちかっていうとリリースワークフローして
乗っとる方に攻撃したりシフトしてきてるから。
だからそこに対する手当てっていう意味で言うと
もうちょっと踏み込んだ対応が必要だよね
みたいな話は。
それは確かにレジストリー側では
多分できることはあんまないと思うから。
GitHubないしは他のCICD事業者に乗っ取られない
仕組み、防御する仕組みを整えてもらわない
という部分が変わらずかなって気はしますね。
いやー。
もうちょっとね、やっぱなんか1週間、
2週間おきぐらいに誰もが知るパッケージ
っていうのは減ったけど、
まぁでもやっぱインストールする
100万のパッケージ側みたいなニュースは
まだまだ地味に溶け出てないんで。
引き続き要警戒っていう感じですね。
前に話したマルウェアスキャンもやっぱ
通るとか通っちゃってるね。
直近の結構大規模にやられたやつとかは
何だっけな、何かのスクリプト引っ張ってきて
手元で叩くみたいなやつだったから、
結局それ自体マルウェアとは判定できない
っていうのはそれそうだよって感じ。
まだまだ。
GAはみんなでしつつって感じだと思いますね。
いや、ありがとうございます。
大変勉強になりました。
はい、そんな感じで皆さん
100回おめでとうのお便りをまたしてるんで
GoogleフォームXハッシュタグお待ちしてます。
いやーおめでとうですよ、おめでたい。
じゃあぬるっとですけどやりますかね。
セキュアエンクレーブによるGitコミット署名鍵管理
一つ目がみずらさんという方のブログで
セキュアインクレーブでGitコミットの証明書きを
管理するっていうやつですね。
何かというとセキュアインクレーブっていうのは
Mac OSのハードウェアに搭載されている
間違ってたら突っ込んでほしいんですけど
秘密鍵とかを生成して中から取り出すように
用意する、対端末性があるんですかね。
そういうようなチップの
いわゆるなんかHSMとか
これがそれに該当するのかわからないけど
TEEとか
あとはTPMみたいな名称もあるのかな。
これが何に該当するのかわからない。
それらがどう違うのかはよくわからない。
トラステッドプラットフォームモジュールみたいな
TPMみたいな感じなのかな。わからないけど。
TPMは国際標準って書いてある。
HSMちょっとなんかあれだね、
用語のその関係性をちゃんと理解できてなくて
ごめんなさい、ちゃんと説明できないんだけど。
ジャンル的にはそれ系のやつかな。
セキュアエンクレーブはでも
また違うやつなのかな。
なんかよくわからんな。
ジャンル的にはその界隈っていう認識をしてます。
ありがとうございます。
そのセキュアエンクレーブの中に
Gitコミットするための署名鍵を生成して
管理する方法を紹介してるって記事ですね。
なんでそんなことがしたいねみたいな話で言うと
この方はもともとワンパスで
Gitのコミットの署名鍵を管理してて
使った方があると思うんですけど
一定時間経つと
そのコミットのときに
ワンパス認証しろみたいなのが出てきて
MacBook ProでタッチIDとかあれば
ポッてやればすぐにコミットできるみたいな感じで
普通に僕も便利に使ってるんですけど
コーディングアジェットに
作業丸投げするってなると
コミットしたりプッシュしたりするタイミングで
期限がエクスパイアしてると再認証が求められて
そのタイミングで人間が作業しなきゃいけないし
僕もよくやるんですけど
人間が気づかずに無視すると
AIがコミットできなかったら助けてって言って
作業が止まるみたいなのがあって
それをどうにかしたいなっていう部分が
課題感としてあると。
ただどうにかしようと思って
ローカルに生でSSHキーを置くと
結局そのワンパスで
もともとやりたかった
ローカルに例えば
今流行りのサプライチェーン攻撃だの
ファイル抜かれるだのみたいなの
やれたときに守れてた鍵は守れなくなる
っていうのは避けてるっていうところで
じゃあセキュアエンクレーブの中に
コミット鍵作れればいいんじゃねっていうので
その方法を具体的に紹介している記事という感じですね
具体はちゃんと
多分この手順通りやれば
僕ちょっと試そうと思っても
試してないんですけど
まあまあこの手順通りやれば
いけそうな感じのことが書いてあるので
興味ある方はぜひ読んでみてください
って感じなんですけど
これセキュアエンクレーブ使えるのは
いいなと思っていて
鍵が外に出てこないっていうのが
完全に担保されるから
それ自体はいいなとは思いつつ
どうなんですかね
なんかその
この場合ってさ
ちょっと俺も試してないんだけど
全くノー
ノー
なんて言ってるの
その承認ステップゼロで
なんか実行できるのかな
初回から
そう理解してるけどね
結局ワンパスワードもさ
設定を緩めるんじゃ
ダメなのみたいな話とか
普通に気になったな
ワンパスね
緩められるのかな
俺ね実は気にしたことないんだよね
これあんまり
ほんと
俺の設定も何ですかっていうのは
なんかちょっと
なんかここで公開するのじゃなくて
はばかられるんだけど
なんか
開発者メニューの
SSHエージェントのところの
上級ってとこ開くと
その承認のそのあれが
変わるんだよね
今ちょうど見てるわ
いやー
これさ
まあそうね
一番緩いのは
ワンパスが終了するまでだと思うんだけど
俺はそれになってるんですけど
まあ確かにそれだったらいいけど
まあそうね
それもなしじゃない気はする
いや結局
結局なんていうか別に
端末に好き勝手に
コミット署名させるんだったら
別にいいんじゃない
それでっていう
感じはしちゃうね
どっちかというと
あとこれ思ったんだけど
コミットする鍵と
プッシュする鍵を分けるっていうのを
ほんとやった方がいいのかもしれないね
プッシュはあんまり
好きにさせたくないっていうこと
どこの人も書いてた気がするんだけど
確かどこだっけ
一番下に書いてある
一番下か
確かにねそこグラデーション分けるのは
全然考え方としてはありだね
だからこの人はそうなんだよね
オーセンティケーションキーズと
署名キーは分けてんだよねやっぱりね
プッシュプルに使う鍵は
別にいるから
そうそうそうそう
確かに署名だけだったら
好きにさせていいかなっていう気はするね
この考え方として
その端末に
自分の
サムシングユーハブ的な
扱いが多分できるじゃんこれって
なので
その端末から絶対に出てこない鍵で
署名をしてるっていうのが
署名鍵の
扱いですよっていう状態だったら
これは確かにそれやったら
別に好き勝手させてもいいな
そこ分けろって話なんだな
俺が分けてないのが良くないんだな
きっとほんとは
確かにねワンパスで両方管理してると
あれだもんね
ゆるい方に引っ張られちゃうから
いや引っ張られないって
それはどっちかというとギッターブ側の話だね
ギッターブ側でその署名鍵とさ
認証鍵はさ
分けて登録できるじゃん
それを分けてないってことか
分けてる
分けてる分けてる
偉いな
俺がザルということがなんか
判明してしまったけど
めっちゃちゃんと考えて
分けた記憶はないけど
普通に
勢いよい分けていたな
もしかしてまだGPG
いや普通にSSHキー
分けてるのか偉いね
なんかその
キー登録の流れとしてはさ
キー発行してその場だけで
今コピペしてくよって出て
コピペして登録して
手元クリーンアップして
っていう一連の流れ
でおしまいというか
まあでもどうなんだ
タイミングが一緒だったら
登録するのは公開鍵だからさ
なんか別に手元からクリーンアップされることは
永遠にないじゃん
確かに
なんで分けたんだろう
そんなにめっちゃ考えてる
偉いね
偉いということで
分けてる
全然分けないとそれは
分けたとしても
例えばさっきのワンパスを終了するまで
コミットするために
ワンパス終了するまでオッキーにしてると
プッシュもできちゃうよねって話があるから
だからセキュアエンクレーブに
コミット鍵移して
こっちはもう端末に入れさえすれば
自由にさせていい
でもプッシュはさせたくないからワンパス側で
もうちょっときつくするとかは
一個パターンとしてはあるかもね
その考え方で
言うと確かにこれはめっちゃいいなって
思ったな
でもな
プッシュもさせたくなるんだよな
なんか
どうすんのがいいんだろうな
そこはなんか正直
どこまでどういうお付き合いを
するか次第かな
仕事だったらちょっと
あれかなと思うけど
僕今プライベートでMac mini長時稼働させて
そこで
クロードのリモートコマンド
リモートコントロールか
立ち上げたりしてモバイルから
いろいろ作らせるっていうのをやってるんですけど
プッシュとかは
割と自由にさせてて
できないとあれなんですよ
流れ的にはローカルで
自由度高い環境で作らせる
でプッシュさせてプロジェクト立てさせる
でそのプロジェクトで立ち上がったクラウドフェアの
プレビューを見て
フィードバックをして
でマージしてで本番にでプレイしてやる
みたいなことをしてて
そういう流れをやりたいってなると
結構どうしようかな
ってなるんだよね
結局
なんて言ったらいいんだろう
SSHの鍵で
プッシュをしていいかを
制御するっていうのがもう限界が
来てるような気がしていて
要はなんて言ったらいいんだろう
クロードコードのサンドブックスとかじゃ
そこはもう制御できないからどっちにしろ
例えばだから
この特定のリポジトリだけだったら
プッシュさせていいよとかだったら
バンチャン許容し得るじゃん
そうだね
それやれたらいいよね
どこにプッシュされるかわからんっていうのが
多分その不安の根源にあるはずで
それを制御しようと思うと
SSHの鍵だともう無理で
じゃあ
GitHubトークンだったらできるけど
その
なんて言ったらいいんだろう
仕組みとしてそのクロードコードの中に
めっちゃインテグレートされた
何かを作りづらい
みたいな話が多分ある
ちょっと
シンプルに言っちゃ悪いけど
めんどくさいよね
めんどくさい
SSHキーで多分できるのは
オーガニゼーションのアイソレーションだけで
だから俺も個人で使ってるSSHキーは
会社のSSを通さずに
やってるから
盗まれてもプッシュはできないんだけど
オーガニゼーションのアイソレーション
アイソレーションではないけどな正確に
アイソレーションではないか
権限を
スコープを渡さないって感じか
会社のSSを通ってるやつで
俺のオーガニゼーションにプッシュするができるもんね
普通に
確かに
でも
めっちゃ知らなかった
勉強になりました
はい
こんな簡単にできるんだっていう
コマンドがあるんだっていうの知らなかったので
そうだね
そのカギ自体をセキュアインクレーブに突っ込むができるのは
知ってたけど
このscosっていうの知らなかった
Mac OS
意外といろいろできるよね
うん.
filesでMac OSのい
ろんな設定復元できないかなって調
べてたときに結構コマンドでいろいろできて面
白いなと思ったよ
くできてるわ
いいですね
でも署名カギ分けよう
この機会に
みなさんも頼らせてください
俺もちょっと考えよう
そういうきっかけをくれたって
いいですね
ありがとうございます
BundlerのクールダウンオプションとRubyGemsのエピソード
じゃあ次
最後
第100回最後の記事で
早くですけど
ソケットセキュリティの記事で
言ってしまうと
バンドラっていうのは
ノードJSで言うと
このnpmコマンドに当たる
Rubyのコマンドなんですけど
そのバンドラのコマンドで
クールダウンコマンド
クールダウンオプションっていうのがあって
これ何かっていうと
npm-aで言うと
このミニマムリリースエッジ
何日以内にリリースされてから
何日経ったパッケージしか
インストールしないとか
アップデートしないっていう
指定できるオプションなんですけど
それが
もともとあったんだけど
内部的にあったんだけど
使えなくてそのフラグは
もう使えるようになったって話なのかな
でも何かもうそれだけ
ではあるんですけど
npm以外どうなんだっけ
っていう話をちょうど先週
してたんでほーっと思って
取り上げたって感じですね
ただpnpmとか確かデフォルトで
結構強めに有効にするみたいな話が
あった気がするけどバンドラはデフォルトだと
無効というかオプトイン形式
なんで活用したい人は
コンフィグに書くなりコマンド変えるなりして
対応する必要はありますよ
っていうような感じですね
なので各レジストリ
やることはやってくれてる
というような感じがしますね
Ubisoftの
ポチポチ狙われてると
見てるね
ちょこちょこ見かけるね
全然
最近さ
いつもこのリプレイフレームとかで
話す時に
トークン漏れんのとかアカウント乗っ取られるの
他人事みたいなツラしてるんだけどさ
いや乗っ取られたとかじゃないんですけど
この前RubyGemsから
メールが来て
あなたのひも付いてたAPIキー
リボックするねみたいなやつが来て
なるほどなって思ったんですよね
何をなるほどなって思ったかっていうと
APIキー発行したのも忘れてたし
RubyGemsのアカウント持ってたのも忘れてたし
いやなんか
なるほどみたいな
もし俺が昔RubyKaigiって
めっちゃシェアの多い
パッケージを持ってるとか
っていったら
狙われてたのかもなみたいな気持ちで
すいませんって
ログインしてそっと
APIキーも使ってないんで全部バーって
掃除したんですけど
やっぱ開発人生も
おじさんにもなるといろいろあるな
って気持ちですね
いや怖いね
2015年に
パブリッシュしたなんかゴミみたいな
パッケージがあるんですけど
なぜかダウンロード3400とか
何だろうなって
面白いなと思ってやってましたけど
おもろいね
当時開発してたときにそんな
ダウンロードしたかなみたいな
ちゃんとメンテしてください
いやもういい
書けない一言も書けない
もうルビー
化石みたいなバージョンのルビーで書いてる
Githubリポジトリあるかな
アーカイブしたんじゃないかな
やばいね
Githubリポジトリを作り直すとこからですね
アーカイブだから
残ってはいるんだけどさ
懐かしいな
面白いね
ルビー書いてたことあったんだな
しかも今見に行ったら
中身実装空なんだけど
マジで誰がどうインストールしたんやろ
なんかで
そんなことある
つけますよ
当時今あるかわかんないですけど
グルーラビのAPIクライアントを作りたかったんですよ
中身が
見に行くと空っぽなんですよクラスの中身が
これはひどい
なんか
きっと便利に使ってる人がいるんだろうね
グルーラビのAPIクライアントとして
空っぽ
いいね
トラビスの設定ファイルとかあるよ
めちゃくちゃ懐かしいし
こんなフォーマットだったんだね
RAKEファイルとかね
今もあるんですかね
RAKEファイルはあるんじゃない
ないのかな
なさそうRAKE
ワンチャンないっしょ
言い訳すると当時なんか
リードミーの理文開発みたいなのが
研究室で流行ってて
これが欲しいってリードミーを書いて
放置して置くと
モチベが出た時に
ガッと作れるから
おすすめみたいな
多分それでリードミーだけ書いて
空実装
やったんだよな
逆に
なんかあれだね
時代が追いついてきたかもしんないね
確かに
今だったら
今だったら叶うよ
確かにな
時代先取りしてたな
完全に先取りしてましたね
早すぎましたね
早すぎたね
5年
10年か10年前
知事になったな
そんな感じです
ルーターのバックドアと今後の展望
時代を過ぎたけど
いや
潔く
2個で100回で
コツコツ続けていきましょう
って感じですね
いろいろ
世間は
お盆なんでね
お盆みんな休みじゃないか
僕はもう育休なんで休みも何もないんですけど
何も起きないといいな
っていう気持ちですね
そうですね
個人的には別に
お盆という形のお盆はないから
何事も起きないとほしいのは
常にそうなんだけど
今週
来週分もまだ物騒な記事は
来てなかった気がするから
超少なかったよね
いわゆるところ
少ないかそもそもね
1個しかないもんね
確かにまだ火曜日だもんね
しかも教室だし
ZBTリンクル正ルーターの
バックドアの話は
今週分だけど
これは治安悪いか
持ってる人がいたら気を付けてください
これ今日もな
ちょこちょこありますね
家庭用に何買えばいいの
みたいな話が分かんないよね
中国製の何かが入ってこないものは
多分ないじゃん
そうだね
アメリカは先月か先々月に
過激派ムーブで
アメリカが認めた
国産のやつしか売っちゃダメみたいな
出してたけど
でも無理だってなって
FTCが認定すれば海外すればいいよ
みたいな気がするけど
そうなるとなんかもう勝ちだよな
中国側の
そうね
もうだって戻れないところまで
来ちゃってるわけだからさ
間違いない
なんか医療危機か何かでも
同じ話よ
私がぐらい前に見た
なんかやっぱ
まあ水面下でいろいろ
ありますね
平和な夜中になってほしい
ものですが
粛々とやりましょう
何か一言ありますか
100回に際して
いやなんか
リスナーの皆さんのおかげで
ここまで続けることができました
いいコメントですね
ありがとうございます
そうだね本当に
気にしてないと言いつつ
気にするスタイル
あれ見ようよ
そうそうそれ
今オーディエンス
100回だしね
それぐらいはやってもいいな
もうなんか記事にしか興味ない人は
もう離脱してもらっていいんだ
アナリティクスページだよね
でも総再生回数
5800回で
全エピソード合わせて
オーディエンスは1878
これはそうユニークだよね
だからフォロワーとかじゃないですけど
いいっすね
いやー5800
えらいことだよね
フォロワーどっかで見れるんだよな
フォロワーは
エンゲージメントとかかな
オールタイム
あそうだねフォロワー58人
いやーこんな物好きな
方々
引き続きよろしくお願いします
各プラットフォームでどうなるかも
本当は知りたいけど
ちょっとね大変だよね
各プラットフォーム
Apple Podcastだったらね
見れるかな
そう
Apple Podcastには
あれがある
同じようなアナリティクスページ
っていうのがあって
あんま普段サインしてないんで
サインできるか分からないですけど
いけるかしら
久々すぎて利用規約どうしろって言われた
アナリティクス
こっちか
Podcastも結構な視野上がると思うんで
フォロワー17人
少ねえ
おもろいね
うん
Spotifyと比べると少ないね
でもこれ違うわ
過去60日だから
でもフォロワー17で
1400再生
Spotifyと合わせると6200再生ですか
うん
すごいね
なんかね
ウェブのリスナーがなぜか多いんだよね確か
でもそんなことないか
Apple Podcast30%で
Spotify30%だから
まあ半々か
でもこれ違うラスト30だから
なんかね
多いんで多かった気がする
うーん
異様にウェブの再生
なんでウェブに来てるの
そうだったかもそんな気がしてきた
これで
まあでもあんま分からんな
はい
いやありがとうございますって感じですね
本当に
うーん
目指せフォロワー100人かな
フォロワー100人いて
出席率50%だったら
50人のイベントができる
まあ理論上はね
NGなしのみかい
50人いたら
NGなしのみかいはさ
なんかもういろいろと問題があるのよ
さあなんか
さすがにね
NGなし
いい
会社からみなさんにお任せし
うーん
いや冗談ですよ
大人に
あの
真摯協定のもとで
はい
考えがたいですね
次は2周年を
来月か
来月2周年でまあ3周年目
3年目頑張りましょう
いやー
なんかさ
そうだね
意外とネタなくなんないもんだねネタというか
まあてかなんか世間様がこう
勝手に供給してくれる
我々の場合はね
ある意味フリーライドしてるだけなんです
そうだね
なんか
悪い事件に
フリーライドしてると思うとそれはなんか
悪い事件
のニュースは減ってほしいな
こうやるといいぜみたいな
まあそれは
そうですね
間違いない
今年はサプライチェーンだし
戦争だし
じゃあそんな感じで101回目も
皆さんお楽しみにしててください
おやすみなさい
おやすみなさい