Upgrade to Pro — share decks privately, control downloads, hide ads and more …

堅牢なアプリケーション開発を目指して / First steps to build a robust and secure application

Koichi Wada
July 18, 2019
Programming
0
1.1k

堅牢なアプリケーション開発を目指して / First steps to build a robust and secure application

クラウドサインの開発当初に、堅牢性やセキュリティを保つためどのように進めてったかについてお話してます。

Koichi Wada

July 18, 2019
Tweet

More Decks by Koichi Wada

See All by Koichi Wada
CloudSignの裏話 / Inside Story of CloudSign
koichiwada
1
2.4k
CloudSignでのGo言語でのサービス開発
koichiwada
0
1.6k

Other Decks in Programming

See All in Programming
Most Valuable Bug(?) ~インシデント未遂から得た学び~
tatsumiakahori
0
140
子育てとEMと転職と
_atsushisakai
1
330
Workshop on Jetpack compose
aldefy
0
140
PHPDocにおける配列の型定義を少し知る
shimabox
1
120
Form実装基本を学び直してみた
hyugatsukui
0
200
ECS Service Connectでマイクロサービスを繋いでみた
xblood
0
510
An Advanced Introduction to R
nicetak
0
1.6k
MapLibre GL JS とCSSアニメーションでできること
satoshi7190
0
200
WordPress（再）入門 - 基礎知識・環境編
oleindesign
1
110
Rによる大規模データの処理
s_uryu
2
610
AWS App Runnerがそろそろ本番環境でも使い物になりそう
n1215
PRO
0
840
CDKでValidationする本当の方法 / cdk-validation
gotok365
1
150

Featured

See All Featured
Pencils Down: Stop Designing & Start Developing
hursman
114
10k
What's new in Ruby 2.0
geeforr
336
30k
Git: the NoSQL Database
bkeepers
PRO
418
60k
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
120
29k
GraphQLの誤解/rethinking-graphql
sonatard
39
7.8k
GraphQLとの向き合い方2022年版
quramy
20
9.8k
How New CSS Is Changing Everything About Graphic Design on the Web
jensimmons
214
12k
Fashionably flexible responsive web design (full day workshop)
malarkey
396
63k
For a Future-Friendly Web
brad_frost
166
7.7k
Designing for Performance
lara
601
65k
Fantastic passwords and where to find them - at NoRuKo
philnash
31
1.8k
Automating Front-end Workflow
addyosmani
1351
200k

Transcript

  1. 堅牢なアプリケーション開発を目指して B2B SaaS Tech vol.2 避けては通れぬセキュリティ 和田浩一 [email protected] 2019-07-31

  2. 登壇者紹介 和田浩一 弁護士ドットコム株式会社 クラウドサインエンジニアチーム Tech Lead兼ラボコーディネーター [email protected] Twitter: @Koichi

  3. カプラ クラウドサイン公式キャラクター オスの若いヤギ 白ヤギとして生まれたものの、 書類を食べすぎたことが原因で 体が黒くなってしまいました。 おまけ

  4. クラウドサインとは

  5. クラウドで契約を簡単に


  6. None

  7. 開発開始にあたって

  8. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 8 当初の要件 契約書を預かるサービスのため、セキュリティを保ち、堅牢

    であること 受信側はアカウントを作らずとも使えるように 電子署名を使用する 開始にあたってMVPをなるはやで

  9. 開発において気をつけたこと

  10. バグを少なく クラウドサイン公式キャラクター：カプラ

  11. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 11 設計: 状態遷移によるデータ管理

  12. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 12 使用言語: Goの採用

    ・静的型付け/コンパイル ➞ Syntax Error なし ・GC ➞ メモリリークが起きにくい ・CGO ➞ 外部C/C++の呼び出しが比較的簡単 ・gofmt ➞ コーディングスタイルがそろう

  13. 安心して使えるように クラウドサイン公式キャラクター：カプラ

  14. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 14 設計: 安定運用できるように

    ・こまめにサーバーにデータを保存して、できるだけブラウ ザ側にデータを残さない ・万一アプリが落ちても再起動で、前のところから継続でき る ➞ プロセス監視により落ちたら自動起動 ➞ ブラウザ側はリロードにより処理を継続できる

  15. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 15 データ保全: AWS

    ・RDS ・S3 ・自動バックアップ ・MultiAZ (後日)

  16. 漏洩を防ぐ クラウドサイン公式キャラクター：カプラ

  17. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 17 設計: 不要な情報が外に出にくくする

    ・IDにUUID V4 ➞ 推測できないURLを構成する ・受信側には期限付きの推測できないURLを発行する ・ステータスコードは、400/404/500 だけ返す ・APIの戻りデータも極力少なく ・Passwordはもちろんハッシュ化する(bcrypt)

  18. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 18 ネットワーク対策/不正侵入対策 ・HTTPS

    ・VPC ・WAF ・OSSEC

  19. 脆弱性を作り込まない クラウドサイン公式キャラクター：カプラ

  20. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 20 Escapeを忘れない HTMLはGoのhtml/templateで大丈夫

    • <!-- --> も消してくれちゃう jQuery.html() を使わない • jQuery.text() • 今後はVue.js を使うことで直接のDOM操作はしない SQLを極力書かない • できるだけORMでやる • どうしようもないときは、PreparedStatementを使う

  21. Copyright (c) 2019 Bengo4.com,Inc. All Rights Reserved 21 自分たちが知らない脆弱性もあるはず ・フレームワークの使用:

    Revel セキュリティ上必要なHTTPヘッダなど設定済み ・VAddyによる脆弱性診断 ・外部機関による脆弱性診断

  22. 最後に

  23. We are Hiring! クラウドサイン公式キャラクター：カプラ 一緒に世界を変えていく仲間を募集しています!

  24. ご静聴 ありがとうございました クラウドサイン公式キャラクター：カプラ