Hideki SAKAMOTO

IT系零細企業でサーバの保守やWebプログラミングを中心にやってます。

[Hideki SAKAMOTO @hs_onsky]

ついでなのでぶら下げると、OSSの脆弱性に関しては、今は過渡期でバンバン見つかってるけどそのうち収束して、AIによって「多くの目」が理想論から現実になるんじゃないかと期待してたんですが、今のところその気配が感じられず消耗戦が続いてるのはなんなんですかね？

[Hideki SAKAMOTO @hs_onsky]

自分で一生懸命セキュリティ情報を追って対策を実装していた時代→フレームワークにセキュリティはお任せしてロジックの実装に集中していた時代→AIに全てお任せする時代という流れは不可避とは思いつつ、ここ数年ある意味他者に転嫁していた責任を全て自分で負えるのかという不安が拭えず→

[Hiromitsu Takagi @HiromitsuTakagi]

安全な言語での作り直しも意図の一つですが、AIによる開発では不要となる（かもしれない）ミドルウェアやフレームワークその他のライブラリ等をスキップして直実装することで、それらの脆弱性に振り回されないようにすることも意図しています。動画では脆弱性が発生する要因として、プロプライエタリ製品がビジネスモデルからして必然的に多機能化して脆弱性の発生源となることに触れてましたが、オープンソースプロジェクトが開発貢献者らの動機からして無用機能が作り込まれやすいこともスキップしたい理由です。人間による開発ではそうした抽象化されたフレームを中間に挟まなくては保守性のあるソフトウェアの構築が現実に困難だったからこそ、この30年そうした仕組みが発達してきたところ、コーディングとメンテナンスの労力をほとんど無視できるAIによる開発では、そうした中間層のいくつかは今後不要にできるかもしれない。ソフトウェアの作り直しが低コストで何度でもできるようになれば、重要なのは仕様であり、標準であるということになるでしょう。

[Hideki SAKAMOTO @hs_onsky]

などもありつつ、最後の壁は顧客側が受ける印象として、「使っていたライブラリ/フレームワークに脆弱性がありました」より「AIに実装させたら脆弱性がありました」の方がしょうがないね感が高くなってもらわないといけない問題だったりして。

[Hideki SAKAMOTO @hs_onsky]

パスワードのハッシュを盗まれると手元で辞書や総当たりでの試行を制限なくブン回せるので、平文で漏洩したケースと同様に即座変更や使い回しの注意喚起をするのが通常だと思うんですが。
種を別サーバで管理していて、そちらは漏れてないとかなのかな。

[Hideki SAKAMOTO @hs_onsky]

「パスワードは復元できない形式で保管しており、当該情報を用いてお客様アカウントが不正に利用される恐れはありません」って総当たり解析のリスクは？

https://t.co/lA4nMTej2x

[Hideki SAKAMOTO @hs_onsky]

昭和→どちて坊や
令和→なんで姉さん
ってのは今昔の世相って感じしますね。

[Hideki SAKAMOTO @hs_onsky]

うーん、NIIのACMEはHTTP→HTTPSのリダイレクトしてると何かの拍子に証明書期限切れ起こしたりすると詰むので、/.well-known/acme-challenge以下だけはリダイレクト対象から除外しないといけないのか。
複数dNSNameにもまだ未対応だったりで使い物にならない状況が長いですねぇ。

[Hideki SAKAMOTO @hs_onsky]

南さつま市の亀ヶ丘（星降る丘展望所）から望んだH3ロケット9号機の打ち上げ。
オレンジ色の光が薄雲に反射して綺麗でしたが、抜けた後は思いのほか低高度で見えなくなりました。
動画の通り最初の1分弱は山の陰だったので定番の火之神公園の方がお薦めですかね。

[Hideki SAKAMOTO @hs_onsky]

まぁ最近のメールクライアントのサーバー自動判定では993/995番ポートでサービスしていればそちらになるので、普通に設定すればSTARTTLSになることはまずないはず。
危ないとするとノートPCで古い設定の引き継ぎを繰り返して使い続けているケースぐらいでしょうか。

[Hideki SAKAMOTO @hs_onsky]

今どきほぼ問題ない（HTTPがあるから危険というのと同レベル）という前提で、POP(110)/IMAP(143)にもSTARTTLSはあるので、SMTPだけに触れてgrokに解説振るのはややミスリード感が。
例えばThunderbirdには今でも接続の保護欄にSTARTTLSという選択肢が残っていますね。iOSの標準メールにはなさそう。

[Hiromitsu Takagi @HiromitsuTakagi]

SMTP間にWi-Fi区間なんかあるんですか？ @grok

[Hideki SAKAMOTO @hs_onsky]

あのアイコンが我慢ならない同士よ、我々にはショートカットがある。

[Hideki SAKAMOTO @hs_onsky]

天板ファンのPCの上にモニターを置く愚かさを嘆くツイートに昔のPCの写真を持ち出して揶揄する老害ムーブは恥ずかしいと思うの。

[Hideki SAKAMOTO @hs_onsky]

中抜きされた塩パン

[Hideki SAKAMOTO @hs_onsky]

現場としては当面で良いので、業界総出でセキュリティfixリリースを毎月第一/第三月曜日に統一とかして欲しい。

[Hideki SAKAMOTO @hs_onsky]

なんか界隈が半狂乱になっておりまして、PHPやMy/PostgreSQLの緊急保守の準備・検証をしてたらFreeBSDとBINDのセキュリティfixが公開されて手戻り発生したりしております。

BINDは当面の間毎月セキュリティfixを出すかもしれないので覚悟しといてねとか宣言してるし。
https://t.co/z7nJrWlSQo

[Hideki SAKAMOTO @hs_onsky]

Outlook(new)ってなかなか香ばしくって、アプリのフリしたSaaSのフロントエンドで、使用者の端末からではなくMS所有IPのクライアントからメールを取っていくし、アプリを閉じていようが、OSをシャットダウンしてようがお構いなしにアクセスしてくるのよね。李下で実に手を伸ばして撫でまくってる。

[🇯🇵火鍋チャンネル跡地🇯🇵 @hinabe_ch]

「まさか日本の中枢や中央官庁でavastがインストールされた端末をBYODしてないよな」と疑うみんな！

安心しろ！　26年4月現在進行形で霞ヶ関からギガファイル便で検討会議の未公開議事録（もちろん国家機密）をやり取りしている馬鹿がいっぱいいるぞ！

もちろんそいつらが使っているのはoutlookだ！

[Hideki SAKAMOTO @hs_onsky]

paypayは使ってないので確信を持って対処できましたが、油断すると引っかかりそうです。
使っている方はお気をつけて。

[Hideki SAKAMOTO @hs_onsky]

paypayカードの利用明細を騙った詐欺メールが届きました。
メール内のリンク先が全て"https://t.co/Ou7gCJvDQZ..."で始まる同じURLで、正規のpaypay決済用リンクっぽいです。
身に覚えがないと思ってリンク先を開くと決済画面に誘導され、そのまま支払い手続きさせてお金を騙し取る手口か。