森 淳一(JULY)

一介の技術系サラリーマン。
セキュリティは趣味。文字コードは好物。
座右の銘：There are no magic boxes.

[森 淳一(JULY) @julymori]

確か Dovecot の実装で、Digest-MD5 を使う際に「平文ではないけど、計算の途中の値」を保存しておく仕組みがあったなぁ、と思っていたが、CRAM-MD5 も同様らしい。
でも、APOP ではそんなマネは原理的にできないもんなぁ。

[徳丸 浩 @ockeghem]

2022年に、CRMA-MD5を廃止してAPOPに移行を促すというのは最高に訳が分からない（どちらもMD5ベース）感じですが、CARM-MD5は使っている人数が少なくてサポート停止できたが、APOPは利用者が多すぎて廃止を躊躇してしまった、ということですかね。

[森 淳一(JULY) @julymori]

「パスワードには、ハッシュ化・暗号化されたものも含みます。」

平文の可能性も排除できない理由が存在する。

で疑問なのが、平文で抜かれている可能性があるのは、どんな時かが疑問。ISP による？ プロダクトの新旧？ ユーザーの新旧？ パスワード更新の新旧？

緊急性に関わるんだけど...

[森 淳一(JULY) @julymori]

KDDI の発表資料を見ると分かること疑問。

「ご解約されたお客さまや、一定期間ご利用のない休眠のお客さまも含みます。」

Web サイトでありがちな、プログラムが上書きされて、ではなく、ユーザー情報の DB を抜かれた。
https://t.co/Io6z4ZBAXR

[森 淳一(JULY) @julymori]

質問主は根岸さん？
#セキュリティのアレ
#アレ勢

[徳丸 浩 @ockeghem]

セキュリティは楽しいです
#mond_ockeghem

[森 淳一(JULY) @julymori]

「成功した人の思い込み」もある。
我々の思い込みで「運」の所が、まるっと「努力」に入れ替わる。

[まよねこの勤労🐈💨 @HigurashiNapon]

成功に必要な要素

[森 淳一(JULY) @julymori]

たとえ故人の親族であっても、生前の許諾なしに本人以外がログインするのは、不正アクセス禁止法に抵触しない？

第37回：亡くなった大切な人のXアカウントを保持する唯一の方法――264アカウントの「再利用」を調べて分かったこと【天国へのプロトコル】 - INTERNET Watch https://t.co/XsWyaUy2D9

[【永久機関シマエナガ】シマエナガとカラスさん公式 @SimaenagaEikyu]

#次にくるマンガ大賞

なんと『永久機関シマエナガ』も対象作品になっているようですが、まさかの今年がエントリー可能な最終年となるかもです…。
どうかご推薦、よろしくお願いシマエナガ💕

#永久機関シマエナガ

[森 淳一(JULY) @julymori]

であれば、企業側も、どのどういった情報を参照するかを開示すべきでは？
じゃないと、情報の非対称性が拡大し、公平なマッチングとは言えないと思う。
休職履歴は、犯罪歴のような、秘匿が咎められる重要事項とは言えないと思うが...

[森 淳一(JULY) @julymori]

数年前から、ブラウザが保存する Cookie の保護手段を探していて、Chrome は自力で工夫しているみたいだけど、単純に特定のファイルやフォルダへのアクセスを特定のプログラムに制限できればなぁ、と思う。SELinux だとできそうだけど。

[辻 伸弘 (nobuhiro tsuji) @ntsuji]

これ「仕様」とのことですが

Windows 8.1 / Server 2012 R2 以降では、WDigest の平文パスワード保持はデフォルトOFFなんですよね。

ここちょっとダブルスタンダード感ある。

InfoStealer が一般化し、ユーザー権限だけでブラウザ内の資格情報や Cookie を抜かれるのが当たり前になった今「ログイン済みユーザーコンテキスト＝信頼済み」という前提自体が崩れつつあるように思いますね。

[森 淳一(JULY) @julymori]

通称「Copy Fail」こと CVE-2026-31431 だけど、PoC の Python スクリプトが小さくて汎用性が高いところに目が奪われるけど、各ディストリビューションのパッチの準備が後手に回っているのを見ると、発見した Xint 社の対応はどうだった？ と思うなぁ。

[yousukezan @yousukezan]

AIコーディングエージェントが企業の本番データベースをわずか9秒で削除し、さらにクラウド側のAPIがバックアップまで消去する重大事故が発生した。複数サービスの設計不備が連鎖し、数カ月分の顧客データが失われたとされる。

被害を受けたのはSaaS企業PocketOSで、創業者Jer Craneが経緯を公表した。AIエージェント「Cursor」はAnthropicのClaude Opus 4.6を利用し、クラウド基盤Railway上で動作していた。

本来はステージング環境の作業中だったが、エージェントは問題解決のため独断でボリューム削除を実行。環境を誤認したままAPIを叩き、本番データベースとバックアップを同時に消去した。削除は単一の操作で完了し、復旧不能な状態となった。

エージェント自身も「確認せず推測で破壊的操作を行った」と誤りを認めている。複数の安全策が機能せず、AIの自律判断とクラウド設計の組み合わせが重大なリスクとなる実例となった。
https://t.co/tDfbvDFOWN

[森 淳一(JULY) @julymori]

--no-preserve-root オプションを付けない程度の冷静さが残っている。

[まよねこの勤労🐈💨 @HigurashiNapon]

すべてが嫌になった時の我々

[徳丸 浩 @ockeghem]

すみません、まだ苦手でした（Grok、Claude、Geminiは大丈夫でした）

[森 淳一(JULY) @julymori]

「報連相」という言葉が発せられる時のコンテキストは、権力が大きい側から下へ、に限られている。
故に私はこの言葉が大嫌いだ。

[まよねこの勤労🐈💨 @HigurashiNapon]

報連相

[mattn @mattn_jp]

テキストエディタを使ってコードを書いて、ドキュメントを調べて API の呼び方を学んで、コンパイラの使い方を調べてビルド手順を実行して、エラーが出たので修正して、思ったパフォーマンスが出ないので改善してという、ごくごく数年前まであたりまえだったプログラミング手法を1度も体験せずに、入った会社でいきなり「AI 使ってコーディングして下さい」と言われた若い人達が、はたして本当にプログラミングの事や、プログラムの仕組みを理解しているのか、出来るのか、いやはや分からない事があれば AI に質問すれば答えてくれるんだから昔の手法なんか踏まずにきちんと学べるんだとか、そいういった AI コーディングが流行り始めた頃に言われた理想論が現実的にできるのかというと、ここ最近どっぷり AI にコードを書かせている僕から言わせて貰うと「嘘やん理解できる訳ないわ」という感想です。

[徳丸 浩 @ockeghem]

「HttpOnlyのついたCookieだとXSSから守られる」という雑な記事にコメントをつける日常業務を果たしたので帰ります

[大田勇希｜ハラスメントを哲学する人 @yuumailsan]

バスを止めたのは、怒鳴った乗客ではありません。
「安全」です。

都営バスが運行休止。
理由は、乗客とのトラブルで運転手が「運転できる精神状態ではない」と判断したから。

一見すると小さな出来事です。

でも実は、
日本のサービス文化を揺らす判断です。

これまでの常識はこうでした。

客が怒る。
店側が謝る。
運行は続ける。
「迷惑をかけてはいけない」

でも今回、都営バスは逆を選んだ。

安全を守るために、
運行を止めた。

ここで一つ、見落とされがちな事実があります。
カスハラは、
接客問題ではありません。

安全をめぐる問題です。

バス運転手は数十人の命を預かる仕事。
怒鳴られた直後に、冷静に運転できるか。

もし事故が起きたら、
誰が責任を取るのか。
怒鳴った乗客でしょうか。
SNSでしょうか。

違います。

責任を問われるのは、
運転手と会社です。
だから今回の判断は、
「サービス拒否」ではない。

リスク管理です。

むしろこれまでがおかしかった。
客の機嫌が、
安全より優先されることがあった。

今回止めたのはバスではない。
「お客様は神様」という幻想です。

あなたが乗るバスの運転手が、
怒鳴られた直後だったとして、
本当にそのまま走ってほしいですか。

[mattn @mattn_jp]

ぶっちゃけ、自分のサーバもそうだけど gmail やら photo やら drive の中身を、突然有名になったソフトウェアに全部あらいざらい公開するほど、なんとか Claw を信じてないんですよねぇ僕。

[森 淳一(JULY) @julymori]

家族が居ると、仕事をする物理的な空間を確保できるかが最大の問題。３日ほど経験があるが、寝室の片隅で折りたたみのテーブルと椅子はかなり厳しかった。
理想は、マンションの隣の部屋、と昔の同僚も言ってたなぁ。

[森 淳一(JULY) @julymori]

あっ、間違えた。事故「対応」アワードだった。
#セキュリティのアレ

[森 淳一(JULY) @julymori]

自分は興味があるので、出てきた対策が「ダブルチェック」「教育の徹底」といった、人間に頼る対策「だけ」な物を見てため息をつくことがしばしば。
とはいえ、一般人が対応・対策を理解し評価するのは現実的ではないので、事故対策アワードのような良い対応を広める事が大切。
#セキュリティのアレ

[辻 伸弘 (nobuhiro tsuji) @ntsuji]

情報漏えい発生時、「すぐに退会する」が約2割なんですね。あってはならないこととは言え、その後の組織の対応も見てほしいところですね。

企業による個人情報流出時、約2割が「即退会する」～NSSスマートコンサルティング調査 - INTERNET Watch https://t.co/nhnXssFoFK