第166回寝起きと小ネタと変更ログと！スペシャル

00:00

足りないから多めに買ったら余るし、余らせたくないので控えめに買うと足らないっていうのが、みかんってそういう存在ですよね。

みかんね。

毎回これを僕はずっと冬に繰り返すんですよ。食べ過ぎてなくなってとかそういうこと?

そうそうそう。なんかちょっと控えたら、だから2袋で、ほらなんかオレンジっぽいネットに入ってるでしょ。みかんでだいたい。

網網のやつ? そうそう。それをなんかもう家のやつないから2つ買っとこうかなって思って。いやでもこれらちょっと余って、ほらこの季節結構部屋乾燥するからみかん結構シワシワなって言っておるんですよ。

それ考えて一個にやったらなんかもう全然足りひんっていうね。

みかんってそんな存在ですよね。皆さんにも感じで。全然ピンとこんは。

あれおかしいな。じゃあピンとけいへんやったらサムギョプサルの話しようかな。大丈夫です大丈夫です。

え? もう大丈夫です。サムギョプサルの話? サムギョプサルはまた次回でも大丈夫です。

さしてくれよ! あのしたやん。前になんか多分オススメかなんかでさ、なんかサムギョプサル家でやるサムギョプサルオススメしたことなかったでしたっけ?

なんかしたね。した気がするね。記憶が。そうそうそうそう。あれ僕ほんま未だに好きなんですけど、あのちょっと前にね。

ネットスーパー使ってるんですけど、サンチュがなかったんですよ。

買えるリストに。あれ結構使ったことあります?お二人。

ない?ないか。結構ね買う時によってあったりなかったりするんですよ。ものが。

そうそうで頼んだのに届いたやつ開けたらなんか2つ頼んだやつが1個しかないとかっていう。

なかったんで1個ですとかなかったんで入ってないですっていうのもまあまああるんですよ。ネットスーパーって。

そうそう。でも頼む段階じゃなかったからもうサンチュないから包むやつね。そうやからもう食べたいしレタスにするかと思ってレタスにしたんですよ。

でもやっぱりなんかこれってこういうものがこういう材料でやるみたいなものってなんか変更したりするのもなんかこう

いいかもしれへんけど、王道っていうのはやっぱ大事ですよね。味が全然違うっていうか

食感が違うっていうか。やっぱりサンチュって決まったらサンチュにしないとサンチュ偽装ではあまり良くない結果になるんじゃないかなっていうね。

やめといた方が良かったかこれ。

何がスタンチュ偽装だよ。

毎回毎回雑談何しゃべろうかなー言って考えたらこんなことばっかり浮かんでくるんですよ。

03:01

なんかちょっと調子悪い?大丈夫?

あのね実はですねあの15分ぐらい前まで寝てたんですよ。

お腹いっぱいでねちょっと眠たくなっちゃってちょっと1時間弱ぐらい寝てたんですよね。

ちょっと雑談のレベルがやばいで。

いやいやもうほんまにやばいですよね。セミナーじゃなくて良かったなっていう感じですね。

あの先週ちょっと新しい動きがあって言ってたから。そうそうそれめっちゃ気になってたんだけど。

本当なら今日から皆さんもできますって言おうと思ってたんですけど。

何を?ちょっとトラブルが起きてて何かって話なんですねそれがね。

まずですねあのいろいろお便りでも寄せられている通り最近のほらアイキャッチ画像に使ってる絵あるじゃないですか僕ら3人の似顔絵みたいなやつ。

はいはいはいなんかちょっと可愛らしい感じのね。

そうそうあれを使ってですねあのラインスタンプを出そうじゃないかと。

おーなるほどなるほどそれが新しい動きっていうやつね。そうそうそうそう。

なんか自分も使いたいしなぁと思って。どんな感じなんだろう。結構それはねどんなんかそれは楽しみにしておいて欲しいんですけどトラブルっていうふうに言ったじゃないですか。

あのもう前回の収録のタイミングにはもう申請をしてたんですよ。

あーなるほどそれで。

であの連絡が通知くるんですねアプリから登録できるんですけど、やったらリジェクトされまして。

なんで?あれ?拒否られた。なんか引っかかった?なんか引っかかった?あれなんでやろうなぁと思って。

であのなんかすごい広い内容で返ってきたんですよ。何をダメって言われているのかわからんみたいな文章で来たんですよね。

理由がねなんかねあの全体的にダメみたいな理由が来て、なにそれ全体的にダメみたいな感じ。

救いようがないやつじゃないですか。すっかりされたって感じ。そうなんですよね。なんかねそうそうあの審査のねガイドラインに引っかかっているとほんで対象はスタンプ全体って書いてて。

わからんねそれじゃん。でそうそうで権利者からの許諾が証明できないものっていうのが書いてあって

どれのこと言われてるか全くわからなかったんですよね。セキュリティのあれの人じゃないのに勝手に脱走としているかとかそういうことなのかなと思ったんで

自分がこういう運営してますってことだとかっていうのを、あとは何かその権利を証明するっていうのの方法があるんだったらどういう方法があるのか教えてもらえませんかっていうことを返したんですよ。

2日も3日も経っても来ないんでこのメッセージを送ったってことでみなしたとして

06:05

もう一遍申請してみようと思ってやってみたんですよ。そしたら今度はもう大して何も内容を変えてないのに

これがダメですっていうのを教えてくれたんですよ。内容。内容はですね2回目の1回目で理由が違う。2回目は結構ピンポイントで対象

画像で来たんですよ。権利の所在が明確でないもの2次創作などって。あ、2次創作かと思って

見てこのNG画像はこれですっていう風なやつが添付されてたんですね。何かというとあの

ちょっと言葉で言うの難しいのでもしあのどれなんやどんなんなんやろうって思ったらみなさんこの

ポッドキャストセキュリティのあれの第160回で使ってるあのアイキャッチがあるんですけどあの僕がコーヒー屋さんの店員でネギスさんが

コーヒー飲んでてそのコーヒーの入れ物? ロゴがカンゴさんになってて、その某コーヒーショップっぽい感じの

あーなるほど。なんていうか見るやつをその1個一休みっていうスタンプを入れてたんですけど

そのマークがまぁ緑のバックに白で鳥が居るっていうカンゴさんの似顔絵みたいなのが居るっていうやつなんですけど多分これが

あのそのスタバですよねスタバの2次創作に引っかかるっていうんで多分弾かれたんだと思うんですよね

あ、私が引っかかってたんですね。実はそれね俺もNGだと思ってた

あ、お前すか言うてーや。試しに出したらどうなるかなと思ってさ

なんでその2回出して2回弾かれたことによって理由が明確になったのでこのあの

このやつはもうカンゴさんがゴローンと寝転んでて一休みっていう風になってるやつに変更して今審査中です

まあ他の絵は全部オリジナルだから大丈夫じゃないかなぁと思ったんだけどさあれだけはちょっとなんか

似せすぎてるからダメだと思ったんだよな。確かに。どう見てもっていうのは

ちょっと寄せすぎてるから危ない気がしたんだよね。しっかりチェックされてるんですね。

ね意外と意外とでもないからそれはそうだよな。それはなんか変なだって著作権侵害に出すとかバンバン使えたら大問題だからね

そうですね。なんでそうなんですよ。

これだから多分来週これが配信されてる頃か再配信された後ぐらいかなには多分これ通れば

いけると思うんですけど。じゃあそれ通ったら普通にあのショップで買える誰でも買える感じになるわけだ

ショップで買うこともできるしあのなんかこう使い放題のサブスクとかもあるじゃないですか

それでも使えるようにあのあれで許可制なんですよ作者が許可するかしないかなんてそのサブスクに

含めて使えるようにするかっていうのが。えーそうなってんだ。なるほど。

それであの使えるフォームに入れておきました。これあの普通に無料スタンプで出したい

出したかったんですけどこれあの無料にすると自分しか使えないですよね。あそうなんだ。

09:01

いろいろ制限があるんですね。そうなんかそのイベントとかキャンペーンみたいなその企業がやってるやつとかはなんか無料で

いけるみたいなんですけど誰でも使えるようにっていうのは期間限定で。なるほどね。

なんかこれにするとそうなんかその有料にしないと自分しか使えないっぽいんですよ見てると。

なるほどまあでも最低料金にしておけば大したことないじゃん。安いし。

一番一番最低の料金にしておきました。出たら買おう。

僕もそう僕も買わないといけないですよしかもこうすると。いやーなんか楽しみだなぁ。

セキュリティのアレで検索したらじゃあ出てくるようになるってことなんですかね。審査が無事通れば。

うんセキュリティのアレ。そう今回はセキュリティのアレ01っていう。

0人も出てくる可能性があると。

そりゃそう。しかもアレ01ということは99まではあり得るわけですからね。

すごいですね。99まで行くかもしれない。公表につき第2弾第3弾と。

一応あの説明文はポッドキャストセキュリティのアレスタンプ第1弾だスペシャルっていう名前になってます。

説明は。わくわくするなぁ。そうなんですよ。楽しみ。

お金のかかることなんでね、ぜひ買ってくださいとは言えないんですけど、面白いからやってみたかったんでちょっとやってみたっていうことではあるんですけど。

一応ゆくゆくの展望もありまして、ちょっとある程度落ち着いたら、皆さんからスタンプの言葉を募集したいなぁと思ってるんですよ。

あーこんなの使いたいとか。そうそうそう。今回のやつは別にこう見ると、そんなにセキュリティセキュリティってしてない。全然してないんですよ。普通なんですよ。汎用的なんですよ結構。

普段使いできる感じのね。そうそうそうそう。それこそお疲れ様ですとかね。

あとまあ僕がよく言うやつだと何笑っとんねんとか。確かにセキュリティっぽいやつ欲しいね。

そうなんで、1段目はこれにしといて、2段目はセキュリティの人以外使うんかみたいなものもいいかなと思ってて、皆さんから募集、日常でも使えるセキュリティ用語みたいなんでもいいけど何でもいいけど、募集したものを入れるっていうのもみんなでやってる感じで面白いかなと思って。

確かに確かに。ちょっと読書な時しか使えそうもなさそうなやつとかね。いつこれ使うねんみたいなのは楽しいかもね。

そうなんですよ。そういうのもできたら面白いかなと思ってね。知ってる人同士は楽しいかもしれない。

なかなかアレ勢同士でLINEしてるっていうのがわからないですよ。ちょっとシュールだな。ワイヤー使ってますみたいなことになってしまうかもしれないですけど、やってみたかったってことですね。

お便りが来ております。ご親戚さんの方がまたいらっしゃったみたいですね。

今更ながらポッドキャストを利用するようになってセキュリティのアレを第1回から聞き始めたんですが、セキュリティ以外のお話が9割。

12:04

1.5倍速で聞くとノリもツッコミもキレキレな芸人ラジオみたいで最高っていうことで、あと古い配信から聞いていると当時のセキュリティニュースを懐かしむことができるという思わぬ副産物

ソニーとアノニマスがわちゃわちゃした影響で仕事が徹夜になったこともあったなぁというちょっと開古的な感じになられている方のお便りが来ておりました。

ほんとのほんとの1回目だ。そう、ほんとのほんとの1回目ですよね。

じゃあもう10年ぐらい前のやつじゃん。すごいですね。そうなんですよ。

あ、そっから聞いてるのか。それはすごいね。

時間の流れ感じますよね。そうですね。 1回目は9割ぐらい雑談してたっけ?そうだったっけ?そうなのかなぁ。

ちょっと聞いてみようかな。久しぶりに。聞いてみな。

ようこそということで、ぼちぼち聞いていただければと思います。そうですね。よろしくお願いします。

これはネギッサン関連なのかな。Apple IDの2ファクターオーセンティケーションに指キーなどのファイドセキュリティが利用できるようになったけど、セキュリティキーは2つ必要らしいということで、ちゃんと予備キー前提になってるっていうお便りが来ておりました。

そうなんだよね。今週リリースされた新しいOSから対応したんだよね。 13.2かな?

Macの13.2でiOSとiPadOSが16.3からかな。ただね、あれ1個だけ盲点っていうか当たり前なんだけど、あれ使うためには使ってるデバイス全部が最新のOSでないとダメなんだよね。

iPhoneもiPadも複数持ってると全部これ以上になってこないとダメっていう前提があるんですね。そうそうそう。だから例えば同じアカウント使ってて、どれか1個古いデバイスとか使ってて、OSが古いとかだと使えないんだよな。

じゃあそのデバイスだけが占め出されちゃうってことですか? そうそう。そのアカウントでログインできなくなっちゃうんで。

あーそうなんだ。それは結構落とし穴ですね。そう、だから最新のしか使ってないっていう人は是非やってみるといいんじゃないかなと思うけど。

いいよね、あれは。これでもなんかちょっと国際的にもこれ予備金って言ってくれない? 言わねえよ。無理ですか?予備金の会社が予備金の会社に言ってもダメですか?

歌えられるわ。じゃあ逆に僕らが予備金っていうこれ登録商標を取っちゃえばいいんじゃないですか?

予備金って一般名称すぎて通らないんじゃないか?大丈夫かな? 予備金もいいですよ。

でもアルファベットにしたらいけるとかあるかもしれない。わかんないけどね。

まあまあそんなちゃんと皆さんチェックされてるなっていうことですね。あとはこれランサムの前回の話に対してのコメントというかお便りなんですが何にも対策をとっておらず

15:02

保険金も下りないようなところに攻撃が来るようになると攻撃された企業は辛いですね。少しでも攻撃が防がれるような対策をしてほしいというふうなことが来ておりまして

前回ねお話したときにそんなにこう追い風、僕らからの追い風、攻撃者から向かい風になっているかって被害ベースで考えるとそうでもないから気をつけることには変わりないよねみたいな話をしたところですよね。

結局難儀やもんな。なくなってるわけじゃないからねってところはちゃんと伝えていかないといけないなと思いました。

ということでお便りは以上です。気になることとかご意見ご感想みたいなものがあれば

セキュリティのあれというハッシュタグをつけてツイートいただければ読み上げれば紹介すればステッカーの印刷コード差し上げますんでよろしくお願いします。

はいお待ちしてます。

お待ちしてますということでセキュリティの話をするんですだっけこのポッドキャストはね。

そうですね多分。

はいそうでした。

ということでじゃあ今日はですねネギスさんから行きましょうかね。

はいトップバッターじゃあ行かせていただきますけどもまあ今日はちょっと小ネタであの申し訳ないんですけども

小ネタ。小ネタで温めしがあんまりないですね。

確かに小ネタの定義がねいつも不思議ではあると思うんですけども。

何がこれたかこれたじゃないかよくわかんないけども。

わかんないですよね。

えっとですね今週あのちょっと報告があったGoToっていう会社からの情報漏洩の話をしたいなぁと思ってるんですけど

実はこれちょっとあのこの間もう最後にするって言った下のねもう川上のうちに申し訳ないんですけどラストバスの事件とこれ関連がありまして

あれ?ラストバス結局好きやん。

もうなんかここまで来たら愛ですね。

どうしても気になっちゃうんだよね。

それまた新しい動きがあったんですか?

ラストバスの話じゃないんだけどもうちょっと関連があるので背景をさらっとおさらいしておくと

もともとログミンっていう会社が2015年にラストバスを買収したのね。

で後でこれ分社化して親会社子会社って感じになったんだけど

今日紹介するGoToってやつは何かっていうと

元々使ってる人いるかどうかわかんないけど僕は使ってるんだけどGoToミーティングとかzoomみたいな

テレビ会議のシステムを昔からやってるところで

これ元々はストリックスのサービスだったんだけど

2016年にそのストリックスがこのGoToって名前の付く製品を丸ごと全部売っ払って

ログミンがこれを買収したのね。

でログミンっていう会社のサービスになりましたとGoToなんちゃらってやつが全部ね。

でよくある話だけどその製品の名前の方がポピュラーだからって言うんで

じゃあ会社の名前を変えちゃえって言って

たまにありましたねそういうの。

そうよくあるよね。

で去年そのログミンっていう会社がGoToっていう会社の名前を変えましたと

18:01

いう感じになっていて

なのでGoToが親会社でラストバスが子会社っていう関係になってますと。

ラストバスはパスワードのサービスやってるし親会社のGoToは

GoToホニャララっていうテレビ会議のシステムとか

あとは元々のログミンがやってるリモートアクセスのサービスとかね

こういうやつを手掛けてるみたいなこういう位置付けになってたんだけど

で去年の2022年の11月にそのラストバスが

8月から続く侵入事件のアップデートした時に

このポートキャストで取り上げたんだけど

実はその時にGoTo親会社の方もリリースを出してて

でそこで何を言ってたかっていうと

実はその親会社のGoToと子会社のラストバスで

サードパーティーのクラウドサービスを

なんか共有して使ってましたと

そこが侵害を受けたので報告しますっていう

そういうニュアンスのことが書いてあったんだよね

でその時ポートキャストもちょっと触れたんだけど

実はその時のリリースを見た時には

これはラストバスが侵害を受けたから

親会社としても報告をしておかなければということで

出したんだろうと

でラストバスとサービスを共有してるのもあったし

影響を受けましたって

そういう観点で言ってるに過ぎないんだろうと

実は勝手に思ってたんだけど

今週そのGoTo親会社の側が情報を更新して

実はそうじゃありませんっていうことが分かって

ちょっとびっくりしてさ

で何かというと実はそのラストバスが情報漏洩した

というのはもう去年発表があったんだけど

実はその親会社の方のGoToのサービスの情報も漏洩してましたと

というのが今週出て

でそれがそのラストバスと共有してた

サードパーティーのクラウドストレージから

情報が漏れたということで

その漏れた情報っていうのが

親会社の方のGoToのサービスを使っている

だからGoToなんちゃらとかっていうサービスがいっぱいある

それを使っている

顧客に関するアカウント情報とかのデータが

暗号化されてバックアップ取られてたんだけど

そのバックアップが取られたクラウドストレージから

漏れてしまいましたと

であらららという感じなんだけど

ちょっとその疑問点がここで

なんでGoTo側にも影響が読んじゃったのかっていうのは

ちょっとはっきりして書いてなくて

親会社と子会社で情報を共有するから

同じクラウドストレージのサービスを使えますっていうのは

わかんなくはないんだけど

かといって侵入の原因自体はラストバス側にあるわけで

ラストバス側が情報を盗まれましたっていうのは

わかるんだけど

同じストレージサービスを使ってたからって

なんで親会社側のサービスの顧客情報が漏れちゃうのか

ちょっとここはよくわかんないなっていうか

分かれてるべきですもんね

普通の感覚ではそう思うじゃない

なんでそれが同じ影響を受けちゃったのかっていうのは

21:00

ちょっとはっきりしなくて

その辺の情報の管理の仕方に問題はなかったのかな

っていうのが疑問として浮かんだっていうのが一つ

あともう一個はこれもびっくりしたんだけど

今暗号化されたバックアップのデータが漏えいしました

って言ったんだけど

一部のデータは暗号化の鍵も一緒に漏えいしました

って書かれてあって

え?っていう感じで

ちょいちょいちょいってなりますよね

鍵も漏えされちゃったら

暗号化されても当然複合されて中身見られちゃうわけなんで

いっちゃあかんやつですね

なんで鍵も一緒に漏れたのかっていうのが

それはもうちょっと疑問

確かに

去年話から出たラストパスは

暗号化されたデータが漏れたけども

一応あれはマスターパスワードが鍵になっていて

それはラストパス側も知らないから

ユーザーがちゃんと強化のパスワードを付けていれば

鍵は漏れないから安心ですっていう

一応そういう言い訳ができたじゃない

なんだけど今回のやつは

鍵もどういうふうに管理したのかわからないけど

鍵も一緒に漏れたっていうから

これはもうダメだよねっていう感じで

ちょっとなぜ暗号化の鍵が漏れたのかっていうのは

何も書いてないのでわからないんだけど

でも鍵の管理っていうのは

本来ちゃんとしっかりしてあるべきなので

一番重要な部分だからさ

金庫に保管してました

でも金庫の鍵は金庫の上に置いてありましたって

ありえないわけじゃない

ほんまにそうですね

なんでこのクラウドストレージのサービスを使って

バックアップのデータを暗号化してたっていうけど

その鍵が一体どこにどう保管されていて

なぜそれが一緒に漏れてしまったのかっていうのは

ちょっと説明する責任があるような気がするんだけど

そこは何も書いてないんでわかりませんでしたと

そこがすごく気になったなというので

事件自体はこれだけしか書いてなくて

それ以上の詳しい内容は全くリリースに書いてないんだけど

改めて利用者側としては

エンドツーエンドの暗号化ってやっぱり大事なんだなって

改めて思って

例えば今回のどこのサービスを使ってるか

書いてないんでわかんないんだけど

AWSみたいなやつかもしれないし

あるいはドロップボックスとかそういうサービスなのかもしれないか

わかんないんだけど

僕らみたいな一般の利用者が使ったり

あるいは会社として今回の使うケース

どちらのケースもそうだけど

だいたいストレジックサービスで

データは暗号化してきちんと安全に保管してますって

どのサービスも今時みんな言ってるんだけど

暗号化の鍵の管理のレベルって多分違うんだろうなっていうのが

エンドツーエンドだったらユーザー側しか鍵を持ってないから

安全だろうけども

大抵のやつはそういう風になってないし

事業者側が鍵を管理してるのが普通だから

こういう事件が起きてみると

鍵の管理が本当にちゃんと安全になされているかっていうのは

24:03

ユーザーからは見えにくい部分だし

わからないなっていうのが

改めて感じて

だからこそ一般の利用者は特にそうかもしれないし

会社としても自分たちで鍵をちゃんと管理するソリューションって

あるにはあるんでちょっと高かったりするけどね

大事なデータはそういう交換の仕方をしないと

安易にクラウドのストレージを使ったりとか

こういうサービスに預けたりとかすると

本当に大丈夫かどうかっていうのは

実はわからないっていうことが結構あり得るなってのを

改めて思って

データは暗号化してますよって歌ってるサービスって

世の中にいっぱいあると思うんだけど

改めて暗号化って本当にどういうレベルでやってんのとか

鍵の管理ってどうやってんのっていうのを

改めて見てみると

意外と安心できないやつが

あったりするかなっていう

そういう視点で見てみると

どうなんだろうなって

今回の件見て思ったね

なんかね

これって僕らから

使う側からすると

見えないものっていう話じゃないですか

どうやってんのみたいな

ちゃんとしてますみたいなこと言ったりするけど

新しいものとかもそうですけど

なんか出てきたときに

ガイドラインとか出てくるじゃないですか

国からクラウドガイドラインとかね

そういう例えば

そういうのを満たしてますって言ったところで

結局こういうことが起きたりするわけじゃないですか

確かにね

よく言われるのは言葉的に

ちょっとそれはおかしいんちゃうかなっていう

言い過ぎちゃうっていうのはあるんですけど

ISMS取っててもPマーク取ってても

情報漏洩起きるわけでっていう風なね

ちゃんとしてなかったんかみたいな

してたかしてなかったかは

ちゃんと調べてみないと

分からないことだと思うんですけど

昔は信頼してて成り立ってたものが

ちょっと崩れてることって

最近多いのかなっていう印象的にはありますね

まあね確かに

いろいろそのマネジメントレベルで

一定のレベルはクリアしてますっていうことは

保証されてるけど

事件が起きないことを保証してるわけじゃないからな

そうそうそうそう

結局調べてみたら

ずさんでしたっていうのもね

いくつかあったりするわけじゃないですか中には

たまにあるよねそういうことね

そうそうそうそう

だからそこって結構

質問とかされたりするけど

どこのサービス使うのがいいんですかって

その指標にするべきもん何ですかって

言われるけど

こういうダマでやっちゃってるような

ところとか

管理が甘かったりとかっていうところまでは

外から見抜けないから

こういうチェックすればいいんじゃないですか

っていうのも結構限界ありますよね

ね難しいよね

だからそのちょっと会社レベルと個人レベルは

少しその

同列に乗じるべきじゃないかもしれないんだけど

まあその個人のレベルでこういうね

そのなんか

自分のデータを預けるっていうサービスに関しては

やっぱりその自分側である程度

コントロールできるってことが大事なんだな

27:01

っていうのはちょっとね

何でもかんでも任せておけばいいっていうもん

でもやっぱないよねっていう

かといってその利便性が下がったり

運用の手間がかかるっていうのは

普通の人にはちょっと面倒なんで

そのあたりのバランスをさ

例えば預けるデータの内容と比較して

どうするかとか考えたりとか

そういうのをちゃんときちんと

リスクをちゃんと判断して

やらないといけないんだなっていうのは

そうですね

あとは預ける上

そのサービスを使うにしても

これは預けるけど

これは預けへんとかっていう

線引きも必要かもしんないですね

このサービスを使っている利用者側からはさ

あまりとその自分たちの顧客に関するね

データがどう管理されてるかってのは

あんまり見えない部分だから

ちょっとねそういうのはコントロールしにくいよね

だからちょっとそのストレージサービスを

使うっていう観点と

今回のGoToみたいなサービスを

使うっていう観点はまたちょっと

論点が違うんで

そこも一緒にはできないんだけどさ

そうですね

ただちょっと今回のを見て

一連の事件を通して

なかなか難儀やなっていう

いや難儀ですよほんまに

なんか改めて思ったね

GoToブリーチやないかって

言われるんですよね

そうだね

海外の会社やから

別に怒られへんかなと思ったんですけど

それはよくないんじゃないの?

ちょっと何それ急に裏切るやん

笑っといてからに裏切るやん

こういうちょっとしたリリースからも

気になる内容があったなっていうので

ちょっと取り上げてみました

ありがとうございます

じゃあ次僕いきましょうかね

はいお願いします

なんかちょっと古くて新しいのか

いや古いのかみたいな話を

しようかなと思うんですけど

どっちやねん

どっちやねんですね

たぶん今聞いた人みんな

同じつもりのスタッフだな

全員が思ってくれてれば

僕の思った通りで

しめしめなあれですけれども

僕今日紹介するのは

僕もこれいろんなニュース記事とか

読んでて初めて知った会社なんですけど

おそらくスペックオプスって

読むんだと思うんですけど

っていう会社がありまして

パスワード関係の

パスワード監査のソフトウェアとかを

扱っている会社だそうなんですけども

ここがですね

リモートデスクトップに対する

アクセス

いわゆる不正アクセスですよね

パスワードを試してくる試みに対しての

監視をしたレポートを

公開してくれているということで

これを読んだので

内容を紹介しようかなと思っています

パスワードを使った

ログイン志向っていうのは

実際に突破できたかどうかっていう

いわゆる被害件数はさておいて

ハニーポッドとかそういったものの

レポートに上がってくるとき

件数としてはやっぱり日常的にすごい数で

志向は来てるじゃないですか

それが

それがたびたび悪用されたり

売りに出されたりみたいなところで

このリモートデスクトップに絞って

30:00

今日はその認証突破に用いられる

パスワードを

どんなものがあったかっていうのを分析してくれてる

っていう風なものが主の内容なんですけれども

もっとも

使われている

パスワードいわゆるTCPポートの

3389ですねRDPの

ポートに使われたパスワード

トップ10みたいなものが

書いてあるんですけど

これも相変わらず

1番はパスワードなんですよね

そこから

パスワードのリート表現ですね

パスワードのパスのAを

アットマークでワードのOを

ゼロにするとかっていうのは2位なんですよね

その後はもうよく

パスワードをいっぱいいじった

例えばSをドルにするとかっていうのが

ありつつアドミンとか

あとキーボードの並びとか

QWERTYとかですね

定番中の定番が

だーっと並んでて

僕も

ハニーポッドでSSHとか

テルネットとかそういったいろんなものの

パスワードどんなの試すかみたいなのを

見てましたけど同じような感じ

なんですよね件数的にこういうものがやっぱ

多いっていう傾向は変わらずと

いう風なところでした

ただこの

リモートデスクトップのアクセスを

監視してたと言いつつも一応

広げて3389ポートを含む

複数のポートで

見た時にはちょっと傾向が変わって

きますってことが書いてあって

多くの場合はさっき言った

みたいなアドミンとかパスワードみたいなものが

上位に来るんですけれども

トップ10の中に一つだけ興味を

引くものがあって

HomelessPAっていう

パスワードが

6位かなに入ってるんですね

広げると範囲を

これって

2016年の

マイスペースのリークが

あったんですけどそこに含まれていた

パスワードなんですよね

こういうものが入ってきてる

っていうのは流出したタイミングが

新しくても古くても

こういったものをずっと常々

辞書ファイルとかを使ってるだろうから

こういったものも使われてくるっていうのは

足元を救われないように

するには良い例なのかな

っていう風な気はしました

こんなの使ってるとあんま思わないと思うんですよね

そういうものも含まれてるっていう風なことは

改めて認識しておいた方が

いいんじゃないかなと思って確かに確かに

と思いながら読んでいました

全体のこの

パスワードを分析したときに

使用されてたパスワードの何割が

何文字かみたいなことも分析してくれてて

使われたパスワードの

88%ぐらい以上が

12文字以下でしたと

使われてきたやつね

攻撃のデータで見つかった

一般的な長さは

24%で

8文字ボリュームゾーンが8文字だった

ってことですね

小文字のみ使われてるっていう風な

ものが18.82%

っていう風なものなんですが

規則性は特に見受けられなかった

という風なとこですね

こうやって見るとよく

33:00

パスワード何文字ぐらいにすればいいんですか

っていう質問とかされることも

お二人もあったりするのかなって思うんですけど

こういうデータが

例えばもしくは自分たちで

その辺に転がってるような

攻撃に使われる辞書ファイル

みたいなものの文字数とかをチェックして

最低でもこれぐらいはつけないといけないな

っていう目安を時々は

見直してみてもいいんじゃないかなという風な

思いました

辞書に使われてるものだけっていうのではなくて

長さっていう風なものも

一つチェックするのはパスワードの

関差の位置チェック項目

としてもあってもいいんじゃないかなとも

思いましたし

自分たちだけじゃなくて

自分たちのサービスを使って

くれている外部の

ユーザーっていう風なことを考えると

ウェブサービスにパスワード登録する

時にこういったものを目安に

するのもいいんじゃなかろうか

なんていう風なことを思いました

まだまだなんか弱いパスワードつけられなく

してるサービスってまだそんな

やっぱ多くないかなっていう印象が

あるので

長ささえ満たしてれば

辞書にあるようなものも通るとかって

試してみたりする時はあるんですけど

まだまだ通りやすいかなっていう風な

気はしましたね

ボリュームゾーンがさ

攻撃者が使うのが12文字以下が

ほとんどっていうのは

これやっぱりあれなのかな攻撃側も

かけるコストと

成功率っていうか

その辺のバランス

考えてやっぱりここが

一番成功しやすいのかね

これはほら

どれくらい実際に成功したかってことは

分かんないわけじゃない

試してきたやつってことですかね

パスワードの指向だからさ

分かんないけど

そこが多いのは手軽にできるし

成功率もまあまあそこそこあるし

それ以上になるとちょっと

難しくなるからっていう

その辺のバランスでそうなってんだろうな

多分そうですね

長いやついっぱいってなると

キリなくなってくるっていうのもあると思いますし

あとはほら世の中のサービスだと

何文字以上が登録できないっていうのが

あるじゃないですか

だから広くいろんなサービスにやろうと

なったらもうこれぐらいの文字数で

切っておくのが一番効率いいんじゃないかな

とは思いましたね

まあだからその辺を考えると

総理に入らないようなところを

設定をしておくっていう

そういう考え方もできるってことね

そういうところですね

そこから外れちゃいましょうとか

あとはさっき言ったウェブサービス自分たちで作ってやるんだったら

12文字以上のものしか

登録できないようにすればここからは外れられる

わけですもんね

これ全体的に見てて

どうしたらいいねみたいなの

いくつか言いましたけれども

まずリモートデスクトップに話を戻すと

SSHとも同じことが

言えるんですが

使うんやったらデフォルトのポートをやっぱ

変えたほうがいいんやろうなっていう気はしますよね

結構いろんな認証の

話とかするけどデフォルトのポート変える

っていう話あんまならない

出てこないときもあるじゃないですか

あんまり混沌的ではないんですけど

やっぱりデフォルトのポート変えた途端に

36:00

シュシュザッタナ

いろんなところから来る攻撃っていう件数は

かなり減りますからね

ほとんどゼロになったりするときもあるんで

これも結構バカにならへんかなっていうことですね

そもそも狙われ

にくくした上で強固にするって

両方やるのもいいんじゃないかなっていう気はしました

あとはロックアウト

機能とかですかね

この記事調べてて初めて知ったんですけど

Windows 11って

これ10分間に

10回の失敗でロックするんですね

これデフォルトで

こういうのに変わって

ベースラインが変わってたっていうのは

見落としてたなっていうところがあったので

こういうロックアウト機能だとか

あとはどんなパスワードを

このユーザーが使ってるかとか

っていう監査とかっていうのは

必要かなっていう気はしましたね

スター

メッセージを送信

セキュリティのアレ

スター

コメント

こちらもおすすめ

第166回 寝起きと小ネタと変更ログと！スペシャル

セキュリティのアレ

コメント

こちらもおすすめ

第166回寝起きと小ネタと変更ログと！スペシャル