00:00
こんにちは、フリーランスの学校の周平です。はい、ということで、AI開発をしているとですね、セキュリティの問題にぶち当たると思うんですが、今日はですね、日本有数のセキュリティエンジニアがどんな回答をしたのかっていうことを紹介しつつ、
えっとじゃあ周平が具体的に自分の今の事業でどういうふうにこうまあなんかそのより個人情報とかパスワードとか決済とかそういったものを取り扱っているのかということを現場のリアルな情報でねお届けしたいと思います先に簡単に僕の経歴を言っておくともちろん非エンジニアプログラミング未経験でございますえっとクロードコードとがあってそれでいろんな web アプリを開発したり web アプリからの収益が
だいたい月に10から20万円ぐらいありますまあ簡単に学習サイトなので動画を販売しているんですけど一応あのフルスタックの8プロダクトエンジニアみたいなイメージですかねで今日はですねたまたまですねあの個別面談をあの毎月やってるんですけどそこに
元某ペイペイですね決済サービスの某ペイペイ全部言ってるけどペイペイの事業責任者 かなそのポジションを経験された方が何と来ていただいてそこでちょっといろいろあの逆に僕は
聞くことをいっぱい聞いちゃってですね すごいいい話を聞けたのでそれについてまずはちょっと前半紹介しながらじゃあ後半具体的に本当にどういう
ふうに使っていたらいいかというのね話していきたいなと思います結構なんか今日は有料 級の話かもしれないんでまず前提にあるのが要するにまあそのフロントエンドバックエンドって開発ありますよね
ウェブサイトがこうどういうふうに見えるかデザインがどうするかっていうのがの ui ux はフロントエンド僕らがよく使うポチポチを押すような関係性のあることでその裏で動いているのは
例えばペイペイもそうですけどね qr が出てきたじゃあ決済しますお店に支払われますお店に その入金履歴が行けますこれはいわゆるバックエンドですよね
データベースとかサーバーとか あとはそれこそ決済情報とかね決済のそのやり取りだったりとかそういったものがバックエンド
っていうものですで僕ももちろんね フロントエンド未経験バックエンド未経験ですよ
だけどもエアーが今フロントエンドもバックエンドもできるという状況ですで ただこういうふうに非エンジニアとかがあのねこんなアプリ作れたとか決済までできた
とかね言うと何が突っ込まれるかというとですね もうバックエンドも全然勉強せずにセキュリティも勉強せずに ai マーカーせマイジ
危ないみたいなコメントがめっちゃ来るんですよ ティックトークでもねあのそういうアプリが作れたってねあの決済までできたって言ったら
いやマジでバックエンド勉強せずにここまであったら怖すぎーみたいなことを言ってくるんだ けどそれに対してねまあポッドキャストで反論するっていうね
全然話し合いにはならないんだけどそこでねいやその方来られた方が 言われてたのがその方自身ペイペイのそのねあの事業のプロダクトマネージャーとか
かなをやられていってでその方のお知り合いが日本有数のセキュリティエンジニアということ らしいんですよまあめっちゃ説得力あるよね
03:01
まあそういうそういうところにいらっしゃった方でいろんな繋がりがありますから聞いたら なんとですね
いや僕とやってること一緒でしたまあそういうと若干偉そうですけどでも基本は同じです レベルは違いはあるので何かというと結局クロードコードとコーデックスに
セキュリティのまあなセキュリティホールを見つけてもらってそれで分析して対策して もらうっていうものでした
はいもうなんかある種表紙抜けしちゃうような回答ですけど説得力がないですか だってさ日本有数のセキュリティエンジニアですよもう多分20年ぐらいされ経験がある方
かな いろんな企業とか大規模のサービスとかシステムとかを見てまあもうバックエンドメインだと思います
けど まあそこでメールアドレスの漏れがないか個人情報が漏れないようになってるかとかさ
全部見てきてそういうふうに多分自分でコードも書いて直してきた人がですね 今セキュリティはもうクロードコードに全部任せるっていうことでした
細かい話すると例えばネットワーク構成とかを出させてそれをもとに分析をさせて 穴を見つけてもらうとのことでした
はいえーどうですかアンチどもアンチってわけじゃないんだけどさ まあいちいちそういうふうにねなんか
非エンジニアとかが作ったものをなんかまあ確かにそうだよあの実際 あのエンジニア経験ない人があの自分のパスワードとかさ
顧客の情報をまあギットハブにあげちゃってたとかね あるよでもそんなことを言い始めたらさ
んなことを言い始めたらね 言うたらいろんな企業今まで個人情報流出してきたわけじゃないですか
要するにエンジニア雇ってプロの人がやっても流出してたんで そういったことが今まであってねじゃあ人気に任せたら絶対大丈夫だからそうでもない
わけよ 土俵としてはでここに来てクロードコードがまあ例えばクロードとそのモデルで言うとミトス
ですよねがまあいわゆる何十年も見つかってなかったバグを見つけてしまったって いうことでこれやばいモデルだねって言ったアメリカも
輸出を禁止したわけじゃないですかそれをまあもうちょっとこう一般化したいですか フェイブルファイブというものです
で a それを使ってられるんですよ僕らはそれ使えばさ 一般的なその辺のエンジニアにはもちろん能力高いわけです
だから見れるその高度の行数だってさ まあどう考えても勝てないんだから人間がそうした時にさ自分でバックエンドの勉強し
るセキュリティの勉強しろっていうのは僕はねなんかね うーん
なんだろう車とか新幹線があるのにあのもっと早く走れる準備しとけ引きが飛脚になる 練習しろみたいな
お前ら何の新幹線の仕組みもわからないまま引きあのあのマラソンも42キロを完走 できないのに新幹線乗ってどうやるなよみたいなこと言ってるのほぼ一緒ですよ
まあちょっと話で全然違うかもしれないけどねそんなことを言って突っ込んできてる わけですもう
まあ消えていくでしょうねその人たちはね確かに自分でわかっておくある程度勉強して いくってことは僕も同意
それはとか勉強せざるを得ないよこっちだってさ黒ドコードが出してきたものに対して うーんどういうことだろうってやっぱなるからああこういうことやってんだなっていうやっぱ勉強
はめちゃめちゃ必要ですとか勉強するのめっちゃ増えてそう でえっと例えばがパスキーとかを導入してますね
06:06
要するにそのなんだろえっとメールアドレスを預からないようにするちょっと後半の話にも つながりますけど
そうだから何が言いたいかというとまず前半のまとめで言うと日本有数のセキュリティ エンジニアでさえ黒ドコードとコーデックスに全部そのセキュリティのチェックをさせてると
それは僕も一緒だってもう黒ドコードとコーデックスで作ってるわけですから 黒ドコードが出してきたやつをコーデックスに感覚
監修させたりとかねそういうふうにダブルチェックとかしてます そうでじゃあ僕は実際に実装しているその学習アプリ動画学習サイトはどういうふうに個人情報
っていうかそのセキュリティを見てるかというと 後は黒ドコード作ってもらってるんだけどまずですねほとんど個人情報を預かりません
そう要するにもういつでも漏れてもいいという前提で作ってるんです これがめっちゃ大事これはね僕もね当初の開発理念なんですよ
もうなんか偉そうに言いますけどちょっと待てよとはいえ僕も絶対にいつかミスるし 黒ドコードも的なことやっちゃう可能性あるってことは自分の方で個人情報を預からない
ような設計をしたらいいじゃないかというふうにわかったわけです そうこれは本当自分でもねなんかナイスなあの判断だったなと思いますでどうしてるか
というとですねまず決済はストライプです ストライプを使うと何が起こるかというと別に決済情報を僕が預かるわけではなくて
ストライプが持ってるわけですということはストライプのデータベース上にあるだけ それを僕らが apiとかで必要な部分を読み出しに行けばいいだけ
逆に言うとこの api キーさえちゃんと守っておけば大量に個人情報を預かってそれがメールアドレス住所決済情報
カード番号しなんか中のカードの3桁の番号と一緒に僕がそれを大量にどこかに預かってるなんてことを起こらないわけです
僕は必要な情報 api で見に行けばいいだけっていう風になってるんですね そうであとメールアドレスもそうですね一応メールアドレス自体は登録を受けます
8データベース d 1クラウドフレアの d 1のテーブルには乗っかりますけど 8それ自体を
とパスワードが紐づいているわけじゃないです決済情報と紐づいてるわけじゃないです だからまあ正直こんなこと言うと雑なあの内容なるかもしれんけど最悪はメールアドレス
はもちろんクラウドフレアがハッキングされたりとか僕が変な設定したら漏れる可能性はある でもどうですか皆さんメールアドレスが漏れましたと顧客の名前とメールアドレスと
パスワードが漏れましたこれ全然違うニュースですよね メールアドレスだってそもそもさ公開してる人だっているし僕も会社のメールアドレスとか
別普通にね公開してますよ そうだからメールアドレス自体あっても何も言うたらできないわけですね
まあもちろんそれをうまく使えばねハッキングとかできるけど そんなことを始めたらもうメールアドレスはどこにも書けないわけですよ
そうだから何が言いたいかというとメールアドレスを預けるからパスワードを預からない っていうことができるわけじゃあこのパスワードを預からない方法はどういうふうに
しているかというとえっとまずディスコードでログインという形にします 一番当初のあの開発のやつですねディスコードでログインする
09:03
ということは別僕ディスコードで道路のロールがなぁどうなっているかね 何がついているかしか見に行かないので情報全く預からなくていいんですよね
はいまずこれ一つ目でまぁディスコード使わない人もいるのでまぁあの途中から導入 したのがパスキーです
パスキーはですねまぁみんなよく顔認証とか指紋とかでね使われている方も多いかもしれ ませんが
あれ自体別にその顔認証とか指紋認証がついてないと使えないわけじゃなくてパスキー っていうのは
公開鍵と秘密鍵の8方式で本人と認証しているわけですねこれ非常に画期的な開発で要する に今までだったらメールアドレスを入れてもらってでその人が本当かどうかをパスワードで確認
してたわけですこのパスワード本当かどうかはパスワードやっぱさ データベースに保存しないといけないわけです
というかメールアドレスとパスワードがセットで保存されることになるんですね これが流出するとさっきの個人情報名前と紐づいてパスワードまで一緒に行くとこれ
怖いわけですなぜならばパスワードを流用している可能性があるから他のサイトも行け ちゃうかもしれないので楽天だったりとか銀行系に行って引き出すみたいなことも
できるかもしれない だから怖いわけですでもうちの学習サイトはパスワードを作らせません
そう要するそのえっと指紋認証だろうが何で見つけたそのローカルのその端末でその人の パソコンとかスマホでまずその人かどうかっていうのをチェックしてもらいます
そのチェックができたらチェックできた時のみ署名ができるようになっていてその署名でえっと 秘密鍵公開鍵を秘密鍵はその人の中にありますねパソコン中
pc の中スマホの中その秘密鍵があるっていうことが分かればあったら署名できるんですよ その署名が飛ぶってだけです飛んでこっちの公開がけど秘密紐付けてああこの人は
本物だねっていうことがわかるわけですっていう仕組みにしてます じゃあパスキーどうやって作ったのってこれもクロードコードに行って作ってもらいました
はい何が言いたいかわかりますか僕は要するにもう まあ漏れてもさほどダメージのないものしか集めてないということです
だからさっきも言ったけどメールアドレス別にも漏らそうと思ってるわけじゃないよ 最悪なんかあって漏れたとしてもメールアドレスのみです基本的にはね
そうなので8さっきも言ったパスキーとかを使って8要するにもう目あのパスワード 自体を預からない方式でねしかも楽だなパスキーで指紋とかで覚えなくていいからね
パスワード忘れました再発行させてくださいあのやり取り あれはエンジニアさんほんと大変だったと思うよいろんなとこで作ったと思うけど本当にきつい
よねああいうのねだから今どんどんどんどんパスキーに導入が変わっているわけですよ そうでそういったものが個人でも使えるのであのどんどんどんどんパスキーを使えばいいと思います
僕もあの個人の管理者ダッシュボードがパスキーにしてますよ めっちゃ楽マックだと指紋だけで行けますしね
iphoneだとあの顔認証で行けますのではいそのものがもう別個人で作れますはいでこう いったものがいわゆる web アプリというものなんですよ
web アプリこの可能性を感じますか 大企業と同じようなことができるわけです
そうでこの web アプリの作り方をですね本当に0から1から10まで1から10まで全部 教えますよっていうのが89月に開催されるフロードコードで web アプリ
制作講座というものを a 周平が講師でやります 実際別のあのサブ講師としてですねちげさんでねあの火曜日担当の
12:06
ちげさんも入っていただいてちげさんも web アプリを数百万円でね 企業に導入した経歴があったりとか実績がありますのでそういったちげさんにも
いつでも質問ができる環境になってますし僕もどんどん答えていきますので残り 枠がですねえっと18枠ぐらいになってるかな
はいえっと50名精鋭でやっていきますので8月31日23時59分 えっと今日の23時59分まででございますのでぜひですね4万9000で入れる
数で言うと残り18枠1回になってるかなはいなのでぜひあのご参加していただけたらいい かなと思います詳しいのはね今日あの
概要欄にリンク載せておきますのでそこから見てみてくださいということで今日も 聞いただきありがとうございましたこの後も心地いい時間を過ごしてください
ばいばーい
