オープニングと未来の働き方
こんばんは、Replay.fm第99回です。
ええ、こんばんは。 はい。
はい、ゾロめ回。
ゾロめ回ですね。 久々のゾロめ回ですね。
11回ぶりのゾロめ回ですね。
11週間なんで、3ヶ月ぶりぐらいの。
残すゾロめ回も、なんか、
まあ、残すって言うほどでもねえか。
次はまだ近いね。
次はまだ近いね。
次の次が。 その次が、もうだいぶ先になっちゃうから。
222か。
222ってやばいな。
まあ、そこまで行くことがあるのかないのか、
まあ、時々ですね。
4.6年でしょ。
で、今2年。
あれ?
2周年っていつだ?
2周年まだだよね。
過ぎたんじゃない? あれもまだ。
え、過ぎたの?
分かんない。
過ぎたのか。
なんか、2周年あざすみたいなツイートしたかったな。
いや、なんか、まだな気するけどな。
あ、違う違う。
どうなんでしょう。
廃止済み。
廃止、第1回は9月。
あ、1ヶ月後ですね。
今からちょうど1ヶ月後。
100回と。
だから年間、
55、6本。
まあ、そりゃそうか。
356枠くる子だから。
ん?
そうだね。
違う違う、7だ。
7、51。
はい。
まあまあ。
いいっすね。
粛々と。
粛々とやってますね。
だから、222回はいつになるの、結局。
4.6年、2.6年後じゃないですか、なんで。
だいぶ先ですね。
だから、7ヶ月。
2年と7ヶ月後だから。
いやー。
2028年の、
2029年の3月とかじゃない?
うーん。
やばいね。
未来ですね。
もう仕事してないかもしんない。
AIに奪われてるかもしんない。
AIで仕事なくなってるかもしんない。
まあ、そうなるんだったら早くしてくれっていう気もせんではないけど。
まあまあまあまあ。
そうなっても集まろうな。
そうなっても集まって、先週。
そうなったら、今日食べたご飯の話とかする?
あ、そんな平和な感じ?
え、でももうちょっと仕事よりの、今日も仕事がなかったですみたいな話する?
なんか、昨日の工事現場がきつかったみたいな話をするんじゃない?
そっち?
まあね。
物理しか仕事が残されず。
確かにね。
逃避職とかになってるかもしんない。
データセンターの警備員とかやってるかもしれない。
これもセキュリティだよね、つって。
あー、それいいな。それがいいな。それでこう。
AIのセキュリティだよね、これも、つって。
いやー、いいね。ちょっと。
リスナーからの便りとセキュリティ対応の難しさ
それでもやってたらもう、逆にリスナー残ってそうだよな。
寄贈なめ合うポッドキャストとして。
訓練していく。
いやー。
いやー。
はい、まあそんな感じで。
今日は久々、久々?
久々にお便りいただいてるんで、一つ読み上げたいんですけど。
いつもありがとうございますって感じ。
多分、同一人物。
R1さんっていうか、同一人物だと思うんですけど。
ラジオネームオールワン改め、アイルロス222さんですね。
今頃97階からですいません。
ボールを眺めていると誰も拾わない状況はあるあるです。
それよりも関係ないボールがセキュリティの文明から飛んでくることに
ヘキヘキしてます。
とのことです。
収録前にちょっと話してたけど、97階のどの話だろうって。
多分フリーの障害訓練の時に、
その時とりあえず記事じゃなくて、その前の記事を僕が読んだ時に、
ある部署でちょっとお見合いっぽくなって対応が遅れたかもみたいな。
そんな話があったような中で。
それの話かなっていうところ。
あとあれか。
普通に障害対応の話で僕が、
いや誰も拾わないのはあるあるっしょみたいな主張をしたんだ。
思い出した思い出。
その話もある。
どっちかってそっちか。
フリー。
確かに。
そういう話かなっていう。
それよりも関係ないボールがセキュリティの文明から飛んでくることに
ヘキヘキしてますっていう。
これはどんなボールが飛んでくるかわからんね。
なんとも言えんですけど。
どうでしょうね。
なんか、
公平に見るならセキュリティ以外もあるあるっちゃあるあるなのかな。
どういう時に起きるんですかね。
なんかすごい、
どうなんだろうな。
僕も、
いやこれはセキュリティさすがに関係ねえよなみたいなのは別に。
正直ケースバイケースで思わんでもないっちゃ思わんでもないんだけど。
なんかでも、
そこに生きる専門性があるんだったら別にセキュリティかどうかってあんま関係ないんじゃないかなと思ってて。
なるほどね。
別に分かんないけど、
インハウスでセキュリティやってる限りにおいては会社なり事業なりサービスなりを良くして成功させようっていう
一つの目標に対していろんな人たちが動いてるわけだから。
その中の一部として動いてる限りにおいては、
なんていうか、
主要な責務としてセキュリティがあるけれども、
別にセキュリティに関係あるかないかっていう線引きは実はそこにあんまないんじゃないかなっていう気もしている。
あるべきがどっちかというと優先順位に基づく取捨選択かなと思っていて。
いいね。考え方の一つとしてめちゃくちゃ共感できるな。
特に小中規模とか割とビジョナリー寄りなベンチャーと呼ばれるような企業とかは、
そういうマインドシップが結構セキュリティに限らず大事だったりする気はするから。
それは確かにって感じですね。
あとちょっと思ったけど、
どうなんでしょうね。
ヘキヘキしてるってことは結構なペースで飛んできてるかもしれないけど。
そうだね。
そんな綺麗事じゃねえんだよっていう、あれもしかしたらあるかもしれなくて。
あくまで僕の考えはっていう話をしてるだけなんだけど。
あとは一方でボールが飛んでこなくなっても困るという話もある気はしていて。
だからその辺の差し掛けはちょっと難しいよね。
ヤギ足が入社する前の現職とかで結構バランス、悪い方にバランスが傾いて、
多分ちょっと警察っぽく自分が動いてたなっていう自覚してる時期がふんわりあるんだけど。
そういう時期とかちょっと純粋な相談っていうよりも顔色うかがいボールみたいな。
ちょっとそういう匂いがするボールとかもあったりして。
それは何だろうな。
差し加減、こっち側の差し加減。
僕の差し加減を当時は見捨てたという気はする。
逆に傾きすぎても困るというか。
自己判断のスコープが広くないすぎて、後から何か蓋を開けたら何じゃこりゃみたいなのもちょっと困るし。
またそもそも何でもかんでもその相談、キャッチボールで解決すべきというか、
キャッチボールで全部解決するのには無理があると思うから。
どの辺りは仕組みで庇して、どの辺りは残るよねみたいな。
そういう設計とか結構考えると色々あるなという気はするっすね。
まあまあ難しいところっすね。
面白いとこだよね。別に責任的に限らずそうなんだろうけど、
なんか別に明確な正解があるわけでもないと思うし、
会社の規模によって変わってくる部分もあると思うし、
要は何ていうか浮いちゃう玉があるっていうのに対して、
構造的な解決を図れてないっていうのはなんか良くないよねみたいな立場、
論点みたいなのは当然あると思うから、
ボール来たなら、やれるんだったらやればいいじゃんって言っちゃうのは簡単なんだけど、
それが絶対正しいとは全然思わないし。
なんかその状況によるだろうね、それの解決方法は。
個人で引けるレバーでカバーできることもあれば、
個人じゃどうにもならなくて、組織チームとしてレバーを引かなきゃいけないのかもしれないし、
でも引くレバーなんもないんですってなったらそれは、
そうですね。
どうしましょうって感じ。
まあでも現実全部のボールをきれいに拾えてる組織なんて絶対に存在しないだろうから、
まあまあまあ、その矢消しのことばかりでいうと優先順位とかもあると思うし、
まあまあ、なんか答えの出ない命題って感じがしますね。
まあね。
はい。
まあ、一緒に頑張りましょうって気持ちですね。
ありがとうございます、いつもお便り。
GitHub npmのセキュリティ強化策
はい。
あとあれですね、別に直近の回じゃなくて、昔の回の手紙とかでも嬉しいんで、
まあ皆さんどうしようし、GoogleフォームかTwitterのハッシュタグを見てるんで、
Twitterじゃない、Xのハッシュタグを見てるんで、お待ちしておりますっていう感じですね。
なんなら別に、話したことに限らずで全然いいもんね。
それは本当にそうだね。
あと他のポッドキャストやってて、今ふと真似しようと思ったけど、DMでいいです。
いや、でもDMだったらGoogleフォームでもいいけど、まあまあまあ、楽な方法で。
DMワンチャン気づかない可能性あるから、なんか。
まあ確かにね。
そうそう、気づかないリスクがあるので、なんかちょっと。
確かにね。
まあそう、俺めっちゃ気づかなかった前回めちゃくちゃあるんだよな。
まあまあまあ、はい。
まあGoogleフォームが無難かもしれないですけど。
Googleフォームだったら確実に見てるんで。
はい。
Spotifyとかだったらエピソードの概要欄にリンク貼ってるんで、ぜひお待ちしております。
じゃあそんな感じで今日もいきますかね、上から順に。
はい。
じゃあ1個目、私から持ち込みです。
持ち込みというか、読みますか。
Restricting npm-bypass-to-fair granular accesstokens
GitHubのチェンジログかな。
チェンジログでしょうか。
はい、チェンジログですね。
記事です。
で、まあさらっと触れれば、触れればって感じなんですけど、
GitHubのnpmのセキュリティ強度を上げようキャンペーンの一部で、
前々から多分予告あったんですけど、
npmのアカウント持ってる方、運用してる方はご存じかと思いますが、
アカウントに秘密の形でAPIトークンが発行できて、
そのAPIトークンにはいろいろオプションが作られて、
どういうオプションがあるかというと、
そのAPIトークンを使うときに2FAを必須にするかとか、
そのAPIトークン自体の権限をスコープを決められて、
いろいろあるんですけど、
その2FAをバイパスできる、
2FAを通さずにAPIトークンを使えるっていうのを、
一部の機密動作に対してはもう完全に回避できなくなるようにしたよ
っていうチェッジの話ですね。
具体的には直近のサプライチェーン工技で散々やられた穴を塞いだって形なんですけど、
そのAPIトークンだけあればパッケージの公開ができるとか、
削除ができるとか、そういうことはもう今後できなくなりましたっていう話。
じゃあ何でもかんでもできなくなる中で言うと、
ステージングパブリッシュ、パブリッシュ1個手前に持っていくこととか、
あと何だっけな、読み取りか、
リード権限は2FAなしでもできるんだけど、
それ以外は2FA通さないと無理ですと。
なのでこれで事実上そのAPIトークンを用いての
NPMパッケージの公開の自動化っていうのはもうできなくなりましたっていう話ですね。
そうすると残る経路は何だ、ワークフローの省枠が起こるパターンだっけ?
2TACでワークフロー、OIDCだと2FA必要ないんで、
それでワークフロー乗っ取るパターンか、
NPMアカウント自体は乗っ取っちゃうパターン。
ただそっちは前の話だと、
デカいパッケージをメンテしてるアカウントとかは、
2FAです。
3日間ブロックされる、
リード権限ブロックされるっていうのがあるんで、
それに引っかかりやすくなるっていう感じかな。
これはこの変更は今もう加えられたわけじゃなくて、
来年の1月までに廃止していきますよっていうアナウンスみたいな感じですね。
ワークフロー経由でやられるっていうのもぼちぼち出てきてるんで、
全部は塞がらないものの、
ローカルのクレデンシャル集めて、
ワーム的な動きをするNPM乗っ取りのマリオウェアとかは、
一部無効化されるのかなって感じかな。
ローカルでNPMトークン探して、
NPMトークン見つけたら、
そのアカウントで公開されてるパッケージを見て、
勝手に更新して、
それで連続していくみたいな。
それはできなくなるはずって感じですね。
いいニュースかなっていうのと、
OID試練権あるんで、
あんま文句言わずにやりましょうって気持ちですかね、個人的には。
言いたしかたなしかな。
あとは初回だけだよね。
ちょっとめんどくさいのかね。
確かに。
初回はOIDCできないって話だったよね、確か。
違ったっけ。
なんかそんな話あったなって、
調べるの忘れてたな。
そうそうそう。
なんかあった気がするから。
それぐらいはね、
って思っちゃうけど。
その2FAなしでステージングまではいけるから、
ステージングして、
画面でポチポチして。
だから手動でやることが画面ポチポチか2FA通すかの違いぐらいしかないから、
頑張ってくれって感じかな。
じゃあこれでNPMはあらかた片付きましたとなると、
パイパイの方にみんな行くのかな。
もともと来てるから、
NPMがやられなくなって、
他のパッケージマネージャーが追従するのかどうかかな。
でも他のパッケージマネージャー置いてないんだよね。
同じようなの入れてるかどうか。
そうだね。
でもあんま出てきてないよね。
どっちにしろ。
僕らのフィールドには流れてこないね、すごくとも。
どうだろう、ポチポチやってはいいと思うけど。
でもパイパイを本気に狙って被害規模がもっと大きくなって対応が早まるとかは、
もしかしたらあり得るかもね。
NPMね、パッケージの数の多さとポストインストールのおいしさでやられてる部分があると思うから、
ちょっとでも落ち着いていくといいですねっていう感じですけどね。
はい、ありがとうございます。
アンソロピックのAIモデル不正アクセス事案
はい、じゃあ次はちょろっと、皆さんご存じのニュースって感じですけど、
アンソロピックのAIモデルが評価中に不正アクセスしていた事案についてまとめてみた。
我々がPRの記事ですね。
で、内容はさらっとって感じなんですけど、
流れとしてはここにも紹介しましたが、
オープンAIがハッキングフェイスを勝手にハッキングしましたっていう事案がありましたが、
あれを受けてアンソロピックが、
あれうちも同じこと起きてないんだっけみたいなのを過去に遡って、
全部レビューしたら3件実は起きちゃってましたっていうのが分かりましたっていう話ですね。
で、オープンAIと違うのは、
アンソロピックの場合はテストしてたモデルが自力でサンドボックスを抜き出したとかではなくて、
サンドボックス自体の設定がミスってたらしくて、
実際にインターネット接続なしにしてたはずなのに、
実際にはインターネット接続できるようになっちゃってて、
実験したモデルは接続なしっていう説明を人間からはされてるんだけど、
実際に接続できるっていう部分も込みで自分はテストされてるっていう風に勘違いして、
外にアクセスしに行っちゃって侵害してしまったっていう話ですね。
結構なんかうーんって感じなんですけど、
インシデント自体が3つあって、詳しくは言わないんですけど、
マジかって思ったのは、1つはシャイフラットみたいなレアを作って、
それをローカルに置きに行くみたいなことをしていたみたいで、
結構やられた側はたまっとんじゃないなと思ったんですけど、
まあまあそういうことをしましたっていう感じですね。
なんかさ、
なんかトーンがさ、どういう気持ちなんだろうね。
なんかさ、アンソニックの元記事も確か僕読んだんだけど、
なんかさ、
タイミング的にもさ、アピールにしか見えなくって、
正直ハギンフェイスの、オープンアイとハギンフェイスのゲームもなんなら若干そんな感じはあるなと思ったけど、
なんかその、謝罪トーンとかは全然ないし、
全くないね。
割と淡々となんか、
こんなことが起きちゃってましたみたいな、学びを得ましたみたいなことを書いてて、
これなんか、みんなどう思ってんだろうね。
別に延長とか僕見えない延長は別にしてないんだけど、海外だとこうやったりするのかな。
結構、それかもうしょうがないって反応なのかな。
いやー結構結構、やられたら嫌だけどなって思っちゃうんだけどな。
あとなんか、なるほどなって思ったのはその、
この3つのインシデントルってそれぞれ何のモデルが使われているかで、
1つは何かオーパス4.7を使って、
実際企業のインフラまでたどり着いて脆弱性特定して、
アプリインフラの認証情報と本番データ、数百を含むデータベースにアクセスができたっていうのがあったらしくて、
何かオーパス4.7でもここまでちゃんと組めばできるんだなっていうのは、
普通に学びだなと思った。
今やもう5.0直近だと出たばっかなんで。
結局やっぱハーネスなんだよねっていう感じなのかな。
そうだね。
もちろん100回やって1回成功したって話なのかもしんないから、
彼らも人造にTokenを使えるので、そこは何とも言えないけど。
いやー、なかなか、
トーンは気になるのと、
モデルも使いようだなっていうところですかね。
直近だとKimi3.0で攻撃使える云々みたいな、使えない云々みたいな記事がすごいいっぱい流れてきてますけど、
セキュリティフィードだと。
偉い時代になりましたと。
さらっと紹介でした。
次は次もP.O.Logで、
サイト内検索スパムを悪用した詐欺
サイト内検索スパムを悪用した年下げについてまとめてみたっていう記事ですね。
よく手法とか知らなかった。
一部知ってたんだけど、
身近にここまで来るのかと思ってさらっと紹介したんですけど、
どういう記事かっていうと、
今、詐欺が流行ってますと単的に言うと。
社長をお金振り込め詐欺とかロマンス詐欺とか、
投資詐欺がめちゃくちゃ流行って、被害額も儲けみたいな、
チラッと話したような話さなかったような気がしますけど、
そのうちSNS型投資詐欺において、
投資詐欺に使う時のフレーズとか文言とかサービス名みたいなのが、
攻撃者側が使うフレーズがあるんだけど、
そのフレーズを検索したときに、
そこ危ないぞっていうページが来るんじゃなくて、
例えば、何でしょう。
ぱっと思いつかないですけど、
モーカル.コムみたいなしょうもない名前を僕が考えて攻撃に使ったとして、
そうなったときに、モーカル.コムはすごい、
モーカル.コムはちゃんとモーカルみたいなそういうフレーズが、
モーカル.コムってGoogle検索したときにバーって、
そういうフレーズがぱっと見出るようにするっていうような、
SEOポイズニングを攻撃者が行っていて、
それに対して警視庁が気をつけてねと、
投資詐欺で検索したときに怪しくないような検索結果になってるけど、
それちゃんと詐欺ですよっていう注意喚起がされているっていう感じですね。
検索結果をどうやって操作しているかというと、
投資詐欺グループがSEO業者に対して、
このワードのSEOを強化してよみたいな感じで依頼をかけていて、
SEO業者は何をしているのかというと、
いろんなサイト内にあるサイト内検索っていう機能があると思うんですけど、
あれでサイト内検索をしたときに、
その検索ワードが2つ条件があって、
その検索ワードがパーマネントリンクとしてURLに残るのと、
その検索結果画面がノーインデックスじゃないっていう2つの条件が重なると、
仕込みたいワードが…
要は何とか書を何とかは詐欺ではないみたいなタイトルのページがインデックスされるってことだよね。
そう、それを検索したページがインデックスされるって感じ。
で、数業者がやってるのは、まともな例えば政府とか地方公共団体とか、
あと検索結果実際見てみたんだけど病院とか、
結構サイト内検索っていろんなちゃんとしたサイトで使われてるから、
そういうちゃんとしたサイトを狙ってバーってインデックスして、
そうすると何が起きるかっていうと検索結果見たときに、
一見ちょっとよく大丈夫っぽく見えるみたいな。
具体的に言うとして、
ピオログでは高利短喪失計画っていうワードが支えてるってやつで、
検索すると面白いんだけど、
某自美会員とかのページが結果が詐欺でありませんっていうページが出ちゃったりとか、
だいぶニュースになってるからそういうページもちょっと混ざってきてるんだけど、
結構いろんなサイトでパッと見は、
これは危ないという感じというよりかはっていう感じですね。
結構サイト内検索を使う手法が僕なんかパッと思い出せず、
元があった方法なんだけど知らなかったのと、
SAOポイズニング自体はずっとある攻撃手法だけど、
結構めちゃくちゃ身近にきたなっていうところ。
これは面白いね。
昔からオープニーダイレクターを使って、
例えばマイクロソフトのURLでホストされてるっぽいアダルトサイトみたいなのを生み出すみたいなのが昔からあった気がするんだけど、
そこまで行かずとも成立しちゃうっていう話だから結構面白いね。
目の付けどころが結構ね。
いろんなこと考える人がいるんだね。
これすげーな、マジで。
面白すぎるな。
面白いよね、これ。
なるほどなーって感じ。
あとこれSAO業者、まともな業者なのか分かんないけど、
結構ちょっといいビルだなーっていう。
これどの会社がやってるんですかってちょっと思ったんだけど。
でもSAOなんてさ、
なんて言ってんだろう、
たぶんあらゆるものが舞い込んでくるから、
フレーズがいいのか悪いのかみたいなのはもはや知らんよっていうスタンスなのかもね。
わけわからんものまでいっぱい入ってくるだろうしさ、
そこの審議とかそれがどうなのかとかはたぶん。
いや、でもさ、
うちのサイトの検索ランク上げてよとかまだ分かるんだけど、
このワードがいっぱい出るようにしてよは、
分かんないけど、どう考えても本質的な、どうだろうなー。
まともな理由でこの手法を依頼することがあるのかなっていう。
このSAOの会社がやってるんだよね、このサイト内検索の。
たぶんサイト内検索リストみたいなの持ってるんじゃない?
で、そこにバーってURL作って、
Botにクロールさせて、そしたらインデックスどんどんされてって。
たぶんそうだよね。
これ系じゃないインデックスされてるやつも見てみたい。
あー。
これ以外の仕事もきっと受けてるわけじゃん。
どこの業者がやってるか知らんけど。
でもそうか、だからリファレンスを増やすって話だから。
でも業者だよな。
サイト内検索機能を使ってるのは業者側なんだよな。
ここのサイト内検索にこれを投げ込めば、
その用はインデックスされる、上位に来やすいみたいなのがたぶん、
要はだから、たぶんもともと一定のランクを持ってる、
こういう条件を備えてるサイトの一覧を持ってるんだよね、この業者が。
で、依頼を受けたらそこにバーって検索クエリ投げていって、
で、たぶんなんとかジビカみたいなのはもともとそのSEOのランクが高いから、
特定のキーワード入れたときにそれが上位に出てきやすくなるみたいな話でしょ、きっと。
そうだね。
元ソース見たけど、あれだね、警視庁が調べたところ、具体名は出してないけど、
もう業者自体がサイト内検索スパムっていうワードを使ってるから、
たぶん悪意、完全に悪意があるんだ。
中国語で宣伝されてるから、日本の企業じゃなかったらそれはどうしてもないね。
なるほどね。
闇深いな。
よく考えるね。
なるほど。
悪意をされないようにしたかったら、
サイト内検索のパーマレントリンク無くせばいいかなってシンプルに思うけど、
無くしてねって言って回ることもできないし、結構。
検索…
でもECサイトとかは何とかの検索結果みたいな画面出し出しじゃんね。
確かにね、確かに。
それでECとかもやろうと思えばインデックスできるのかな?
できるんじゃない?ECの…
ワンチャンできそうだけどね。
ノーインデックスついてるかだよね。
全くオーメロに2人ともメルカニのサイト開き出すことによくないところだと思う。
フルス…いや、それだけ普段使ってるってことです。
ノーインデックス…
ロボットだとテキストの方見ないといけないんじゃないかな。
ロボットだとテキストは特にないかな。
だって別にメルカニ何とかの検索結果みたいなさ、
何とかの人気アイテムっていうタイトルになってるじゃん。検索結果のタイトルって。
普通にインデックスできるんだよねきっとね。
これさ、なんか普通に…もしかしてだけどさ、
普通にあるんじゃない?
Tシャツ…Tシャツ…
あーそういうこと?
メルカニはないかな。
そうだ、あとごめん一つ忘れてたけど、
これ検索結果見たら、よく見たらすぐ分かるんだけど、
これをAIに予約させて詐欺じゃないって判定されるみたいな事象も確認してて、
なんでそれもなお注意喚起されてるっていう感じだ。
そうそう、だからそこもちょっと今の時代だと悩ましいとこだね。
これさ、結構難しいね。
割と絶妙なとこついてる気がするな。
メルカニとかさ、正規のこの検索ワードが強すぎて多分出ないんじゃないかな。
あーメルカニ自体の確かにインデックスが…
だからここまで行くと多分逆に使えなくて、
ほどほどにポイント高いんだけど、
なんかそんなに使われてないところじゃない、多分これが刺さんないんだろうね。
なんか納得したわ。
だって仕組みというか理屈上は多分、
メルカニも多分刺さるじゃんこれきっと。
なんとかかんとかは詐欺ではありませんの人気アイテムになっちゃうけどタイトルが。
メルカニ限らずね、もう大体の…
Cサイト系は大体ね、多分楽天とかもきっとそうなのかなと思うし、
ちょっと分からんけど、使わないから。
Amazonとかもきっとそうだし、ヨドバシも多分あるよねこれね。
なんとかだったらヨドバシみたいなね。
なんだろうな、この具体例のやつの中にヨドバシじゃないけどどっかの電気…
あったな。
あったと思う、2ページ目くらいに。
あ、違うマップカメラか。
マップカメラって一応名前出しちゃったけど。
また絶妙なとこだな、なんかマップカメラも。
まあなんかその…
そっかカメラ勢だから知ってるのか。
マップカメラはね、なんかお店の独自の保証が強いので。
闇深いぜ、はい。
みなさんお気を付けくださいっていうか、まあね、これ聞くような人は多分引っかかんないんだろうけど。
でもさこれさ、結構悩ましくない?
別に脆弱性じゃないじゃん。
脆弱性じゃないね。
なんかその…
どこにも違法性はないよね、一応。
そう、なんか…
詐欺自体は違法だけど。
社会としてどうしたらいいのか結構困る。
困るね。
Googleにお願いするしかない。
Googleでもなんとかできる。
でもさGoogleがさ、例えばさ、このなんか検索っぽいURLはもう一律でノーインデックス扱いしますってなったら、
多分医師催とかさ、ぶち切れるじゃん、今度。
そうだね。
いやー…
いやー、どう…さ、そうだね、本気で対策しようと思ったら結構どうしようもないかもね。
このフレーズなんて何回でも作っちゃえばいいしね。
うーん。
いや、SEO業者側もね、多分めちゃくちゃ簡単なんだよな、これ。
多分、限界低いというか。
だから、割に合わないっていう風にもならないと思うし。
うーん。
そうだね、難しいね。
いやー、いやー。
うん。
スパム、スパムとあれの、あれですね。
AI、みんな口がAIになっても結局裏側が…
Geminiとか使うと裏側検索してたりするから、そういうのを思うとまだまだ検索エンジンは死んだとは言えないというか、
検索エンジンがガチで死んだら結局困るぞっていう話がちょっと買い物見える感じだな。
はい。
次行きますか。
npmパッケージ公開前のマルウェアスキャンとデュアルユース
はい。
はたまたNPMのGitHubチェンジログの話なんですけど、
NPM Publish Time Malware Scanning and Dual Use Metadataという記事ですね。
これもNPMの対策でなんですけど、
アップデートが入って、NPMでパッケージを公開するときに、
パッケージがNPMインストールできるようになる前に、
マルウェアの自動スキャンっていうのをしますよっていうアップデートですね。
これもともとやってなかったわけじゃなくて、
パッケージ公開後にマルウェアスキャンするっていうのはやってたみたいなんですけど、
それが前倒しになりますっていう話ですね。
時間としては5分から15分ぐらいかかるんで、
パブリッシュしてすぐにインストールできるんじゃなくて、
それぐらいラグが生まれますよっていう話と、
もしマルウェアって判定されると、ペンニングみたいになるんで、
管理者意義持って仕立てしてくださいっていう形になるみたいです。
知らなかったんだけど、
デュアルユースパッケージっていうのは意図的にマルウェアを混ぜるケース、
多分研究目的なのか何なのか分からないですけど、
そういう目的の場合は、
パッケージJSONのコンテンツポリシーっていうフィールドと、
あとディスクロージャーファイルっていうのを追加するのが必須になってて、
かつ公開時に2FAが必須になるっていう仕様になってます。
要はだから、これあれでしょ?
いい例えがパッと出てこなかったんだけど、
セキュリティエンジニアが使うようなツールがマルウェア判定されて、
セキュリティソフトで送られるみたいなやつでしょうか?
そうかもね、確かに。
そっちのほうが。
デュアルユースコンテンツ。
そこは制約枠間のと、
あとデュアルユースメタデータは、
さっき言ったディスクロージャーファイルとかコンテンツポリシーは、
1回設定すると削除できずに上書きできなくなるので、
使う側は基本的にはスキャンされたものをインストールできるっていうのと、
デュアルユースパッケージに関しては、
どこで判断するのかちょっと僕使ったことないんで何とも言えないんですけど、
NPMインストールするときに表示されるのか何ののかですけど、
そういうような形になるみたいですっていう感じですね。
これはいいえ、
どっちかというとこっちのほうが刺さりそうだけどな最近の攻撃。
コード自体を改変するよりも、
しれちょろっと悪意のあるパッケージを依存に差し込むドックンみたいなのが割と多くない?最近。
多いし、それは多分引っ掛けられてないよね。
公開後にスキャンしてるっていうのは恥ずかしながらこれで知ったんだけど、
対応に1日かかりましたみたいなケースとかは結局多分スキャンは通ってるわけだから、
そういうのとかはこれが入っても防げない。
間違いなく改善ではあるんだけど、
めちゃくちゃ穴が塞がるわけではなさそうかなって気はするね。
どうなんだろう、結構塞がりそうな気がしたけどな。
どうだろうね。
だって公開時に自動スキャンでペンディングするんでしょ?
そうだね、引っかかったら。
引っかからないものが確かにあるから、引っかからない偽装ができればっていうのはあるけど、
でもどうなんだろうね。
なんかだからすごく無意味なコードがめっちゃあって、
その中にしれっと悪意のあるコードが入ってるみたいなやつとかは、
もしかしたら見つけられないとか、なんかそういう弱点はあるのかな。
どうだろうね。スキャナーの…
精度次第ではあるけど。
仮にかなりワークするんだったらこっちのほうがやっぱ刺さる気はするな。
そうだね。
根本的に確かにアクセストークンの話とかも確かにそれはそうなんだろうけど、
なんか悪意のあるものがそもそもNPM上に公開されてなければ使いようがねえっていうのはあると思うから。
全然ちょっとセキュリティとは関係ないけど、NPM運営大変だなって思った。
大変だね、これ。
運億の億とかの日々めちゃくちゃ公開されてるやつに全部スキャンかけて、
すげえコストかかりそうだなって。
まあ元々やってたこととはいえ、最低15分でスキャンしてくれる。
結構リアルイスコンやってるよね、たぶん。
これさあ、なんかすごいね。
どう考えたら赤字じゃん。
どう考えても赤字やね。
だって1ミリも儲からないでしょ、NPMで。
そうだね。
一応エンタープライズプラン的なやつはあるけど、儲かってないから買収されたしな。
まあ、そう。
ありがてえっていうか。
ありがてえけど、なんかありがてえけど、なんか考えさせられるね、なんか。
そうだね。
防御側がひたすらしんどいっすね。
だってこんなん、いやー。
まあでもあらかた塞いだ世界においては、なんかもうサプライチェーン攻撃みたいなの、
まあほぼNPMで起こんないよねっていう状態に。
でもなんかなったとしてもさ、この今こうやっていろいろやってるコストはさ、もう減らせないじゃん、やり始めちゃったら。
そうだね。
どう、どうすんだろうね。
未来永劫続けるのこれを。
まあ基本的にはそうなるんじゃない?
うーん。
なんならAIでボコボコボコボコ生えてくるかもしんないけど。
だって入り口を守りましょうと、ある種の出口が公開されないように、悪意のあるものが公開されないようにしましょうっていう出口を守りましょうっていうのは多分セットで考えなきゃいけないから、
なんか多分外せないんだよね、こっち側も。
うーん。
入り口を塞いだからオッケーでした、多分。
絶対言えなくって。
これやり始めたら多分無くせないから。
無限にお金がかかるだろうし。
うーん。
そうだね。
まあ厳しいですね。
いやー、しかもなんか課金の仕様がないよね。
一応なんか喋ってくる間ね、やっぱ個人向けチーム向けの月額プランがあるのと、
まあその、もうやっぱGitHub参加の製品として、だからNPM単体でアクロジンするっていうのはもう多分やろうとしてないんじゃないかな。
GitHubの場合はリベンダーボットとか、高度なコードスキャンとかそういう部分の優位性に至るとか、
まあジェミンのやつちょっと読んじゃってるんですけど。
うーん。
まあ変えづらいパイプラインの囲い込みね、あれはね。
まあまあまあ。
VSコードとかも確かに分かりやすいところだとそうだね。
ダイナスクリプトとか、ああいうのは別に儲かるわけじゃないけど。
うーん。
まああの辺全部セットでMSが握ってるっていうのは確かに強いね。
うーん。
まあそうね、最終的にMSに行き着くんだったらまあ確かにしばらくは安定なのかな。
うーん。
うーん。
まあ誰かがやんないとね。
でもなんかこれNPMだからできてるけどさ、なんかPiPiとかってそんな母体がないよね多分。
分かんねえなあPiPi。
なんか忘れたけどコンポーザーとかは、コンポーザーじゃない。
名前忘れてる。
コンポーザーのパッケージとかはなんかそのセキュリティとかその辺が援助するとか。
なんか結構各セキュリティビンダーが各パッケージマネージャーの運営元を援助するみたいな流れをちょっと見て取れるけどね、直近のとこ。
NPMは多分自力でどうにかなるからいいんだけど。
そういうと自力でどうにかできてないっていう話はあるんじゃないかな。
うーん。
ああ、Pythonソフトウェア財団か。
PSF…。
非営利団体。
うーん。
まあ多分限界はあるよね。
限界ありそうだよね。
まあインフラ支援はなんかいろいろ受けてるっぽいけど。
うんうん。
まあスポンサーとかで頑張るしかない。
いやー、なんか限界がありそうだけどな。
同じことできるか?
もしかしたらもう破綻するんだったら、
例えばNPMパッケージは10回公開までは無料。
11回目以降は従業課金とかになるかもしれない。
もうOSSの終わりと言ってもいいかもしれないけど。
OSSは終わりではないんだけど、まあ誰でもただで何でもできる世界は。
リリースサイクルがめっちゃ長くなるとか、レートリミットがくっそ厳しくなるとかかな。
NPMインストールできなくなるんだよね。
多分でかいやつ。
インストールもできない。
レートリミット上げすぎて、NPMインストール叩くと依存が多すぎて、
0.5秒くらいでレートリミットに当たっちゃってインストールできない。
インストール側にかけるのはちょっとやばいな。
いやかけるとしたらアップロード側でしょ。
でもアップロード側も変な書き方するとセキュリティパッチ当たらなくなるとかあると思うから難しいね。
リリースサイクルがめっちゃ長くなると思うから。
来年のリリースを待ってください。
このバグフィックスは、まあマージ済みだけどリリースは来年です。
前もMS様なんじゃないかな、NPMに関しては当分は。
MS様の気が変わらなければというか。
タイプスクリプトとかVSコードを見てるとそんなに不安はないけどね、個人的には。
タイプスクリプトってMS開発だったっけ?
MSのものですね、一応。
エコシステムとして、そもそもNPMへの依存が結構あるから、そこは一定モチベーションがあるんだろうね。
そうだね、自分たちのためっていうのもあるし。
じゃあPiPiだとどうなんだろう。
PiPiはどうなんだろう、ML界隈とかは依存してるから、どっかしらが最終的にはなんとかするのかな。
そんな気はするけどね。
コンポーザは?
HPMを押せないなっていうところはもちろんあるんでしょうね、と思うけどね。
だからみんながよく知ってるような言語のパッケージマネージャーは、
最終的にはなんとかなるんだろうね、きっとね。
ちょっと足り基本感な考え方で申し訳ないけど、体力のあるところがどうにかする気はするな。
結構なんか、そうだね。
それこそNPMみたいに買収とかも長くはないよね、きっと。
いやー。
そこはでもやっぱ、母体のスタンスによる気がしてきたな。
ワンパスワード クレデンシャルブローカー
どうなんだろうね。
守る側視点ではさ、NPMは結構きついか。
守る側のやるべきことがだいぶ明らかになってる中で、
プロバイダー側で何ができますかっていうところに踏み込むかどうかって、
結構オプショナルじゃない?
そこの責務を果たそうと思ってくれるかどうかって、
MSがたまたまそうだっただけっていう話のような気もするけど、どうなんだろうね。
どうなんだろうね、なんとも。
N?
わからんな。
でも極端な話、パッチ当てられずにずっとやられ続けたらもう、
その言語のユーザーが減るとか、パッケージマネージャーを使わなくなるとか、
いくとこまでいくとありかないな気はするか、
そこに対してちゃんと対策をするっていう責力は働くんじゃないかなって気はするけどね、個人的には。
だからそういう考え方を持ってくれてると思っていいのかな、わかんないけど。
夏休みの自由研究でやりたいな、各パッケージマネージャーの現在の対策状況。
全然npm以外わかってないから。
パイパイとかね、給民アカウント売るとかは確かニュースで読んだ気がするけど、だいぶ前に。
なんかね、このパッケージマネージャーのレジストリを運営するというモチベーションがどっから湧いてくるのかみたいなところも含めて、
研究テーマとしては面白そうだよな。
そうだね。
便利だよねとかエコシステムを強化するとユーザーが増えるよねみたいな話はあるんだろうけど、
そもそもユーザーが増えると何が嬉しいのみたいな話とかも多分あるよね、なんか。
便利なものが増えるのがシンプルに嬉しいとかですよね。
最初の最初は自分たちの好きな言語を作ってて、それでいろいろ実装しててパッケージが欲しくなって、
GoみたいにGitHub経由の世界観もあるけど、いろいろ検索できるようにしたいとか一覧性が欲しいとか、
そういうのでまあまあ出来上がっていくっていう妄想を今してた。
なんか不思議だよな。
なんかあんまり考えたことなかったけど。
共通化みたいな考え方もあるかもしれないしね。
そのやっぱいいソフトウェアがあった時にコピペしたくないみたいな。
じゃあインストールしようみたいな時に。
その呼び出し方とかいろいろとかにやっぱ仕様がないと、インターフェースがないとダメだよね。
まあ確かにね。
それを強制する方法は単一レジストリとかはまあまあありそう。
オートロードなしのPHPみたいなね。
そうそうそうそう。まさにまさに。
あれもさ別になんかじゃあパッケージマネージャーがそこで必要かって言われたらさ、どうなのよ。
なんかあれはだってPSRじゃん。
そうだけど、まあじゃあバージョンアップどうやってしますかとか、
Gitサブモジュールだとそもそもその実態をどうやって再現性高くみんなの手元に同じものを落とすかとか。
そういうの考えるとまあまあまあ。
まあ多分いろんなものがくっついてきちゃうんだね結局。
そうだね。
はい。
はい。
そんな感じです。ちょっと夏休みの自由研究。
PSRというワードを何年ぶりに喋ったかわかんない。
気になる人はググってください。
PSRね。
オートロードってPSRだよね。
PSRだったかな。ちょっと覚え出せないな。
PSR今どんぐらいあるんでしょうか。
PSR0がオートローディングスタンダード。
PSR4もオートローディングスタンダード。
PSR4もオートローダーですね。どっちがどっちかわかんないけど。
いやいいねPSR。渋いね。
0はもうデプリケティッドですね。
ああなるほどね。4で置き換えた感じだった。
いやー。
はい。
はい。
懐かしいなPSR。
そんなに知らないけど。
PSR7とかなんかあったよね。
PSR仕様のロガーとか実装したな。
うーん。
まあいいや。HDBMS。独特だよな。
次の基地行きましょう。
はい行きましょう。
ワンパスワードクレデンシャルブローカー
is now in public preview。
ワンパスワードの基地ですね。
さらっとなんですけど、
ワンパスワードクレデンシャルブローカー
というのは何かというと、
GitHub Actionsとかのワークロードに対して
OIDC連携でワンパスワードのアクセスを
提供できる仕組みですよという話ですね。
もともと例えばGitHub Actionsから
ワンパスワードのこのボルトのこの値を取りたい
ってなったらサービスアカウントっていうのを
ワンパスワード側で作って
それを使ってアクセスするって感じだったんですけど
実態としてはただのAPIトークンみたいな感じで
なんで今のトレンド的には
盗まれるリスクもあるし
ローテとかもしなきゃいけないし
まあまあまあ何でしょうね
ちょっと使いたくねえなみたいなのがあったんだけど
そこをキーレスにできるようになりました
っていう話ですね
ワンパス側でそのキーレスにした上で
どういう条件でどっからのアクセスが来たかとか
そういう観察力とかも全部残るので
積極的に使えますよっていう話ですと
残念ポイントとしては個人では使えなくて
エンタープライズとかのパブリックベビューなんで
もう押し込まないと使えなかったかな
確か
でちょっと実態みたいなって感じなんですけど
まあさらっと紹介ですと
結構個人的に思ってるのは
GitactionsとかCACDのシークレットを設定するときに
何だろうな
個人的な理想としては
何がどこで設定されてて
どういう値段なのかとか権限とか
いろいろ見えるようになってほしいなと思うんだけど
アクションズのシークレットって
メタデータつけらんないんで
これは何かっていうメタデータは
どうしても別の場所に置かなきゃいけないとか
じゃあそういうのちょっと勝ちでやろうと思ったら
AWSとかGoogle Cloudとかで
シークレットマネージャー的なものを作って
OIDC連携でキーレスにできるし
みたいな話があるけど
ちょっと大げさすぎるというか
スラックのWebhookURL設定したいだけなんですけど
みたいなのに
シークレットマネージャー特効のプロジェクトがいて
テレホーム管理してるんだったら
テレホームでVR出してみたいなのは
さすがにめんどくさいなみたいな
またそのものによっては
CICDでも使うし
そのチームのローカルでも使うみたいな
少なくたまにあると思ってて
比較的緩めのレベルのクレジェンシャーで
そういうのは
ワンパスに1個だけ置いて
それをみんなで使うとかできたらいいよな
という気持ちがありつつ
今まではキーレスでアクセスできなかったんで
結局キー管理しなきゃいけないじゃんとか
そのスコープ誰がどう把握して維持するのとか
めんどいなと思ったんですけど
これが使えるんだったら
そういう柔らかいやつは
ワンパスにおいて各開発チームで
このボルトの内で自由にやってくださいってやって
アクションズからアクセスできるようにして
メタデータもワンパスなので
いろいろ全部アーティストに書くとかは
割と使い方自体はありなのかなと思った次第
あとなんなら
シークレットマネージャーの場合も一緒だけど
結構これ見て思ったのは
まずはローカルでも使うっていうパターンは
二重管理になっちゃうからどうしても
ワンパスワードに1箇所に置いてるよっていう
状態が実現できるのはいいよなっていうのが
まず一つと
そうね
そうね
これ実態見てみないと分かんないけど
完全にボルトのアクセス制御とは
切り離されたところにあるんだったら
開発者にシークレット渡す必要が
全くないとかはあるかもね
開発者というか利用者に
利用者にシークレット実態寄ったと
確かに
例えば
GitHub Actionsのバックフローから
なんとかかんとかして引っこ抜いてくることは
できると思うけど
例えばSREチームしか発行できないクレジンシャルがあって
SREチームが発行してワンパスに置いて
この条件でアクセスできるようにしてよ
それは確かにね
ローテもSRE側でできるじゃん
ローテもしかもSRE側で完結するじゃん
SRE側で差し替えたら
勝手に次に取り切った時には
新しいものが使われるっていう
ただそれだけだから
シークレットマネージャーでも
同じことはできると思うけど
そうそうシークレットマネージャーでも
同じことはできるから
ワンパスアウトでこれができることの
めっちゃ強い利点ってほどではないけど
楽だよね
あと今話して気づいたけど
バージョン管理はできないね
シークレットマネージャーと違って
だからやっぱゆるめるやつを
一応フィールドをV1V2みたいなフィールド
作ってやるとかはできるけど
そこまでやらなきゃいけないようなやつだったら
たぶんワンパスは向いてないというか
どう考えてもセキュリティチーム視点は
シークレットマネージャーより
カウンサログとか普通に見やすいし
管理もしやすいなとは思う
確かにね
どれくらいのレベルだったら
これ使ってねとか
そういうの決めだすと難しい
線引きはだるいね
使い分けもそうだし
線引きもあれだし
そこはちょっと難しい
寄せないやつとか多いんだな
でもワンパスアウトに寄せ切るには
ちょっと固いやつは置けないなとは
個人的に思うから
ちょっと悩ましいね
はい
まだちょっと使いどころが何とも言えない
難しいね
ワンパスワードによる.envファイルのセキュリティ強化
個人で使えるようになったら
個人はちょっと一回
ワンチャンこれに寄せたいなと
ひそかに思ったりするわ
何だろう
個人で作ったアプリとかの
デプロイとかに使うやつとか
今アクションスインカーも設定して
メモってるんだけど
ローカルでもどうせ同じの使うしとか
いろいろあったりして
そういうのも全部ワンパスにして
ローカルに読み込みはOP
プロトコルで
ハードコードせずにとか
やれるといいなみたいな感じですね
確かに
わが子が泣いてるが
特に気にせず
あとまず行きましょう
はい
では最後で
最後もワンパスアウトの記事で
ちょっとさっきの発言
伏線っぽくなったんですけど
セキュアデベロッパーシークレット
ワンパスアウトっていう記事です
何かっていうと
前も紹介したんですけど
ワンパスアウトで.envを.
envのこの値にワ
ンパスアウトのこの値を入れるみたいなそれ
をアプリケーションか実
際に.envみたいに使うみたいな機
能があるんですけどその
辺りがいい感じになりました
っていう話で
具体的には何がいい感じになったかというと
ローカル環境で
平文が置いてある.envを探し出して
ウォッチタワー
ワンパスアウトって
弱いパスワードとか
2FSでできるのにしてない
ログイン情報とかを検出して
スコアリングしてくれる機能があるんですけど
ウォッチタワーのデベロッパーバージョンみたいな
デベロッパーウォッチタワーみたいなのがあって
そこにあなたのローカル環境で
このファイル この.envに
この値が平文で書いてあるよ
なんでワンパスに移行してね
みたいな警告が出るようになったし
それをポチポチ押せば
インポートできるようになりましたっていう
記事ですね
これは個人でも
試せるんでワンパスユーザーの方は
ぜひ試してみてくださいって感じ
これどこからいけるんですか
あのね
今ワンパスアウト開いたんですけどとりあえず
えっとね
僕
どこだっけ
えっと
開発者
左側のこれ多分設定
開発者のウォッチタワーかな
エンバイルメントなのかなどっちかな
多分ね開発者のウォッチタワーだと思ってて
でも僕.env全部
リスク上の開発者
認証情報をチェックするっていうのがあるわ
ありました
ありました.
envないんですよ
なかったんで
俺もね
これポチを押したら
すぐ出るのかな
手元でわざと作ってやってみても
いいかもね
それちょっとめんどくさくてやってないんだけど
まあいいや出たら見よう
普通に便利かなっていう
サプライチェーンラッシュの時に
手動で.envバーって
機械的にバーって探して
コツコツやってたんでその辺が楽になるのが
まあいい話だ
っていうのと
俺.envじゃなくて
リア.env使っててさ.
envRCなんだ
よねその
辺は検
出してくれないかもな.en
vって書いてあるからリア.
envどうなんでしょうね今オワ
コ
ンなのかな
わかんない
俺は結構便利に使ってるけど
リア.envからopコマンド
実行したりしてる
リア.env整理した時に
もうちょっと
どうしたんだっけな
思い出せない
残ってんのかな
まあいいや
確かに
その辺は注意だね
ちょっと
ワンパス
みなさまぜひ活用してみてください
今日はそんなところですか
エンディングと夏休みの話題
4,5,6個
読みましたね
結構話したね
そうだね
世間は夏休み待ったなのかですか
みなさんぜひ夏休みを
担当してください
お盆はどっか行くんですか
お盆
休みではない
お盆という概念が
俺はないな
別に
一休暇じゃなかったらなかっただろうな
保育園がめっちゃ休みになるんだよ
うちは
実家に寄生するか
みたいな
お盆っぽいみたいな
あとは
京都の下鎌神社っていうところで
古本市が毎年あって
それがお盆期間
引っ越して以来毎年行ってるんで
行ってこようと思って
暑い中野外でやるんですよ
面白いですよ
森見富彦っていう
小説家の
聖地みたいな
感じで
その文明区で僕はすごい
毎年行ってるんですけど
京都近いな
近いよ
近いよ
うちから下鎌神社
車で30分だからね
もしこの期間に
京都を来る方がいたら
ぜひお勧めです
クッソ暑いですけど
暑そう
森の中だからね
ちょっと晴れですけど
虫とかいそう
小学生みたいな
ごめんな
虫はいるでしょ別に
虫除け必須ですね
そんなじゃない
そんなじゃない
下鎌神社自体別にそんな
イメージないから
そんなじゃないということで
安心していてください
その感じで次回は記念すべき100回
特に多分何も
淡々とやると思いますけど
100回おめでとう頼りがね
20つぐらい
あふれるほどね
読み切れないほど来るかもしれないから
100個ぐらい来るかもしれない
そうだね
お願いします
お待ちしてます
じゃあそんな感じで皆さん次回も
お楽しみにしててください
おやすみなさい
