近況とリスナーからの便り
こんばんは、Replay.fm第103回です。
こんばんは。
こんばんは。
いや、早いですね。もう103回ですか。
どっからの相対的な評価の早いですね。
100回と103回ってなんか結構な差がね。
あー、それは、理解しました、その感覚を。 確かにね。
なんかこの1週間長かったな、なぜか。
マジで?
俺。
あー、俺もなんかそんな気がする。
でも別に前回収録日、いつも通りだったよね。
いつも通りでしたね。
うん。
なんでこんななんか長く感じるんだろう。
なんすかね。
うん。
リモートP2Bのみ会に参加したからじゃないですか。
そうですね。その説抑えました。
うん。
元同僚の人たちからね。
なんか半年に1回ぐらい。
いやー。
LINE電話がかかってくると。
ひどい、ひどい会だよな。
唐突に電話かけてきて、なんか謎だよな。
ありがたいですけどね。
うーん。
いやー、毎回タイミングが噛みかかってんのがウケるんだよね。
あ、そうなんだ。
普通にあの時間帯、いやーなんかその。
いやー。
うん。
リスナー向けに補足するとその。
だから僕とやけやしの元同じ職場の人たちで、
定期的にそのP2Bっていう吉祥寺の素晴らしいビール屋で飲んでて。
で、僕は滋賀県在住なんで当然なかなか行けずなんですけど。
その未開がたぶん盛り上がってみんな酔っぱらってきた頃に、
僕にLINE電話をかけて、
やけーってなんか行ってくるっていうイベントがたぶん半年に1回ぐらいあるんだけど。
そうそう。
だからで、だからみんなさん集合してたら9時、8時9時ぐらいですか?
盛り上がってくる。
うん。
酔っぱらってくるぐらいにかかってきて、
で、僕はその時間はだいたいたぶん寝かしつけを頑張ってることが多いはずなんで。
出れない確率の方が圧倒的に高いんだけど、
なんか毎回噛み合ってなぜか出れるっていう。
今回も下の子寝かしつけて、
あ、やっと寝室脱出できそう。
脱出しようかなーって考えてたら、
携帯がブーってなって、
おーおーおーってなって。
むしろそれで起こさなくてよかった。
そうそうそうそう。
ギリギリでした。
ギリギリでした。
まあでもそれで起きないぐらい眠りがね深くなってたんで。
寝室出て出たら夜消しから着信になって、
あーOKみたいな感じ。
察しって。
そうそうそう。
いやー楽しかったですよ。
毎回。
ありがとうございます。
いやー謎なんだよなー。
今回誰が言い出したんだっけなー。
ちょっと忘れちゃったけど。
毎回違う人が言い出してるの?
前回は、いや覚えてない。
なんか前回がどうだったか覚えてないけど、
今回が。
今回はね、俺じゃないんだよ。
なんか。
あーそうなんだ。
あーそう。
えー。
ありがたいね。
なんか忘れられずに生きていきたいっすね。
来ればよかったな。
4ヶ月。
まあ次回は顔出しますよ。
いや生きたくても今回は無理だったなーちょっと。
まだね。
もうちょっと下の子大きくなってから。
普通に無理だよね。
普通に。
いや無理か無理じゃないかって言うと無理じゃないんだけど、その。
そうね。
なんか難しいところだね。
その。
家庭へのダメージとリターンの。
天秤というか。
そりゃそうよ。
うん。
まあでも押し合わせるうちに押さないといけないという話はあるかもしんないから。
まあまあまあ。
そんなにいいんですけど。
今回お便り1通いただいてまして。
特命希望さんで100回おめでとうございます。
とのことです。
ありがとうございます。
103回ですけど。
そうですね。
200回目指してやっていきたいなという所存ですね。
まああとちょっとネタバレ予告なんですけど。
編集の都合で次回かその次になるか分からないですけど。
アザラさんというまあ強いセキュリティエンジニアの方を。
セキュリティエンジニアって言っていいのかな。
まあまあ方をお呼びする予定でして。
まあもしなんかアザラさんに聞きたいことがあるとか。
僕手挙げ足じゃないけど。
まあ3人で多分いろいろ記事を読むというよりかはいろんなことを話すんで。
その場で聞きたいこととかこれどうなんですかみたいな。
気になることがあったらお手紙ぜひいただけると嬉しいなという感じでございます。
お便りはグルフォームXのハッシュタグで見ております。
ブルースキーとかも見ようかな。
なんか別のポッドキャスト聞いてたらブルースキーのやつ。
あれブルースキーなの?ブルースカイなんじゃないの?
ブルースカイか。やらなすぎて読み方さえ。
すげえ久々にログインした。
でもなんか俺らがさあそこに生息してないのにさあ、
なんかそこで言及されることあんの?なんか。
うーんわかんないけど、
まあなくはないんじゃない?なんか久々にログインしたら誕生日入れろって言われた。
なんで?
大丈夫?誕生日覚えてる?
ギリ覚えてるわ。
偉いね。
なんかフォローされてた。
こっちだったらハッシュタグ載ってるんじゃん。
まあXも実質載ってますから。
まあまあまあちょっとごちゃごちゃ言いましたけど。
お便り募集してます。
その感じで今日はぼちぼちな検出があるんでぼちぼちやっていきますか。
自作NPMパッケージへのマルウェア混入とその対応
なんか久々に結構な検出があるよね。
うん。
まあ明るめも多いですけど。
じゃあ一番目はヤギハッシュにお願いしようかしら。
自作NPMパッケージにマルウェアを公開された時にやったこと。
はい。
という誰だ?
大輝浦田さんの禅の記事ですね。
なんか
まあ読んでくれっていう感じなんですけど。
オープンAPIリアクトクエリコードジェンというのが
ステップセキュリティのブログとかでも紹介されてたんだけど
なんか普通に侵害されて
いろいろ仕込まれちゃったよっていうのがありまして
その作者の方が対応で何したかっていうのを
ブログ記事にして書いてくれたという感じですね。
結構影響されてるパージョンが多くて
割と対応が出れそうだなっていうのは見てて思ってたんだけど
はい、なんか侵入経路を塞いで
公開権限を剥がして
公開権限を剥がしてって何?これか
普通の長期のアクセストークンが別でいたので
トラステッドパブリッシングの経路以外のやつでそっちを
トラステッドパブリッシングを消したのか。
そうそう。
で、トークンも念のため消したって感じだったかな。
トラステッドパブリッシャーを消すのってこれ意味があったのかな。
これ消すとギタワークションズから公開できなくなるから
今回はワークロード乗っ取られてやられてるから
ワークロード乗っ取ったとて、乗っ取ったというか
ワークロードを塞ぎ切れてなくても設定さえなきゃ
NPMJSとかね。
予防措置として一旦原油を直した上で
改めて設定し直す予定ですって書いてあるから一旦だから落としたっていう話かな。
そうだね。
なんやかんややってっていう感じですかね。
NPMに報告したよみたいな話とかもあるし
あと利用者に知らせるとかも
GHSAで発行できる感じなんだね。
なんかその
一通りの手順自体は別にサプライズは特にないんだけど
でも意外と侵害された側でこうしましたみたいな
原因をポストモーティング的な記事は結構見たけど
こう対応しましたみたいなのは見かけたことなかったから
かつ日本語というか日本人の方でなるほどねみたいなところとか
あと細かいつまずきところというか
アンパブリッシュコマンドあるけど現実的じゃないみたいなシェアが多いと
参照されたらできなくなるからとか
また細かいGitHubに侵害というか攻撃してきたアカウントを通報するときに
こういう風なフォーマットで書くといいみたいな話とか
またアカバンされちゃうと攻撃コミットを辿る方法がなくなっちゃうから
コミットの発射手元に残しておかないとみたいな話とか
結構なるほどねみたいなのと
あと割とそれなりに気づいてから2時間ぐらいで対応しきってるけど
多分エアーエージェントにかなり手伝ってもらってスムーズにできたみたいな言及もあって
そこはすごいいい時代だなというか
こんなん多分避難訓練してたとしてもそんなスムーズにできないと思うんだけど
それはすごいいい話だなっていう気はしましたねっていう
お疲れ様でしたっていう感じ
お疲れ様でしたですね
一方でちょっとあんまなんかちょっとまさかりと思われたらあれですけど
何だろうな
ポストモーテムの中身をゲインの方もちょっと見たんですけど
ゲインの方も見たんだけど
割と一発で侵害される経路を仕込んだっていうよりかは
4回ぐらいに分けてアップデートしていったら
侵害される経路が組み合わさってきちゃいましたみたいな感じで
経緯を説明されてるんだけど
知ってる目線から見るとそれやられるよねっていう仕込み方をしてて
でもなんかその何だろうな
仕込み方としては利便性とか解決したかったこととセットで見ると
確かに相当警戒してないとやっちゃうかもなみたいな部分は結構
今までってオンプレックスターゲット使っててもやめろよみたいなことを
多分僕はこれまで何回も言った気がするんだけど
その裏側を見たというか
結果として脆弱だったんだけど
別にこういうことをやりたくてこういうふうにしたっていう話であって
それが穴かどうかっていうのを気づけなかったっていう話は
普通のアプリケーションで脆弱性を作り込む
ロジックと当たり前と当たり前だけで同じだよねみたいな気持ちと
あとは再発防止みたいな部分で言うと結構
例えばだけど最近だとステージドパブリッシュとかがNPMで出てきてて
個人的には最後のガードレールとして
入れた方がいいんじゃないかなっていう
トレッドオフあるけどみたいな気持ちもあったりするけど
言及がなかったりとかするので
ある種の何だろうな
そこはセキュリティーが取り上げるぐらいの
トラフィックのあるNPMJSのメンテナーのリアルを
買いまみたっていう部分で言うと
いろんなパッケージ足したようないろんなモチベーションで
いろんなパッケージを管理してるメンテナーが山ほどいる中で
全員がいろんな最新のエコシステム化が用意した防御機構を
全部きちんと使いこなすとか
また穴を作り込まないみたいな部分に期待するのは
まあまあ非現実的だよなみたいな部分をちょっと感じ
ほんのり感じたりしたなっていう部分が
正直あるなっていう感じでしたね
難しいよな
でもなんかまあやっぱ意外
でもこんだけ騒がれてさ
なんかあれをやれこれをやれっていうのが
なんか言われてる中で
それでもやっぱ残ってんだなっていうのは
なんか難しいなって思いますね
結構ね
なんかわかりやすいやつは
いやなんかちょっとアプリの脆弱性と似たものを感じるかもしんないんだよな
例えばSQL Injection対策で
Prepared Statementを使いましょうぐらいは
普通のウェブエンジニアだったら
知っててよってなんか思うラインというか
セキュリティ別に詳しくなくても
だけどもうちょっと高度なSQL Injectionが条件で刺さっちゃいましたとか
またウェブの脆弱性という括りで言うんだったら
CSRF, SSRF, XSS
いろいろもっとたくさんあって
じゃあそれ全部ちゃんと把握して
穴作んないでねみたいなことを言い出すと
結構現実にはなかなか難しいよねみたいな話があって
でActionsにおいても
今回のケースとかは一周コメント経由で
任意行動実行までいけるっていうものだったっぽいんだけど
onplexターゲットはこんだけ騒がれてるから
多分みんな原理もそろそろ理解してくれてるし
分かると思うんだけど
じゃあなんだろうな
一周コメントも危ないぞってみんな騒いでるかっていうと
そうじゃないじゃないですか
僕ら目線は分かるというか
任意の値が入ってきて
それが参照サインだったらダメだよねっていう
点と点をつなげるっていうのがすぐにパッとできるけど
プリリックのコメントで
こういうオペレーションできたら便利だよねっていうことを考えてるときに
それと昨今のサプライチェーン攻撃みたいなの
つなげられるかと言われると
100人いて100人にそれ求めるのは難しいかなみたいな
これ何をどうして
あれかな
メインのバージョンのほうまで到達したんだろう
違うだからこの中に
ちょっと待って
元々やりたかったのは
一周コメント
プレリリースをプリリック立てた人が
自分でできるようにしてあげたかったのがあって
ってなったときに
じゃあプリリックに
NPMパブリッシュみたいな
コメントをしたらプリリリースが出るように
仕組みを作ろうってして一番最初作ってみたんだけど
そしたらそこで動くワークフローは
メインブランチというかデフォルトブランチの
シークレットにアクセスできないっていう
超ザクというとそういう制約があって
ダメじゃんってなって
じゃあそれアクセスできるようにしてって言って
そこで穴が開いたっていう感じなんだよね
そこで穴が開いちゃったら
じゃああとはもう
そのコメント経由で
自由に料理できます
しちゃいましょうっていう
超ザクというとそういうことが起きてたって感じかな
PostMortemの記事を
見ると分かるんですけど
修正コミットかな
修正コミット見たんだっけな
一周コメント
そうだね一周コメントの場合は
PRの
そうだそうだ
一周コメントでパブリッシュを発火したときは
そのプルリクエストの
コミットでチェックアウトするようになっちゃってたから
そうだね
だから
プルリクエに好きなものを混ぜて
何が実行されるんだ
PNPM
これでも2コード実行は
どこで挟んだ
ちょっと思い出さなきゃ
いやでも
シンプルな話じゃないかな
その一周コメントで誰でもリリースできる状態になってました
でしかないんじゃないかな
でもそれと言ってまず
PNPMインストールか
PNPMインストールは呼ばれてたから
あれだよね
パッケージジェイソンから何か悪意のある
依存を突っ込んでおけば勝手に
ポストインストールとかで
ポストインストールだけだったらダメなのか
PNPMのバージョンインストールあるけど
そうじゃなくてそもそもこのリリースワークフローを
誰でも好きなコードで
動かせるようになってたっていうだけかな
シンプルに
でもベータなしを
プレリリースじゃないものをこれで出すのって
そうかプレリリース
シークレットが抜けました
そうだろうなって思うんだけど
そうか
プレリリースはどうやった
プレリリース2件が多分まずやられる
順調にやられる
確かにそうだね
プレインストールに入れて
抜かれただけか
でも抜くだけじゃ
OIDCだから
この記事どこにあるの
この記事は
農書に貼りますね
ありがとうございます
これかな
そうだね
普通にその環境でOIDCトークン作って
パブリッシュするっていう
だけのものを書いてるね
なるほどね
理解しました
プレリリースは変えられないんだけど
普通に
プレインストール仕込めば何でも動く状態になってるから
そのワークフロー内で
OIDCトークン作って
何でもパブリッシュできるって状態だった
って感じかな
ベタじゃないものを
何でも作るって感じだね
これさなんだっけ
OIDCのクレームを見て
プレリリースはできるけど
それ以外はできないみたいな
あれって
NPM側にあったりしない?
ないねそういう設定は
ワークフローの名前までだね
設定できるのは
もしくはもうそれ以上の制限をかけるとしたら
ステージとパブリッシュしかできないしかない
プレリリース用のワークフローを
別に作ってて
ワークフローの名前
あでも別に
プレリリースができるワークフロー
みたいなのは別にできないわけか
プレリリース用の
なんだろうな
アクセス
とか認証っていう概念が
そもそも傍下してないのと
NPMがないから
やっぱ
どうしようもないね
そもそも
一つのパッケージに一つの
トラステッドパブリッシュしか設定できないから
そこが
もうちょい
柔軟になると
いやでもな
なおよしというか
今回みたいなケースでいえば
とは思わん
でもないけど
プレリリースだったら
侵害されていいかというと別にそうじゃないから
まあねそれはそう
そこは
なんか普通に
プレリリース
プレリリースを
固定してない状態で
引っ張ってくることって
ほぼないよね
固定してない状態で
まあ基本的には
ないかな
プレリリースだったら
いいとは思わないけど
影響範囲の最小化っていう意味だと
なんか
そういうのがあればなおよしかなとは
思ったな
実際にそのプルリクエストの
その行動に対してプレリリースを発行したい
っていうニーズが実際にあるんだったら
なんかまあそういうのがあっても
ええんちゃうとは
思わんでもないけどね
プレリリースってみんなどうやって運用してるんだろうな
なんかでかいOSSとかと
でもやっぱフィードバックを
早期に集めたいとかなんだろうな
いやでもこんだけ使われてるってことは
やっぱインストールする人はいるんじゃないかな
なんか俺らが別にやってないだけで
そう思うと
そもそも論みたいな部分を
やっぱ手当てするほうが
いい気はするけどね
まあまあそうか
ちゃんと深掘りできてる
これでもPNPMインストールでさ
ブレインストールが普通に動いちゃった
っていうのはさ
そもそも多分PNPM古いよね
うーん
PNPMのバージョンは
指定されてないから
まあフルやられたタイミングで
古かった可能性はあるかな
ああそっか
アクション
PNPMアクションセットアップの
V3で
バージョン9で指定されてるやん
バージョン9?
ああなるほど
だからそもそもこれが古いよね
バージョン10だったら防げた案件か
10だっけ11だっけ
10だね
ライフサイクルスクリプト確か
V10
そうだねV10だね
いやでもこれもさ
めんどくさがってやってない人いると思うんだよな
動かなくなるから
アップロードビルドすればいいんだけど
って思いましたけど
でもそもそもさ別にニロベートも
ディペンダーボットも動いてないからさ
ああ
なるほどね
すべてが古いじゃん
そのアクションズチェックアウトも
V4だしさ
ああそっか
まあまあまあ
いやでもこれがリアルだよな
なんか
なんていうか
うーん
確かに確かに
いやー
大変だよOSS開発者
今のしんどすぎるね
ライフサイクルスクリプト
ライフサイクルスクリプト
そうだね
確かに
PnPnV10だったら防げた案件ではあるね
まあそもそも
時間がいろいろ解決するって話もあるっちゃあるかもな
何せなんか
ちゃんといろいろ開示してくれるのは
ありがたいことっすね
お疲れ様って感じですわ
なんか
うーん
まあ本人聞いてないと思うけど
なんか
まだまだやれることあると思うので
クロードコードに相談してみてください
っていう感じかな
クロードコードね
サインエコシステムアップってところ
仕事で
こういうの手当てしてて
思ったけど普通に
あいつら手抜くので
なんていうか
手抜くっていうかね
知らないんだよね
うーん
最初のやつ
ぬんは抜きにして普通に手抜く
なんかその
末端まで全部固定しろって言ってるけど
バージョンを頭でして終わりみたいな
手の抜き方したりすることもあるし
だからやっぱその
静的
その静的というか
決定論的にやれる部分はツール組み合わせないとダメだね
そうだね
黒だったらLinter使えばいいだろうし
PnPのバージョンも別に
シェル1行でチェックできると思うから
それを手足として渡して
だからそういうスキルを作ればいいんだね
関わりは
パブリッシュみたいな
ありそう
そこにまた
スッとね
ダメなスクリプト押し込んで
でも結構ね
まあね
作れんことはないけど
なんか
いやでも結構めんどくさいよ
あのね
ちょっと頭の中で今思い浮かべてるけど
なんかちょっとだるいなって思って
その
うーん
だるいものことも再現しない
静的解析でやろうとしたときに
その
なんていうか
まあいいや
はい
いやちょっとチャレンジしよう
はい
AWSマネジメントコンソールへのプライベートアクセス機能
まあお疲れ様でした
いいっすね
いやーまだまだ
まだまだ対岸の舵ではないので
頑張っていきましょう
じゃあ次行きますか
はい
extend your data pre
読めない
perimeter
perimeter
perimeter
to the AWS management console
with private access
AWSの
セキュリティ
ブログですね
記事ですね
内容としてはAWSの
昨日アップデートのブログなんですけど
こんなあるんだっていうの知らなかったので
ちょっと紹介なんですけど
どういう
アップデートかっていうと
あの
タイトルにもちらっと出てるんですけど
AWSのマネジメントコンソール
AWS利用者であれば皆さんお世話になってる
Webコンソールに対して
特定のプライベート
PC経由でしか
アクセスさせないっていうのが
できるようになりましたよっていうのが
一両で言うとそういうアップデートが
ありましたって話ですね
どういうことじゃねっていう
部分で言うとそもそも何でできる
どういうことっていうのと
何でそれが必要なのかみたいな
話なんですけど
わかりやすい例としては
例えば銀行とか
あと何だったかな
かなり固い
セキュリティを要求されるような環境
医療とかもそうですかね
においてAWS使おうとなった時に
AWSのAPIとか環境に対するアクセスが
割とその
APIキーあれば
突破できちゃうみたいな状態だと
要求を満たせないので
プライベートVPCみたいな
ものを作って
会社の
閉域網的なネットワークと繋げて
会社のネットワークからしか
アクセスさせないみたいなことが
したいっていう話があって
AWSでももともとから
AWSのAPIとか
いろんな
環境に対して
それができる機能が
あったんだけど
Webコンソールはそれができなかったらしいんですよね
なんでできないってなると
何が起きるかっていうと
2択しかなくて
1つは
コンソールへのアクセスを諦める
閉域網から
閉域網なんで
穴が開けられないので
コンソールにアクセスの諦めて
例えばAWS CLIとかで
APIを頑張って
コンソールでやりたい
そこはAPIとかCLIでめっちゃ頑張ってやるか
コンソールにアクセスするために
インターネットの穴を開けるっていう
2択を取らなきゃいけなかった
こうしたら多分現実的には厳しいんでしょうね
ちょっと想像ですけど
なんで不便になったんだけど
そこを
プライベートVPC経由で
コンソールもアクセスできるようにしたよっていう
アップデートって感じですね
なんか結構AWS全然
詳しくないマンなんで
AIとかなり壁打ちしながら
なるほどねっていうんで
理解を深めたんですけど
今言ったので
もうちょっと肉付けをすると
コンソールに
できるようになったのは
その該当のテナントの
Webコンソールに対して
そのプライベートVPCからしか
アクセスさせないっていうのが
できるようになってるらしいと
逆に言うと
例えばパブリックインターネットから
もうそのコンソールにはアクセスできない
っていう風になるんで
AWSのアカウントとか乗ってられても
その閉域網まで
そのインターネットまで侵入できなければ
コンソールは守れるよっていう話もあるし
逆にその閉域網から
例えば
自分のプライベートのAWSアカウントの
コンソールにログインしようと
したいみたいになった時に
それを防ぐっていうこともできる
そのプライベートVPC経由で
そのテナントのコンソールしかアクセスできない
って状態を作れるから
データの持ち出しみたいな
自分のテナントにAWSのデータを
エクスポートするみたいなことも
防げるっていう
恩恵があるらしくて
これ今まではAPIとかできてたんだけど
コンソールはそもそも多分
いかなるコンソールもアクセスできないって状態から
自社のコンソールにだけ
アクセスさせるってことができるようになった
っていう部分があって
そこも多分統制の面では
過大セキュリティが求められる環境では
嬉しいポイントらしい
おもろい なるほどね
なるほどなと思って
確かにそこを縛りにいく
ケースって
割と少ないような気がするな
盲点というか
全然なんか
知らない世界
というか
面白いよね
クラウド
いくら過大セキュリティとはいえも
オンプレ兵器も
絶対安全中か
っていう世界観を
クラウド使っていこうみたいな
中で譲れないラインの一つなんだろうな
っていう
これ見て思ったな
あと調べるの忘れてたけど
Google Cloudとかもあるのかな
っていうのを見たけど
えーっと
Google Cloudは
コンソールはまだ無理っぽいですね
おそらくですけど
でもAPIとかはあるっぽいな
なんか
プライベートネットワーク繋げるみたいな
記事すごい昔見たことある気がするな
それはまたちょっと
でもなんかVPC的なやつで
その
接続ができるよみたいなのは
あった気がするね
でもどっちかというと
DC間を繋ぎましょうみたいな
ああそう
確かにそうかも
ちょっと違うか
なんか
クラウド系じゃないんだけど
なんか
サービスのそのアドミンの画面を
特定のIPアドレスから
じゃないとアクセスできないようにするみたいな
機能を持ってるサービスが
あったような気がするんだけど
思い出せないな
割とメジャーなのかなこれ自体
めっちゃその
一要素であるけど
GCSとかはIP制限
あるなと思いました
仕事で
見たことがある
だからそれをクラウド全体に書きたいっす
って話だよね
いやあ
なかなか面白いな
って感じですけど
はいちょっとさらっと紹介
勉強不足でしたって感じですね
いやあクラウド作るの大変ですね
なんていうか
いろんなニーズがあって
まあでもやっぱり国約拡大っていう部分で
効いてくるんだろうなって気がするから
面白いっすね
さくら
インターネットさんとかも
画枕目指す
こういうのやらなきゃいけなかったりするのかな
もうやってたりするのか全然把握してないです
イースマップの言い訳に入ってるかとかちょっと
わかんないね
ね
はい
はいそんな感じです
じゃあ
次で
The Open Source Malware Show
19
ということで
チームPCPメンバー逮捕とOpenAIモデルによるハッキングフェイス侵害
記事ではあるんですけど
何の記事かっていうと
オープンソースマルウェアショーとは何なのか
オープンソースマルウェア.
comっていうサイトがありましてこれ
なんか何
で見つけたか覚えてないけど割
と
何でしょう
サプライチェーン攻撃とか
インフォスティーラーとかのレポートとかを
結構ブログで出してて
おそらくサービスを提供しているような
会社のメディアっぽいんですけど
それの
ポッドキャスト19回目の
まとめ記事みたいな感じですね
その記事
全部触れたわけじゃなくて
チームPCPの逮捕について言及があったので
その話だけピックしたくて
なんでぶっちゃけこの記事じゃなくてもよかった
しなんならノーションの方には
クロードに
チームPCPの逮捕に関する記事
全部まとめさせて
裏取りにさせたものを
コピペしてるんで
興味ある方はそちらをご覧ください
って感じなんですけど
めっちゃしゃべることはないっちゃないんですけど
ちょっと気になったんで
ばーっと調べて概要だけかいつまんで
って感じなんですけど
何があったかというと
チームPCPの
メンバーとされる
アクター2人が
オーストラリアかな
オーストラリア逮捕されました
っていうのがニュースとして
上がってきましたよと
名前とかも特定されちゃってて
21歳と23歳の男性が
特定されてますと
なんだろうな
っていうふうに
まあまあ在場は
言わずもがなではあるんですけど
ここでも散々話してる通り
チームPCPによるサプライチェーン攻撃って
結構な範囲の被害が
出ているんですけど
今のところ
いろんなメディアの記事を
見てる感じだと
本人たちの証言によると
攻撃は成功してるんだけど
200ドル
だっけな
忘れた
2万ドルか
2万ドルぐらいしか儲けてないよみたいなのが
あるらしくて
攻撃の規模に対しては
結構しょっぱいというか
全然別に大金ではあるんだけど
2万ドルって言うと300万ぐらいですか
300万ぐらいしか
稼げてないっていうものが
あったり
っていうのが
なるほどなというのと
あともう1つは結構この2人が逮捕された経緯を
見ると
本当にざっくり言うと
結構アキが甘くて逮捕されてる印象が
何かっていうと
2人が使ってるソーシャル
SNSのアカウントとか
ウェブサービスとか
に割と
がガバガバというか
ここのアカウントとこのアカウントと
ここの部分が一致してるから
こいつじゃねみたいな感じでたどっていったら
逮捕できたみたいな感じっぽくて
結構アキが甘い印象が
あるなっていう
があるな
っていうのが
僕の初感って感じなんです
思ったこととしては
この記事か別の記事かでも
言及されてたけど
割と若いブラックハッカーで
かつアキが甘いことを
見ると
この世界で
アンダーグラウンドで
バリバリ犯罪やってきましたっていうよりかは
AIエージェントなり支援を借りて
ガーって成功したみたいな
印象があるんで
一方で世間の
探す方とか攻撃の被害
規模を見ると
悪い意味でポテンシャルの
大きい攻撃手法だな
というのがサプライチェン攻撃自体が
思ったな
っていうのと
あとはこの儲けが少ない
っていうのは
最初はおおと思ったが
これはこの攻撃者たちが
うまく活かせなかっただけで
別にコスパ軽い攻撃
ってことには全然ならないだろうな
っていう部分は思うんで
あんまり
儲ける方向に
いってなかったよね
根こそぎ取れるものは
抜いてたっていう感じではあるけど
超マネタイズに走ってた
っていうイメージはなかったので
そうだね
実際どういう動きがあったか分かんないけど
取れた情報の
ものを考えると
自分たちそれ使って
頑張って掘るとかじゃなくてもさ
別の脅威役体
というか
ブラックマーケットで流すだけでも
結構
お金儲けられないもんなのかな
とかちょっと思ったりしたな
またランサムギャングとかが
これに目つけて初期進入経路として
ガッツリ活かして
頑張ってくれ電車手元に貯めてとか
そういうのとかは普通に嫌だよな
とか
もしこんだけ簡単に
できるっていうのが継続するなら
って話ですけど
そんな感じですね
チンピーシーピーのメンバーが
これで全員かと言うと全然
それに関してはどこの記事にも言及がなくて
分からんって感じですね
そこは
まだいるんじゃない?
分からんけど
関係者って意味で言うと
絶対2人には留まらない気は
なかなかする
逮捕されたことは
いいニュースというか
叱らべき罰をという感じですけど
油断せずにいきましょう
って感じですね
じゃあ次は
ハギングフェイス
ハギングフェイスインシデント
アンダーローダーヘッド
オープンAIの記事ですね
何かというと先日あった
オープンAIのモデルが暴走して
ハギングフェイス侵害しちゃいました
テヘペロのポストモーテムです
かなり詳しくて
めちゃくちゃ長いんですよね
長いんで
ちょっと全部を話すことは
しないし
なんなら全部をきちんと理解しきって
やってる自信がないんで
気になったところだけ
かいつまんで話せばという感じなんですけど
今までの情報だと
話としては
オープンAIが内部
社内で未公開モデルみたいなのを
能力検証するために
ハギングフェイスの
スコアボードのスコアを高く取るように
動いてるっていう風に動かしてたら
自分たちでオープンAIで動かしてた
自分たちを閉じ込めてるサンドボックスの
脆弱性を見つけちゃって
パブリックインターネットに出れるようになって
パブリックインターネットに出た上で
ハギングフェイスのゼロで特定して
侵入してハギングフェイス側で
アラートが上がって
攻撃だって思ったらオープンAIが
私でしたっていう
そんな感じの流れかな
と思うんですけど
そこから差分みたいなところ
かつ世でもちょっと注目されてる部分で言うと
一つは
モデル 社内で動かしてるモデル
っていうのがめちゃくちゃたくさん
動かしてたっていうのがまず一つあって
なんかで見たのは
1200とかすごい数並列で
動かしてましたと
ただ
日本のニュースにもなってたよね1200
本当
じゃあもうみんなの目にもきっと届いてる
数字ですね ただこの1200の
モデルが全部強調してたかというと
それぞれで
動かしてたっていう
つもり オープンAIはそれぞれで動かしてたつもり
だったんだけど
まずその
ファーストステップとして
1200のモデル間で
とあるシステム
自分が動いてるシステムの
とあるソフトウェアを
ハックして
それを掲示板みたいに使えば
モデル間で情報
共有できるじゃんみたいなことに
どっかのモデルが
気づいて
モデル間でまず
ソフトウェアを掲示板側に使って
強調し始めたっていうのが
まず一つあって
これはオープンAIが
意図してないことだったらしいですと
その掲示板経由で
1200のモデルが
お互い協力して
サンドボックス脱出できそうだぞみたいな
のあるモデルが
見つけて それがバーっと横に
伝播しちゃって
下りの事件が起きました
ちなみに記事だと
掲示板の実際の内容が
めっちゃ書いてあって
カジュアルに話してるな
っていう感じでちょっと気になる方
読んで欲しいんですけど
リリットの掲示板みたいな
テンションで
モデル間で会話してて
なるほどね ってちょっと面白いなと
読めますって感じですね
あとは前の情報になくて
僕は未把握だったのは
ハッキングフェイスに
侵害した後に
オープンAIの
社内の管理システム
具体的には
クマネテスクラスターにも
侵入して管理者権限を取りに来ちゃったらしくて
オープンAIでは
そこで社内のアラートが鳴って
誰かが掲示室に侵入してるぞみたいな
見に行ったら自社のモデルでした
みたいなのを検知してたらしくて
なんで
自分たちも結構
どこまでヒヤリ張ったのかはわかんないけど
自分たちが動かしてるモデルで
自分たちもやられてたっていう部分が
あったらしいというのが
超ざっくりとした
事件専用という感じですね
原因に関しても言及があって
ここは前も
書いてあったかもしれないですけど
一つは
報酬のハックみたいな部分で
このベンチマークの値を上げてね
って言った時に
成功法でやるんじゃなくて
ベンチマーク自体の値を書き換えに行けばいいじゃん
っていう風に
目的を変えてしまった
手段を変えて
意図した手段からずれてしまったみたいな部分と
あとなるほどなっていう部分
としては
結構答えがない
めちゃくちゃ難解な課題っていうのを
モデルたちに渡してたらしいんだけど
そこに対して
諦めずに考え
過剰に考え続けるみたいな行動を取ってしまって
その結果として
どんどんどんどん
行動がエスカレートしていった
みたいな部分があって
そこは対策として
ある程度
ある程度やって
わからんかったら降参させるみたいな
ところはガーディレールとして入れないとダメですよね
みたいな部分が研究でして
なるほどねみたいな
結構
クロードのゴールコマンドじゃないけど
やりすぎると
こうなるみたいな話なのか
どうなんでしょうっていう感じですけど
かなり
その辺詳しく研究があって
っていう感じでしたね
はい
そんな感じです
まあ
Notionに書いてくれてるけど
結論どうすればよかったのか
結構僕も分かんないですね
この記事を
報酬系のハックが
報酬系というか報酬のハックが
できないように
要は評価の仕組みを
AIの手の届かないところに置くっていうのが
多分正攻法なんだけど
でもこれの場合評価の仕組み自体を
ノットにいってるから
どういうやり方すればよかったのか
ちょっと分かんねえなとは思いますね
そこまでやられちゃうと
なんかちょっと
思ったのはこの
1200個のモデル
公開してないような
最新鋭の1200個のモデルが強調したら
まあそれはサンドボックスも出るか
みたいな気持ちはあって
なんか
自社で同じことを起きることを
過度に恐れる必要はもしかしたらないのかな
という気もせんでもないが
分かんないな
という感じですね
でもなんか別に
分かんないけど
ブラン側に倒したサンドボックスではなかった
と思うんだよね
少なくともね
まあ目的とか
いけいけどんどんな作家の雰囲気を見ると
なんか自分たちでブレーキ掛けようぜ宣言してるぐらい
だもんね各社が
なんていうか
マッチポンプ感がちょっとあるけど
結構
モデルが一番最初
LLMが一番最初に出たときにさ
なんか話してたその
なんだろうな
どこまでいっても不確実性が
残るというか
プロンプトインジェクションの話とかで言うと
ペイロードを分けない限りみたいな話があるけど
現状そうならんとかさ
そうなったときに今までのセキュリティの常識で
常識から脱さないといけない
部分があるんじゃないかみたいな話を
した記憶があるんだけど
モデルがねなんか
そのいわゆる従来というか
旧来の考え方みたいなのが
まあそのまま通用しない部分が
めっちゃ多いよねみたいな話をした記憶が
あるね
そういうのをちょっと
今思い出したりしたな
対策
このインシデントウケートの対策を見ても
なんだろうな
障害が起きたときに
再発防止で現状
起きないようにするみたいな
手がやっぱないようには見えてて
その
モデルに対してモデルで対算者的な
視点を入れるとか
そもそも
解こうとしてる課題が01ではない以上
なんていうか
そこに対してじゃあ
原理上
絶対大丈夫なカードレールみたいな
作るのは無理なんだろうなと思うと
なかなか難しい課題というか
まあなんか
ハーネスを与えてこういろんなものに
アクセスさせようとする限り
多分この問題には付き合わないといけないはずで
ただなんかその
異常見知というか
あの
振る舞いに対して何かおかしいと
っていうのをさ
判断する技術っていうのは
EDRとか
しっかりこれまでも
結構発展してきてるわけだから
方法論的にはそっちより
なんじゃないかなとは思うけどね
確かに確かに
そうすると今度それらを無効化
しにくると思うから
いやいやイタチコッコが始まると
なるほどね
手も届かないところに
じゃあそれをどう配置して
どう動かしますか
みたいな話になってくるんじゃないかな
きっと
確かに確かに
確かにボタン連打してるわ
いやーおもろい時代だな
おもろいのか
大変な時代だな
はい
そんな感じですね
こんな詳しくポストモデル出してくれてありがとうございます
モデル
ALM詳しいマンからしたら
多分もうちょっと喋るべきことがあるのかもしれないですけど
僕の知識だとこれぐらい
うーん
まあこんなもんかな
なんかでも
あんまちょっとさすがにまだあれかな
こう
僕らの世界に降りてくるような話じゃない
っていうかなんか
ちょっとあんま想像つかないレベルの話かな
そうだね
同じことを誰もができますかと言われると
ちょっと違うような気がするし
そうだね
一方でなんかポテンシャルはあるわけで
うーん
1200モデル動かしたら破産しちゃいますよ
そうなんだよね
うん
はいありがとうございます
えー
次は
PureLogで
実在するセキュリティ担当者を予想った電話が
かかってくる攻撃についてまとめてみた
という記事ですね
実在担当者を装った電話攻撃とその防御
なんかさらっと話せばって感じなんですけど
あの
ものとしては
海外かな
海外の会社に
アメリカですね
アメリカの会社に対して
従業員を標的にしたソーシャルエンジニアング攻撃を
受けましたよって発表があって
どういうソーシャルエンジニアング攻撃だったかというと
その自社の
えー
従業員かな従業員を予想って
このページで
ログインしてね
みたいな案内をして
なんかなんか
昔のスキャッターズスパイダーとか
最近の社員ハンターズがやるような手口の
攻撃だと思うんですけど
狙い撃ちしてサポート的な要素って
ログインさせて
ログイン情報を脱出して
接種して
社内真実みたいなやつだと思うんですけど
結論これが防がれましたよ
っていう話ですね
なんか防がれた理由が多々って思って
それだけさらっと話せば
いいかなと思ったんですけど
結論から言うと
その従業員
攻撃しかけられた従業員は騙されちゃって
パスワードを入力して
攻撃者の手にパスワードを渡っちゃいました
っていう状態だったんだけど
じゃあ何故防げたかっていうと
その
侵入しようとしたシステム
の認証の要素の
一つにデバイストラスト
この端末からしかログインさせない
っていう制御が入ってたので
攻撃者は侵入できませんでした
っていう話
だったらしくて
なんか端末ベースのアクセス制御
昔からある
手法だし
だと思うんですけど
シンプルに強いなと思ったというか
人間は騙されちゃってるけど
そこで防げてるっていうのは
普通に
この会社としてはやってて
良かっただと思うし
他山の意思として
やってみるんだったら
結構一つやる価値があるというか
全システム何でもかんでもとか
難しいと思うしトレードオフもめちゃくちゃある
仕組みだから
IDPとの連携が
できないとみたいな話も
あるから
そういう論点ありつつ
でも取り出の一つとしては
強いなっていうのを思った
っていう感じですね
これ多分突破しようと思ったら
今回は2000ログインページを
引っ掛けようとしたけど
あれかな
リモートでパソコン操作するようなものを
インストールさせて
それのアクセス権を取るとか
そこまでしないと今回のケースは攻撃成功しなかったと思うし
そうなると結構
ハードル上がると思うんで
地味だけど強いですね
っていうのを
さらっと紹介という感じでした
やれたらいいとは思うけど
運用絶対大変ですよね
僕はあまり経験がないですが
さっき言ってくれた通りIDP使ってないと
とかもあると思うし
あとは
エンロールメントの
部分次第なんじゃないかな
自動で
その要は
IDP側のアカウントに入れれば
もうその端末は
登録できましたよみたいな状態にする
だと
多分そこが一個弱点になるし
でも運用は楽だしみたいな話も
多々あると思うし
奥田の運用側はやったことないから
何とも言えないんだけど
いやでもそうだね
そこ自動にしないってなると
もう多分事前にあなたの端末なりとか
もう
承認されるまで待たないといけない
っていう感じかな
あとは
名前書かれてたけど
デバイスエンロールメントプログラム的なやつかな
これはもう会社が持ってる
端末ですよっていうので
先にエンロールメントしておくとか
あるとしたら
そうだね
いや
この会社どんくらいのキッパーだったんだろう
でもあれだね
セキュリティのサービスで手掛けてるとこだったから
それ待って買ったかったのかな
レリアクエストっていう会社
みたいですけど
会社の規模が
1300社以上の顧客を持つって
ジェミニ君は言ってます
すごい
そうですか
すごいね
社員数1000人
ユニコーン企業
いいな
やることやってるなっていう
やることやってるね
こういうニュースが出せると
攻撃されたことしては
とにかくどうして
普通にいいよね
企業としては逆に
どうだろう師匠がどう聞いてるかわかんないけど
うちはこういうの入れてたんで
防ぎましたよっていう
言えるっていうのはいい話ですね
いい話ですね
ありがとうございます
じゃあ最後
DNA社による内製IDPへの移行（第3回）
またIDPの話題ですね
さらっとですけど
DNAのブログで
奥田から内製IDPへの認証基盤移行
第3回
1回と2回両方話したか忘れた
1回は話した2回目はとりあえず
忘れたんですけど
その第3回
前3回のうちの最終回
っていう感じですね
そもそも何のシリーズかっていうと
DNAさんの社内では
奥田社内のメインのIDPとして
使ってたんだけど
いろんな理由から社内で内製したIDP
へ移行することを意思決定して
1回2回では
その意思決定の背景とか
どうやって開発してどういう体制で
マイグレーションしていったか
みたいな話なんですけど
この回では
マイグレーションした後に
どういうふうに
移行の話もちょっとあったかな
移行したときに何が起きたかとか
移行後の運用みたいな話とか
また
システムへの運用ですね
オブザーバリティとか
そういう部分どうしてるか
みたいな部分を
話してくれたという感じですね
めちゃくちゃ
気になる方は読んでください
という感じなんですけど
1つ
良さそうだなと思ったのは
もともと多分
第1回で触れられてた
オクタとか既製品では
満たせない要件みたいなのを自分たちで
作り込めるみたいな部分が
価値としてありそう
みたいなのがあって
その部分にちょっと言及があって
具体で言うと
どの辺で
思ったんだっけな
カスタマイズ要素みたいな
あんまり
この記事自体には出てきてないよね
カスタマイズ要素の話とか
そうだね
この移行後の運用における計算的な改善活動
みたいな部分を読んだときに
資産管理システムで
端末のセキュリティツールが動いてるかどうか
みたいな
これがステタスが正常じゃない場合は
IDP側を無効化するみたいな
ところを構築したり
しました
これは結構
企業スペシフィックというか
社内の資産管理システムと
IDPを連携させてる
どうなんだろうね
アカウント丸ごと止めに行くんじゃなくて
それこそデバイストラスト的な仕組みで
やれんのかなとはちょっと思った
確かにね
ちゃうけどな
その辺は会社により気になるんで
私物PCからのアクセス制限
これはさっきの話だよね
デバイストラスト的に
これは奥田にもきっとあるんだろうね
DNAぐらいでかいと
キッティングみたいなのも
もし社内で内製化されてると
そこのパスの先にIDPを繋げられるかも
とか思うと
いろいろ
なんだろうな
細かい部分で
滲み出る良さはあるのかもな
っていう妄想をしたわ
もちろん奥田とかでもAPIめっちゃ充実してるとは思うんだけど
細かいやつ
あるじゃん現実の
このパラメータがないとな
とか
このAPIだけないんだな
みたいな
そういう時に作っちゃえばいいじゃん
とかは
これぐらいの規模になると便利なのかな
とかはちょっと
どうなんだろうね
なんか2年後3年後が
見たいですね
なんか2年後3年後見たい
ラベル欲しいなそろそろ
そういうの多いよ
ユーザー企業系の記事は
でも上手くいってれば何も出ないだろうし
上手くいかなかったらきっと奥田に戻しました
みたいな記事が出るんでしょうきっと
そうだね
8月に収録でしょ
去年の9月に
第1回のブログが出てるから
どうなんでしょうね
いつ移行したんだろう
第2回とかに書いてあったかな
スケジュール
結構そんな
短期間で移行したんだ
みたいな思ったんだけど
どうなんだろうね
結構これに張り付いてないといけない
人が
なんか多いような気がするから
そうだね
でも去年の3月には
基本機能完成して稼働できる状態で
並行稼働して
でもチーム規模もめっちゃ
小っちゃかったんだよね
そうだね
AIの
活用で結構上手く
いってるのかもしれないですね
うーん
それはそれでなんか
いやでも結構
これでずっと上手くいったら結構夢あるような
そのオクタニウムDNAキロの規模だと
いくら払うのか想像できないけど
それと
仮に10人チームで
しかも刑務とか考えると
8人チーム
運用5人
運用8人でやりますってなった時に
8人の人件費プラスAIの費用で
もし
ペイするんだったら
まあじゃあ経済合理性だけ考えると
そっちの方がいいよねっていうのは
全然あり得るかもしれない
サースウィズデッドじゃないけど
うーん
まあ分からんな
なんかそれは分からんな
なんて言ったらいいんだろう
まあセキュリティも
そうだけどその
多分インフラ系のチームなんだよね
これもねやってるので
インフラ系の人も入ってるって感じかな
なんか結構いろんな部署から
インフラから3名
刑務って感じ
なんかその体制をずっと維持できるのかみたいな
なんかトピックが
まずあるなと思ってるのと
要はなんかこういう共通基盤みたいなものって
なんかこう体制変更とかで
浮きがちだよねみたいな話が
まあ個人的にあるかなって思うのと
なんか
まあそういうのがある中で
体制維持できるのかっていう今話した話と
あとはなんかその
セキュリティもそうなんだけど
なんかインフラとかも
多分そうだと思ってて
スケーラビリティの観点で
見た時に基本的には
仕事を減らし
自分たちで動かないといけない仕事っていうのは
どんどん減らしていかないと
勝手にやることがどんどん増えていく
類のものだと思ってるから
あえて
そこを抱えにいくっていうのが
オクタだとしてもいろいろ面倒見ないといけなかった
っていうのがきっとあると思うから
そこを比較してどうだったのか
ちょっと分かんないんだけど
なんか
そこで
確かに
もうちにいった結果
どうだったの
そこにある程度リソースを定常的に
貼り付けておかないといけなくなったっていう
ところに対して
答え合わせがどうなるかっていうのは
まして今の時点では分かんないなっていう
気はしますね
確かにね
なんか
落とせないじゃん
落とせないね
めっちゃ
斜めの発想だけど
DNAだったらもはやこれ作り込んで
社外でも売れんじゃんみたいに
なり得るのかな
でもそういう話になってくると
今度は
簡単な話じゃないけど
弊社の
いろんな人と
議論させてみたいですね
国内では
変形さんとか
先行の強豪さんがいますけど
まあまあ
第3回お疲れ様って感じですね
待ってましたって感じです
なんかでも
外に売れるほど個別性がないんだったら
別に内政選挙でよかったんじゃない
って思っちゃうし
まあまあそもそもね
まあ確かに
いやー
今日はそんなところですか
ういっす
いやーまあまあまあ
平和なのか平和じゃないのかなと思うんですけど
まあなんかちょっと平和だよね
まさくらが大変そうだけど
ああそうだね引き続き
中野人お疲れ様って感じですね
今日もどこかで
雑談：インフルエンザワクチンと子供の注射
インシデントって感じ
いやーもう9月ですか
あのー
風邪ひかずにやっていきましょう
自分に言い聞かせてますけど
ちょっと喉がカラカラなんで
インフルがね流行ってるらしいんで
どうして
流行宣言ですよね
えーまじで早くない
関西は多分まだなのかな
シガー
どうなんでしょうね
まだなんかニュースは見てないけど
いやーちょっとワクチンいつ頃から
なんか出だすっけ
打たない
なんか今打っても
みたいな話は多分あるよね
確かに
あのー
毎年その通ってる内科で
張り紙が出て
ああそんな季節かって
10月11月中旬ぐらい
なるほど
自分もそうだけど子供も打たないとちょっとまじで
地獄なんで
そうだね
あのー
5秒雑談なんですけど今子供の
インフルワクチン注射じゃなくて鼻
手で1回なんですよ
超羨ましいと思って
なんで大人はできないのそれ
分かんない
でもね何歳以下だっけな
12歳とか
いいなと思って
めちゃくちゃ羨ましいと思って
試しに行ってみれば
俺もそれがいいっすって
あー
19歳未満だ
19歳未満が
いけるんだったら大人もいけそうだけど
なんで大人
いけないんだろう
何がダメなんすか
食い下がってみてください
海外では
日本国内で認可が
承認がされてるのが19歳未満らしい
だから
自由診療だったら大人にやる
ってところもあるらしい
あーなるほどね
ジェミニア言ってるけど本当か
本当かどうか分かんないけど
ジェミニアだからな
怪しいっすね
成人にはいかない
なんでだろうね
不思議だね
効果が違うのかもしれないですね
順次
あれしていくかもしれないけどね
その感じだったね
そうだね
正式承認されてる
あー
はい
そんな感じで皆さん
備えのとこ備えて
体調に気を付けてやっていきましょう
私たちへのお手紙
アザラさんへのお手紙
何でもお悩み相談待ってます
特にねアザラさんに
聞いてみたいことが
あれば
そっちの方がむしろ今は欲しいですね
直近はね
はい
それで言うと収録が
7日の予定なので
うん
バックスクでこれ配信して
急げって感じですね
お願いします
お願いします
そんな感じで皆さん来週も楽しみにしてください
おやすみなさい
おやすみなさい