第13回雑談しすぎの定期変更強制しない！スペシャル

00:01

バックグラウンドとして打ち込んでいる側のボス数が増えている?

打ち込んでいるボス数が増えている。

MS-17010のパケットが増えている。打ち込んでいる側のIP?

そうそう。見方はこれです。

ということは感染数が増えているということですか?

ずっと増えている。

コンフィッカーも消えていないですか?

一時期12月くらいに少し落ち着くかなと思ったんだけど、全然またずっと増えている。

なんでなんですかね?

え?なんでなんですか?わからない。

あと面白いのは週末になったら減るんだよね。

攻撃の数が。それは電源切っているからじゃないか。

電源切っているから、そうそう。WindowsとPCだからだなと思って。

そうそう。僕も新卒で入った会社ぐらいか10年以上前で、スノートEにおいていろいろ見てたんですよね。

グラフ化したりとかするときれいに土日は落ちるし、あと昼休憩でもちょっと落ちますね。

これ、9月から3月までのグラフだけど、落ちているのが週末で。

はいはい。ちょっとずつ上がっているんですね。

ずっと上がっている。今1ヶ月に7万台くらい増えているんですか?

7万台ペースで増えている。

増えている。

1ヶ月にユニークな後で数が6万台くらい。

罠くらい終わらないってことが言いたかったんですけど。

そうそう。

ということで始まってます。

始まったんですか?

え?マジで?

始まってます。

全然始まっていない話になったんですけど。

始まってます。

始まってました。

始まってました。これ1ヶ月ぶり?

1ヶ月ぶりでしたっけ?

割と最近やってるような気がしたんですけど。

いや1ヶ月前だよね。

T-SOCKで。

うちで撮ったやつ。

思い出したんだけどさ、これ4月で

ポッドキャスト始めて1年経ったね。

おめでとうございます。

ちょうど前回公開したやつが第12回でしょ?

ペース的に言ったら、前も話したけどペース的に言うと

月1回くらい。

前ちょっと年始めでしたから2ヶ月空いちゃいましたけど。

無事に1年遅れましたね。

前回3月5日に公開してます。

1ヶ月以上経ってますね。

どうですか?最近。

雑なふりになるじゃん。

雑ですね。

今日はいつものようにも綿密な打ち合わせじゃないじゃないですか。

してないじゃないですか。濃厚な打ち合わせをしてないから

ちょっと探り探りに行こうかな。

2月のパネルディスカッションを思わず思い出してました。

2月のパネルディスカッション?

さあ自由に喋ってくださいみたいな。

あったわ。

何それ?

2月といえば何の月ですか?

2月といえばサイバーセキュリティ月間。

最初のやつ?

03:01

最初って特典できますよ。

すごいパネルっていうのがあって。

雑なやつ?

雑じゃないです。すごいパネルっていうのがあって。

一応打ち合わせあったんですよね。

2回ぐらい。

やってるじゃんちゃんと。

2回やったらああいう感じになる。

じゃあ自由にどうぞって。

いいね。

すごかった。

喋りまくればいいじゃん。

嫌な。

本当に一瞬パネルやるの嫌だったからこの人って。

投げ出したみたいな。

びっくりしたびっくりした。あれほんまびっくりしました。

そんなのあるの?

人生で2回目に第1位、2位を争うぐらいの感じでした。

本当?

それはびっくりするやつ。

それは相当だね。

過去に1回すごいパネルってのがあった。伝説のパネルってのが。

鶴さんはどうですか?

鶴さんなんか青たんびに髪の色変わってるよね。

そうなんですよ。

もはやなんかもう。

今何色に見えます?

銀?白?青?

青かな?

白っぽい青びがかった。

そうこれ失敗したんですよ。

いい色。

別れにはいかない。

白にしたんですよ。

失敗したのそれ?

違う違う。僕がやらかしたんですよ。

白にしたんですよ。1回。

それなりに変わってんのそれから?

違うんですよ。ちょっと試しに家でカラーバターやろうと思って。

シルバーの。色付きのトリートメントみたいなもんですよ。

家でやったの?

家でもやった。美容院で白くして。

家でもやった。やったんですよ。

それが失敗した?

それがシルバーが白なんで、もっくそ色が入ったんですよ。

思いっきり色が入った。

ベースが白だったから?

そう。だからそれが落ちない。

せっかくいい感じの白やったのにね。

なんでそれでそのまましなかったの?

なんで家でやろうと思ってたの?

ちょっと調子乗った。

調子こいた?

白やから色んな色やって、洗ったら落ちて。

できるかなと思ってやったらダメでしたね。

最初写真でこういう感じの色やったんですよ。

俺これどっかで見た。

Facebookだったかな?

インスタかな?

なんかで見たから白だと思ったんだけどさ。

今日見たらまた違ってるからあれ?と思って。

また変えた?

ちょっとね。変えたわけじゃないんですけど。

この色だったんだ。美容院でやったら。

そう。

だいぶ白ですよ。

白だね。

驚きに白さが。

漂白剤みたいなのになっちゃいましたよ。

また白くて。

これでしょ?

これが良かったわけ?

もっとやればいいじゃん。

ちょっと時間を置かないとダメかも。

それやっぱりホワイト色を出すのが何か。

理由ですか?

所属組織的には。

どういうこと?

ホワイトなんとかみたいなやつ?

ホワイト学割みたいなやつ?

違う違う違う。単に白髪のやつ強いっていうイメージからです。

06:04

白髪系的なやつ?

白髪キャラ。白髪キャラってあるでしょ?スラムダンクでしょ?

白髪キャラ。

あとあれですよ。先週から東京ブールのアニメがまた始まりまして。

第3期というか。それの記念で終わるんです。

ずっと今年そのまま?

いやどうかな。怒られんじゃうかなと思ってるんですよ。

怒られてないんですか?

分かんないですけど。

誰に?

分からないですよ。偉い人とか会社とか。

怒られないでしょ?

今のところ大丈夫です。

でも怒られなかったら既に怒られますからね。

え?怒られなかったら既に怒られてる?

はい。

どういうこと?

特にそんなに変わってないもんね。

本当ですか?そんなに違和感ない?

はい。

良かった。

結構しょっちゅう色変わるじゃないですか。青とか赤とか。

赤あったかもしれないですね。

赤あったあった。

一年くらい前?

ここ一年くらいは銀髪系っていうか。

アッシュ系?

アッシュ系が。

もう見慣れたよ。

あ、マジですか?

じゃあみんな麻痺してる感じ?

白くても平気だと思う。

マジですか?そうしようかな。

俺がまたドレッドヘアとかになるかもしれないですね。

人は無理です。ドレッドってめっちゃ伸ばさないとダメですからね。

いいから縮むじゃないですか。巻いてるわけやから。

これ何の話してんの?

すごいですね。

このままいってええんちゃうかって気になってきたんですけど。

導入です。

3月にね。

急に何の話?

思い出したんですよ。

ふつふつと。

ふつふつ。どうぞどうぞ。

確定申告してきたんですよ。

急にまた関係ない話。

確定申告ね。大事ですよね。

確定申告って色々やり方あるじゃないですか。

書類出すとか、そもそも税率さんに全部頼むとか。

そこは相談員みたいな人がいるところで、何々区と何々区と何々区の人はここで来てくださいみたいな。

JM署以外のところで。

並ぶやつがあるんですけど。

行くときに寄りますけどね。最終日近づいたらもう2時間とか並びますよね。

行くとでも色々書類これがありましてみたいな感じで。

これじゃあ入力してくださいって相談しながらできるんですよ。

楽っちゃ楽なんですよ。時間さえあれば。

ETAXってシステムあるじゃないですか。

入力するウェブのインターフェースみたいなやつあって、それに入れていくんですよ。

別にそんなに事業をやってるわけじゃないから、難しくないですけど僕の場合は。

入ってきたお金と税金がこんだけでとかっていうのを入れるぐらいのものなんですよ。

あとはそれが何に当てはまるかみたいな。

最後に、ETAXやったことあります?

ETAXだって、ETAXっていうのは。

コンピューターから入力したことあります?

あるけどそれETAXとは言わないでしょ。

ETAXってカードリーダーでやるやつがETAXでしょ?

カードリーダーでやるんですよ。

カードリーダーはやったことない?

09:01

ないです。

書類をウェブで作るってのはやったことある?

それじゃないやつ。

ETAXはない?

あります。

私、税務署に行ったらそれ。

ありました?

税務署でETAXのシステムを使うと。

じゃあこれで最終的にOKですみたいなボタンを押したことがあるんですか?

払うボタンですよ。

押したんですよ。

で、バンって出るんですよね。

追加で、いくらですと。

帰ってくると見るじゃないですか。

取りすぎてましたか。

カンプ金いくらですみたいな。

そうじゃなくて、追加で払ってくださいねっていうのが来て。

で、意外と3月15日までにとかっていうやつなんですよ。

あれ多分それまでで払えへんかったりとかしたら多分追加されるんですよね。

追加というか。

円帯金がかかったから。

で、最後のボタンをピッと押したらパーンって出てくるんですよ。

パーンって。

おーってなるじゃないですか。

おーこんだけ払うのーってなるじゃないですか。

なんかどっかで行ったことあるなと思ったら、ランサムウェアとあんま変わらへんの。

え?

ランサムウェアと見た目が変わらんなっていう。

金額的にってことですね。

油断してて終わったよって押した時にパーンって出てきて、金払えって出てきて。

金払えっていうか、もともと払わなきゃいけないお金なんですけど、

お金を払ってください、期限いつですみたいな。

ビットコインテリアみたいな。

ビットコインって言ったら完璧ランサムウェア。

ランサムウェアっぽいなって。

インターフェースもポップアップで出てくるし。

ワナクライみたいな。

ワナクライはいつまで払えんかったらバイナルとか書いてあるじゃないですか。

税務署に怒られんぞ。

ランサムウェアと同じしたら。

方式画ですよ。

という気持ちになりました。

という気持ちになった。

本来払うべきもののはずなんですけど、

後からポップアップされると、

ランサムウェアあるわーって思いながら返ってきた。

っていう話です。

長かったですね。

長かったね。

この話するとこなかったから。

これだって例えばIDメディアのパネルでできないでしょ。

確かに。

だからなんやねんってなるじゃないですか。

しかも高谷でさえ時間短いと言われてんのに。

ポッドキャスト向きの話だぜ。

前回は言ってなかったんですよ。

何が?

確定人口。

前回の週末の時は。

絶対どっかで言うたろうと思ってて。

ランサムっぽいなと。

ランサム身あるわー。

今日は何の話ですか?

何の話ですか?

いろいろ案はあるんですけど。

何行きますか?

上から行きますか?

好きなところどうぞ。

定期変更行きますか?

パスワードの定期変更。

12:00

今は少し落ち着きましたけど、

1、2週間前は結構自分が見てる範囲では

コメントとか意見いろいろつぶやいたりしてる人。

そんなに話題になるきっかけが何かあったっけ?

定期変更は強制すべきではないっていうのが

ニストの文章番号忘れましたけど出たじゃないですか。

それきっかけでちょっとワーッといじり広まりましたよね。

それでも去年の話でしょ?

それ去年十何年ぶりに改定されたから

それに合わせて作った人のインタビューとかも出てたしね。

公開しているみたいな。

時代が変わったからね。

それに合わせていろいろ求める、要求するものも変わるのは当然だと思うんですね。

一人が使うウェブサービスの数も変わりましたしね。

全然違いますね。

今回それが話題になったのは何?

きっかけなんですかね?

3月のちょっと具体的に言うとあれだったんですけど

26とか27くらいに日本経済新聞という新聞がありまして

そこでパスワードを頻繁に変更はNGっていう意味だし

総務省が方針変更しましたよっていう報道をしたのがきっかけなのかなと思っていて

だから役所がそういうことを今までだったら定期変更、定期変更って言ってたところが変わったから何事だと。

そういうことか。

実際消えたのは3月1日の総務省の運営している情報セキュリティ関連の情報を取り扱っているサイトから

技術が消えましたよっていうのが1日にあって、それを月末に報じられて

みんな新しく追加されたらともかく消えたってよく気がつくね。

そういう報道でもなかったら気がつかねえわ、俺。

よく見てるよね、改ざん検査みたいな。

してんのかな、そういう更新チェックみたいな。

何か気づいたんだろうね。

昔のウェブサービスとかでもありましたよね、RSSとかじゃなくて

ページの変更があったら更新通知を知らせるとか。

そういうツールを使ってたりするんですよね。

そういう話題になるようなページは。

だからじゃないですかね。

でね、総務省のやつって定期変更はNGと書いてないじゃないですか。

消えただけでしょ。

消えただけだと思うんですよ。NGというのが追加されたわけじゃない。

その辺もネジ曲がって伝わっていくんじゃないかなと思って。

定期変更しなくていいっていうのは分かるんですけど、

それだけの話じゃないじゃないですか。

今まで散々パスワードについての議論してきたような気がするんですけど。

そうね。

使い回しもしてたらダメやし、

15:02

あと弱いパスワード、破られやすいパスワード、短いとかね。

そういうのを忘れて何もしなくていいんだみたいな感じに伝わったら良くないなっていう心配。

でもこれ難しいんだよね。

きっかけになったっていうさ、日経さんのニュースもそうだけど、

テレビとかもそうだけど、

変わったっていう部分だけ、

そういうとこだけがみんなの視聴者とかの目を引きやすい部分だけが

センセーショナル感を取り上げられるっていうのはある程度しょうがなくて。

ただそれだけじゃないよっていうのは僕らが言わないといけないっていうか。

例えば今の話でもパスワードって単純に言うけど、

利用する側、僕らユーザー側から見たパスワードの使い方っていう話と、

パスワードでユーザーを認証する仕組みを提供する側、

ウェブサイトとかサービス、コマースサイトとかSNSのサイトとか何でもいいんだけど、

そういう提供する側がどうパスワードを取り扱うべきかっていう話と、

まずそういう二つ分かれるじゃない。

今言ったパスワードも簡単に分からないように難しくしなさいっていうのも、

例えばそれが他人になりすましてログインされるような不正ログインっていうんだっけ。

不正ログインとかをされないようにっていう話なのか、

あるいはパスワードが侵入されて漏洩するかもしれないから、

例えばパスワードの普通はハッシュで保存するけど、

それが簡単に解読されないようにっていう話なのかとかさ、

いっぱいあるのが全部ごっちゃっていうか、

省略されて話されているとか、難しいよね。

ちなみに総務省の消えたやつって特に理由とか書いてないんだよね。

理由はごめんなさい、ちゃんと見たら不要まで書いてあります。

誰に対して言う?

サービス事業者。

国民に対して。

インターネットをどうやったら安全に。

利用者向けってことだよね。

定期的な変更は不要っていう記述が、

パスワードを複数のサービスで使い回さないっていう、

隣に文字として追加されて、

理由は少し一文説なんですけども、

定期的変更するしかない。

理由は少し一文説なんですけども、

定期的変更推奨されてましたけども、

2017年のNISTのガイドライン。

ちゃんとNISTのガイドラインって書いてあるんだ、理由が。

ちゃんと800-63Bって書いてあるじゃん。

でもこのガイドラインってさ、

利用者向けじゃないですよ。

提供者向けのガイドラインだからな、ちょっとなんか変だよな。

18:00

サービスを提供する側のガイドラインだから、

ガイドラインそう書いてますってこと自体が間違ってませんかね。

ちょっとね、

提供者は強制するべきではないから、

利用者もそれやらなくていいっていう、

たぶん当て付けなんだと思うけど、

ちょっとでも変って言えば変だね。

そうか、そういうふうになっているんだ。

だからそこら辺からしてちょっとね、

そもそも定期変更と、

要するに有効期限を設けて変えさせることを強制すると、

ユーザーはむしろ弱いパスワードを付けるという研究成果が

ここ数年ずっと出ていて、

大学とかいろんな企業とかで

実際にその利用者が使っているパスワードを研究した事例が

結構ペーパーでたくさん出ているんだよね。

それをベースに、実はこういうことをやらせると

良くなかったねという結果的に。

それで結果的にユーザーの付け方が強くなるんだったら

こんなことにはならなかったわけで、

結果論なんだね、そういう意味で言うとね。

変更しなさいと言って期限を付けると、

実は人は付ける人間の問題で

弱くしちゃうからダメだと言っている話じゃない?

じゃあこれからどうしようかというところで。

そういうところがあるから、

利用者に不要?

不要なんだけど、

簡単に推測されないような

きちんとしたパスワードを付ければいいです、

みたいな話なわけ。

推測…。

そういうことは書いてないの?

他にもいろいろ…。

書いてあるんだね。

自主通りに載っているものはやめましょうとか書いてあるね。

それがなかなか難しいんだよね。

こういう単語は使わせないとかっていう。

そうね。

登録書としてはそれを弾くとかあるじゃないですか。

Googleとかも弱いやつがあると

それダメみたいに弾いてきますけどね。

簡単な英単語ダメとか、

あと…。

短いのダメとか。

最近だと過去に漏えいしたものはダメとかね。

これはたぶん新しめな方針で、

それはまだ浸透してないと思うんだけど、おそらく。

自分が使ってなくても、他人が使ってたとしても

漏えいしたものはダメっていうのが常識になっていくべきで、

いやまだなってないでしょ。

なってないと思う。全然なってないと思うけど。

使えるパスワードがどんどん流れてきますね。

だって他人が使ってるパスワードって普通わかんないからね。

確かに。

だって他人と同じようなそういう考えでつけちゃうとダメっていうね。

そういうのってたぶん新しい常識なんじゃないの?

おそらく。

大量漏えい時代ですからね。

だって数十億件漏えいしててさ、

データベースに蓄えられてる時代じゃない?

そういう時代が来るとは想像できなかったけど。

パスワードだけで何十ギガとかいう時代ですからね。

漏えいする時代。

パスワード、このあれでもそうです。

21:00

このポッドキャストの前の動画。

ITメディアさんでしたから。

やってましたね。

動画とかでも結構僕ら喋ってるし、あちこち喋ってるけど、

難しいよね、そのパスワードさ。

例えばパスワードだけでは、

ちょっと話だいぶとるけどさ、

パスワードだけに依存するから良くないんであって、

例えば二段階なり、見よよそなりの認証。

今だったら一番簡単なワンタイムパスワードのアプリでやるとかね。

あれなんか非常に簡単で強くなる方法だけど、

どれだけの人がそれを知って使ってるんだっていうのとかね。

あとあれ移行する時にスマホ変えたりとか。

そういう話したよね。

そういうところとかさ。

あとその…

なんだっけ、今何言おうとしたのか忘れちゃった。

そうそう。

もう一個ここまでした。

動画でも紹介したけど、

パスワード管理ソフトツールを使うと、

使い回さなくても複雑なパスワードを自動で生成してくれていいですって。

データもありますからね。

いろんな人がいろんなところで言って、

使うといいよって言ってるけど、

じゃあどれだけそれをみんな使ってるのっていう話?

見ないですよね。

とかさ。

あんまり見ないですよね。

いないでしょ。

僕らとか近くにいるだろうけどさ、

普通の人でそれを使っているって聞かなくない?あんまり。

そうですね。

僕がなんかその、

例えば乗っ取りの被害に遭ったんですよみたいなことで、

相談されたことがあって、

それからもう2、3年なのかな?

一回そのワンパスワードを紹介というか、

あげたんですよ。買ってあげたんですよ。

一回じゃあ使ってみてって。

その間にあげるから、

使い勝手とか感想とか、

実際にめんどくさいとか、

意外とそう思ったこともなかったなとかっていう感想を聞かせてくれるかなって言って、

やったら久しぶりにちょうど木のほうが一緒に同行してたんですけど、

お客さんの先にね。

お客さんの人にそういえばって言って、

知事さんに前にもらったやつ今までもちゃんと使ってますって言ってた。

意外とストレスなく使っているみたいですね。

じゃあ使ってみてって言われて、

最初はいやいやかもしれないけどやってみて、

でも意外に慣れて普通に使えるようになった。

それもだから恵まれてるっていうか、ある意味ラッキーな人だよね。

被害やってるからラッキーじゃないかもしれないけど、

そういうきっかけがあってやれてる人はね、

そこでない人はなかなか難しいよね。

難しいですね。

パスワードだけの話に言及、

パスワードの定期変更だけのところに言及しちゃダメだと思うんですよね。

難しいよね。

その話をしようとすると周りの話は絶対ついてくるじゃないですか。

パスワードのつけ方もさ、それもどっかで見たけど、

決まったルールで変更するのはむしろ危ないっていうのは、

24:02

NISTの文書にも書いてあるし、

いろんなところで言われてるんだけど、

意外とそれも知られてないとかさ、

Aをアットマークに変えるとかさ、

それもダメじゃん。

そもそもツールが対応してるからさ、

ツールってパスワードクラッキングをする、

ツール側がそういうのに対応してるから解読されちゃうじゃない。

だけどそういうことをしても強くならないじゃん。

そうですね。パスワードを生成するための特定の単語を与えて、

置き換え表現を作るっていうツールもありますからね。

そうです。

パスワード、辞書、ジェネレーター。

NISTのやつも複雑さの要件を強制するべきではないっていうのも

確か入ってるんだよね。

入ってますね。

Windowsとかは複雑さのパスワードの複雑さを要求するって

ポリシーに入れとくと、大文字、小文字、数字、記号の

4種類のうちの3つを使わなきゃダメとかって変なルールがあるんだけど、

あれやるとさっき言ったような先頭を大文字にして

Aをアットマークに変えて、まつびに数字を入れてとか

それパスワード1のことか!

そう!で一番最後にびっくりマーク入れるみたいな

そういう典型的なパスワードができちゃうから

よろしくないとかっていうのは結構前から言われているんじゃない?

そういうやつとか。そういうのって知らないと

これで結構強いパスワードできたって思っちゃうからね。

通っちゃいますからね。

ルール上通っちゃいますからね。

そういうのまだまだ知られていないのかなっていう。

なんか初期パスワードって結構硬いじゃないですか、最近の。

一番初めに紹介される初期パスワードって結構硬いの多くないですか?

普通ランダムにつけるからね。

それでええんちゃう?

でもそれもあって、それはNXTやったかな、NCETSだったか忘れたけど

初期パスワードのつけ方に関してもガイドラインがあって

ユーザーが覚えるのに苦痛を感じるような

例えば本当にランダムな30文字の強いパスワードみたいなやつを

初期パスワードで与えると、これもまだ良くないんだよ。

そこまでひどいとね。

そうすると全くユーザーを覚えられないから

必ずどこかにメモすることになって

それが弱いことにつながり感じないので

初期パスワードのつけ方も実はそんなに簡単ではなくて

違う脆弱性を生んでしまう。

難しい。だから初期パスワードは複雑にする代わりに

初回ログイン時に必ず変更させるとか

例えばそういうのと組み合わせるとかね。

入れるとまずログインするんじゃなくて

パスワード変更画面に出ます。

だとすると一回きりのワンタイムのパスワードを発行しているのと同じだから

それであれば複雑なものにしてもそんなに苦痛はないけど

結局要するに覚えさせる苦痛を感じるような

覚えるのに苦痛を感じるようなものを

ユーザーに強制すると良くないというのが

だいたい全部に通じているんだよね。定期変更もそうだし

27:01

覚えようとすることへの妨げね。

複雑さを要求するのもそうだし

そういうことをすると同じパスワードを使い回すようになるし

弱くなっていくという研究結果が出ています。

そういうのにならないようにいかに

やっぱり提供する側とかシステムを作る側が

もうちょっと工夫しないと

結局パスワードって負担をユーザーに押し付ける認証の仕組みなんだよね。

どう考えても。

それをもっとオシャレにできるようにしていかないと

最近オリンピックがあったけど

ファイドアライアンスの新しいバージョン2だっけ?

この間W3Cの韓国の候補に入ったじゃない?知るよね?

知らないです。

ファイド1がパスワードレスのやつと

ユー2FとなんとかFって2つあるんだよねファイド1のやつ。

それはもう結構今使われているけど

その次のバージョンのやつが今韓国の候補に乗って

もしかしたら正式なW3Cの候補に韓国として採用されるかもしれなくて

今だから次の普及フェーズを生まれて入っているんだよね。

そういうのが広がってくると

例えばパスワードを使わない認証とかさ

もっとちゃんと広まってくるかもしれないんだけど

本来はそういう提供する側がユーザーが使いやすくて

複雑なものを覚えなくてもいいような

やっぱり考えなきゃいけなかったのが

そのツケが回ってきているのかなって

数十年ずっとユーザーに難しいものをつけるよ

有効期限を守れよとか

使い回すのよとか

プロ入ったか?みたいな

そういう無理ゲーじゃないよ

そういう無理なことを

言っていることは分からないけど

無理なことをユーザーに強制してきた

セキュリティの専門家ですら守るのが大変なようなやつを

誰にでもみんな守れって言ってきたことがある

セキュリティの専門家は守っていませんからね

あ!レイバン!

そういうネツケが

一番の被害者はレイバン

レイバンが一番迷惑してますよ

レイバン何悪いことしてないのに

レイバン詐欺とかレイバンレイバンって

レイバンが悪いことしてるみたい

レイバン全く悪いことしてないですから

あれ何ていうの?

風評被害

あれレイバン訴えたら勝つんじゃない?

誰を訴えるって話ですよ

訴えられる相手だと思うしかない

まさかだね

なんでレイバンなんですかね

買う人がいるんですかね

レイバン見たことないやつ何あります?

レイバンとブーツのブランドってありますよね

知らない

Uから始まった

UGGって何て読むの?

知らない

30:01

レイバン知られたことない

それなりに値段が高くてというものじゃない?

ターゲットになりやすいのって

高級なやつ

結局それ偽ブランドとかじゃない?

もっと他にいっぱいありません?

別にレイバンだけ

確かにね

サングラスやったらオークリーとか

なぜレイバンか

なぜ今レイバンか

そうだね

でもあれ送られてくるんですよね

レイバン好きなんじゃない?

在庫がすげーあるんじゃない?

レイバン好きなんだよ

誰が?犯人が?

好きすぎて

好きだったら偽物作るのよって話ですけどね

いやいやほら

好きな子にいじめたがるのと同じじゃない?

クラスの好きな女の子に受け継ぐやつ

そういうことなんですか

そういう話なんですか?

そういう可能性も否定できないですね

何の話だっけ

定期変更

元の調整すべきではないというやつですけど

それだけじゃなくて

それを取り巻くところ

ちゃんとしたパスワードつけましょうというところが

いろいろあるじゃないですか

バラバラのサービスごとに

ちゃんと違うのに変えましょうとか

やった上での話でもあるし

そうなんだよね

NRSっていうのは提供者向けのガイドラインだから

利用者向けのガイドラインは

イギリスのやつとか

マイクロソフトが出してるやつとか

いくつかいいやつがあるから

ちょっと紹介されれば

あとニスクが出してるガイドラインは

まあいいよあれは

ミキナー向けのガイドラインって書いてあるけど

書いてある内容はすごくしっかりしてるからね

そういうのとか

僕らよく時事情報に当たろうって

可能な限り言うじゃないですか

だから二次どころの騒ぎじゃないじゃないですか

メディアで出てきてるパスワードの定期変更だけに

フォーカスしたような話って

確かにね

二月も長い文章でみんな読んでるから

多分読んでないからね

でも翻訳したら出てないんですよ

出てるんですよ

出てんのあれ翻訳?

863Bでしょ

新しいやつ?出てんの?

出てますジップデックから

ジップデックから出してんの?

ジップデックのサイトに上がってるんですよ

知らなかったよ

2017年12月この日に

比較的早いタイミングで

だってあれ確か10月くらいじゃなかったっけ

NISTスペシャルパブリケーション863B

デジタルアイデンティティガイドライン

翻訳版っていうのが出てるんで

そういうのとかにも

こんなことも書いてるって

だから定期変更させるべきじゃないよねっていう風な

の

試験を得るといいと思うんですよ

翻訳版出てるのがいいじゃんね

33:00

英語だとやっぱりどうしても読みにくいって人いるから

あれ全部は読まなくてもいいけど

少なくともパスワード周りのところ

それだけでも結構ページあるけどさ

あれ読むと結構いいよ

そうですね

全部で80ページくらいでしょ

なかなか参考になる

74ページ

74ページあるんですよ

日本語になってるだけでもね

読みやすい

ジップデックを出すのそれじゃなかった

IPAだと思ってました

IPAはNISTの文章にね

ジップデックのサイトに上がっております

それはいい情報を

結構そのままの文章に当たるって辛いですかね

人によっては

そうなんだよね

そこはやっぱり見てほしいけど

普通の人とか専門家はそういうの見るべきだけどさ

そうでない人はなかなか厳しいよね

そうなんですよね

見ていただければなというお話でしたと

僕らもちゃんと読まないとね

そうですね

僕らはねそれが仕事みたいなもんだから

仕事見たい

仕事でしょ

仕事の一部でしょ

メガネは顔の一部みたいな

やっぱりレイバンに書いてました

油断するとレイバン

レイバンがDロスの話が知っているのではないかと思う時があるんですよね

愛しすぎちゃってるからね

そうなんですよね

休憩入れますか

休憩コーナー初の

そんなに喋ってるだけ

結構喋ってると思いますよ

40分くらいじゃないの

7分くらいですね

34分

全然短いじゃん

意外とそうでもなかったですね

最初の出だしがめっちゃ長かったですからね

出だし?

出だしのついさま

休憩したいの?

休憩したいよ

一回休憩入りますっていうのとか入れたいなと思って

じゃあ一旦休憩です

ということで休憩開けました

録音始まってもピッとか音ない

言わないんですよこれ

やばい悪夢を

悪夢の再来ですよ

トラウマですわもう

いつも収録するときにこれを部屋から持ち出すときに毎回あれ思い出すからね最近

見るたびに思い出すからこれ

思い出すよ

買い替えようかな

結構最近ですけどね

2回くらい前だよね

何の話だっけ

中途半端な注意喚起やったら制限法が増しちゃうから

いきなりそこ

そんな話するてなかったな

結構なんかね議論呼びそうな

議論呼びそうなタイトルにしてみたんですけど

注意喚起の話ですよ

注意喚起の話違うわ

注意喚起の話じゃなくて僕らが愛してやまない

アノニマス

パネルディスカッション脱線するやつですよね

36:01

キラーワード

あったね

僕らあまりにもなく好きすぎてついつい喋っちゃうんだよね

アノニマスが好きというかアノニマス界隈の出来事がね

興味深いものが多いなというのが昔から

最近どうアノニマス

最近ちょいちょいオープンウークだったじゃないですか

あれなんかあの後

最初にさ

やるぜ!的なのが出たけど

それって言うだよね

脱ダー宣言だけ出てさ

うん

全く何もないわけじゃないんですけど

全く盛り上がってないってこと?

違う違う違う

一応アクションというか

コールドアクション

攻撃実績もあるもん

攻撃実績も

実績というかここに脆弱性があるぞとか

ありましたね

海外リストの中に入っているやつなんですけど

二つの国の

一応あるんだ

CMSのバージョンこれやとか

ページのURLこれやとか

侵入とか攻撃に繋がるような情報

あとこれバージョンから判断してるんでしょうけど

これもバージョンだと思うと

そのバージョンにはこんな脆弱性があります

みたいなものを共有しているやつはいました

脆弱性診断じゃん

攻撃ってないね

まだその手前だ

スキャンですね

リスト出して

アクション宿じゃないくて

その後少し動きがあったんで

脆弱性スキャンですね

国内に対してはないんだ

国内に対しては見ている範囲ではないですし

ハッシュタグ付きのツイートもほぼないです

そうなんだ

なんか個別のツイートみたいなのなくて

宣伝とかIRCこことかいうぐらいですね

キリングベイは

キリングベイはちょこちょこあるぐらいかな

あり変わらずって感じよね

そうですね

見ているとさ

僕も最近

そんなには追っかけてなくて

ついさんのブログ更新されたぐらいのタイミングで

見ているぐらいなんだけどさ

固定化というか同じところが何度もやられている

そうですね

同じところって過去から脈々と

2013年からキリングベイはフェイクも合わせてね

ずっとターゲットエースに入っているところが

またやられたかみたいな

そうそうそう

僕らからすると馴染みのあるサイト

使ったことないけど

なんとか市場とか

なんとか商店とか

そういう感じの方が多いよね

ミートなんとかは本当は無関係ですけど

でも何度もやられてるじゃん

扱っている肉は牛肉やな

そうだよね和牛

和牛やもん

しかも割とええ和牛やもん

買おうかなここで

ここで買ってなここが

仮にわかりませんけど

ここがターゲットになってるじゃん

情報漏洩

情報漏洩して僕の情報を漏れるみたいな

39:01

嫌やもんそんなの

ペースト瓶デビューしたくない

っていう不安もあるなと

変わらないですけどね

じゃあ相変わらず

相変わらずの感じですね

でもあれなんですよね

ターゲットリストを急に出しよったやつが

いたんですよ

それどのオペレーションですか?

今月入ってからやっぱり

先月やったっけ?

わかんないけどどれの

キリングベイに言及してる

キリングベイとか

オプールホエールズとか

あとシーワールドとか

海洋

3大海洋動物防護オペレーション

それの上にオプールファンキル

っていうのもありますけど

それに言及してる

たまにオペレーションがあると

後からフワッて言われて

やってきて

急に攻撃しちゃったぞっていう

いきなり現れるニューカマー

みたいなやつが出てくるじゃないですか

そういう系のやつなんですけど

いろんなオペレーションに

参加してる感じのやつで

ペイストビンに公開してたんですけど

すごい数の

リストとか

あとドックス

オペレーションの攻撃対象になっている

人の個人情報を晒すみたいなやつが

ドックスってあると思うんですけど

それが山ほど

短い期間の間に出してるやつがあって

それを見てたんですけど

まだ騒ぎになったら嫌やなと思って

確認したんですけどね

過去のやつのコピペ

なんかさ

ずっと昔からやってると

見覚えがあるじゃない

KKKとかさ

オブKKKとか昔のやつとか

あと俺が見てたやつは

ウエストバプリストチャーチのやつとか

ウエストバプリストチャーチとか

あれも何年前だっけ

2016年か15年くらいの

オペレーションであったじゃない

その時のやつだよね

KKKも時期近いですね

その頃だよね

WBC

ウエストバプリストチャーチ

それが並んでたから

あれ?って

違和感を覚えまして

このターゲットは見覚えあるなと思って

何笑ってるの?

見覚えがあるターゲットって

面白い表現

なんかありますね

見覚えあるよね

見覚えだと

タイトル

オペレーションのタイトルと

開いた時の並び

そうそう

確信はないですよ

なんか既視感がある

でも中身見たけど

名前とかだけさ

自分の名前付け加えてて

中身はピペロッて

ヘッダー部分というか

ロゴとか入れるじゃないですか

そこだけ自分の名前入ってた

そこがストップなんですよ

査証じゃねえよ

コピペでもない

そこだけ書いてある

複数のリーグの内容を

くっつけたやつもあったよ

あった

42:01

いらなさそうなところ

ヘッダーの部分をガッと削って

昔僕が保存してたやつとかと

リフ取ったりとか

比較したら

ここからここまで完全一致

そこから下をやると

こういう感じになる

だから微妙に加工はしてるんだけどさ

そういうところがまた腹立つんですけどね

やんねんやったら丸々コピーして

バレへんようにしようとするみたいな

あれ何なんですかね

まとめ人みたいな感じ

まとめなんなんですか

でも自分の名前で

ちゃんと追っかけてないんだけど

ハッシュタグ忘れてたけど

別のアカウントか

ハッシュタグ付けて

お祭り的な

お祭り

うん

ハッシュタグの名前忘れたんだけど

何だっけ

キリングベイじゃなくて

キリングビーフですか

違います

違う違う何だっけ

そのアカウントが使ってたやつですか

何でしたっけ

イースタンなんとかでしたっけ

あったあったあった

そうそう

それプラス他のいろんなオペレーション

そう

あれはその期間に合わせて

ちょっと祭りだみたいなのを

みんな盛り上げてるアカウントがいくつかあって

それに乗っかったのかなみたいな

ちょっとそう

そうなんですかね

ハッシュタグの名前が今パッと

見覚えあるわ

それだと思うんだけど

あったあった

過去にあったやつをもう一回

結局ドックスってさ

中身は過去のものだけど

それをまた広めることで

要はターゲットの組織なりを

落としめることができるわけじゃない

それが過去のものだとしても

過去のものとは気づいてない人もいますからね

そういう裁縫流的なので

被害というか拡大すると

一応その目的にはかなうのかなという

確かに

それ2013年のキリング弁も

そんな感じでありましたよね

あったっけ

あったっていうやつ

注目を集めるという意味だと同じ

目的かなと思って

イースターウィークオブラルズだ

イースターウィークオブラルズ

っていうハッシュタグで

一時期それでしたね

祭り場みたいなのやってたんだよ

いろいろいろんなところが

それに複数のオペレーションが関わって

やってたんで

多分それなのかなと思って

それに乗っかった

調子乗っちゃったアカウントみたいな

乗っちゃいましたね

あったあった

なのかなと思って

それで過去の

あんまり新しい公益は

あのアカウントはやってないっぽかったけど

イースターウィークオブラルズ

あとイースターサラダデーとかも

あるんですよね

そうそう

だからイースターの時期だから

45:00

っていうのに合わせて

よくあるじゃんそれの

やっぱり長く見ておくということと

それを保存しておくというのは

大事だなと思いましたねこの時

見たことあんなこれって思って

いや普通は見たことあれだと思う

いや僕らはさ

割とアノリマスは昔から見てるから

特に水谷さんなんかは

ずっと継続して見てるから

パッと見てあれって思うけど

まあ普通分かんないよ

でもそういうのがあるって

知ってて調べれば分かるんだけどね

そうですね

見たことあるというふうに

思わなくても

これ過去にあったんちゃうかと思って

ちょっと長めにコピペして

検索かけて引っかかるかどうか

探すっていうのは

まあ調べればすぐ分かるからね

分かる分かる残ってればね

僕はエヴァノートで検索します自分の

まず自分のね

だからそういう攻撃活動

さっきの注意喚起の話に戻るけどさ

まあ難しいんだよね

新しい攻撃につながる可能性とかもあったりとか

さっきのイースター

なんとかアラルズとかさ

もう

その

まかに間違ってお祭りが盛り上がっちゃうとさ

他の攻撃者呼んでしまう

そう普段関係ない人たちが

わーっと攻撃に参加するってことも

あり得たりするじゃないの

だから必ずしもその

じゃあその何

注意喚起とかが

いや今回の攻撃増えたし

無駄でしょうみたいな

とも言い切れない

それは予備水になるかもしれないってことでしょ

でも一方でこれもよく言うけど

その情報の審議だったり

影響度合いとかを

見極めるのを

情報を受け取る側がね

誰でもできるレベルにはなっていないので

ただ単に例えばどっかの観光場とかが

注意って言っちゃうと

注意攻撃来るっていうのだけが

広まっちゃうというかさ

で何すればいいんだっけ

家には来るんだっけとか

角度はどれくらいなんだとかさ

角度って難しいですよね

全然分かんないじゃん

そういうのをやっぱりね

まだまだ出す側も受け取る側も

成熟してないなっていうのは

これはやっぱり変わってないよね

何回か前のセミナーでも

そういう話したじゃない

テーマに取り上げたけどさ

どうなんですかね

例えば今回の過去のやつと

ヘッダー以外は一緒だったじゃないですか

新たにリストが公開されたってことと

過去のやつを焼き直しして

ポンと出てきた

どっちが危ないって言えるんだろう

新たなリスト

ターゲットリストが新しいのが出てきたってこと

どっちが

測れないと思ってて

48:00

受け取る側の解釈っていうところに

決めの問題ちゃうかと思ってて

リストが出てるから気をつけてねっていう

伝え方をまず一回変えてみたらいいんじゃないかな

新しいリストって多分昔かもしれないしね

新しいからこそ

今だって攻撃

オップキーリングで限ったことで言えば

昔のリストのやつがずっと使われてるわけじゃないですか

新しいリストのほうが

攻撃が来る角度が低いんちゃうか

って考えることもできますよね

そうじゃなかったとしてもね

でも伝えるときにリストが公開されてるから

ヤバいかもっていう伝え方って

情報足りなさすぎになっちゃうかなと

確かにね

過去のやつをほとんどコピペだけども

新しく公開したかのように見えるようなものがあります

ぐらいは言ってあげたほうがいいんじゃないかな

注意喚起するなら

余計作装するのを招いてる気がする

それはあるかもね

それは過去のやつですよとか

やるでは生まれるわけじゃないですか

僕もついてて書いたけど

それじゃあ結局どうなんって

見てる動画を惑わすような結果になるんじゃないかなと思って

情報って小出しにすればわけわからなくなるんで

結局どうすればいいのかわからない

そうそうそうそう

僕らもね言えませんけどね

オップ抜くときもそうですけど

何人かに聞かれましたけど

わかんない

そんな勝手な言葉は言われへんっていうのを前提で言うけど

今までも見てる

もう勘としか言いようがないけど

まあないですよって

でもね

これもどっかで言ったけどさ

多分ないって言うのって勇気いるんだよね

そうですよ

来ちゃったらさ

ないって言ってたじゃんって言われるかね

だから来るかもしれないって言っといたほうが

安全じゃない

自分としてはでしょ

そうそうそうそう

でも踏み込んでちょっと判断すると

多分ないですって言える

ちゃんと材料があって

きちんと過去の方を見ているから

言える判断できるってことでしょ

それって結構大事で

脆弱性とかもあるけどさ

これは大丈夫ですうちにはって言ってあげる

うちはどうなんだって言われたときに

いや他社は危ないかもしれないけど

うちは大丈夫ですって言ってあげるとかさ

今回の公益もそういうふうに

いや多分大丈夫ですとかって言えるっていうのは

いやこれ難しいな

難しいですね

脆弱性でもなんか最初はヤバくなくても

後から実はこのやり方あるとか

変わるからね

出てくるものもあるし

影響範囲が狭いと思ったら

意外となんかみんなが使っている製品の中に

組み込まれているオープンソースでしたとか

っていうこともあるでしょうし

なんかのライブラリーとかの場合ね

難しい

難しいなと思いました

アノニマスとかこういうアクティビスト系の

特にD-DOSとかになってくると

一人で変わるじゃないですか

そうなんだよね

そういうありきたりな説明はする

いつも

51:01

感覚的にはフェイクとまでは行かへんけど

ほぼない

盛り上がってないしね

盛り上がってないから

一応言っているやつに過去実績みたいなものはあるので

それなりの小規模なドスをする

攻撃盤は持っている可能性は高いけど

10ギガ超えとかってなってくると

厳しそうに見えるけどな

ただ一人でもこれを呼び水に

さらに大きな基盤を持っているやつが来た場合には

その限りではなくなるってことは

否定できませんと

はい

どうしたんですか

専門家のついさに質問があるんだけど

はい

今さちょっと話ちょっとだけ逸れるけどさ

ブロッキングの話とかが

ちょっと話題になっているじゃない

なんとか村のやつ

はいはいはい

いわゆる著作権を守るためには

ブロッキングは必要だ

いやいやそれは通信の秘密に対する

いつもよくあるパターンね

あれ格好のネタじゃない

アノニマスからするとでしょ

著作権保護ってさ

アノニマスのだって

一番最初の大規模な攻撃が

著作権絡みだったじゃない

パイレスウェイのやつ

最近もオップジャパンもそうだでしょ

オップジャパンは違法ダウンロード刑罰か

ですよね

海外で起きているやつでもさ

著作権信頼ネタとか

インターネット検閲系のネタっていうのは

格好のアクティビティのターゲットで

メガアップロードとかもありましたね

そうそう

今回の件はそういうのには繋がないのかな

繋がないんじゃないですか

なんで

知らんのちゃいますかね

知ったらさ

知ったらですか

そういうのって結局国内のネタを

海外に多分

繋げる

橋渡し人材が

多分いるじゃない

多分

だってそう考えなければ

事実間が合わないことが結構あるじゃない

確かに

日本の状況を無理解しつつ

アクティビティの活動に

無理解を進めるような人って

必ずいるはずで

ここメトロワーズじゃないかなと思うんだけどさ

そういうのには繋がないのかな

そういう注意喚起ってないのかな

そういう心配した方がいいんじゃないかと思うんだけどな

俺は

違法ダウンロード刑罰

刑罰課の時って

あれって海外にも結構ニュースで報じられたんでしたっけ

出た

あの法律自体が

オプジャパンじゃなくて

日本はそういうことをやるって

それ日本だけじゃなくて

あの時に他の国でもそうだし

今回の件も海外のニュースになってるよ

英語で

いくつか

著作権系のネタに

割と敏感なところが取り上げてるし

ジャパンもこんなこと言ってるぜ

言ってるぜ

とか取り上げてるから

目を引いてもおかしくないなと思ってたんですよ

そういう動きはないの

僕はそういう動きはあんまり

そうなんだ

なんかね今の話聞いて覚えずに

54:01

バッと思ったんですけど

スター

メッセージを送信

セキュリティのアレ

スター

コメント

こちらもおすすめ

第13回 雑談しすぎの定期変更強制しない！スペシャル

セキュリティのアレ

コメント

こちらもおすすめ

第13回雑談しすぎの定期変更強制しない！スペシャル