1Password のログイン時、マスターパスワードは 1Password のサーバに一度も送信されていません。 少し前まで、私はこれを知りませんでした。パスワードマネージャーなのだから、当然サーバがマスターパスワードを受け取るのだろうと思っていたのです。それで暗号化された金庫を開いていると。しかし違いました。 サーバ側は「あなたが正しいマスターパスワードを知っている」ことだけを確認します。パスワードそのものは受け取りません。金庫の中身も、金庫を開ける鍵も、サーバは知らない。それでもログインは通ります。 この設計を知ったとき、UX の滑らかさとセキュリティの強さが同居する理由がやっと腑に落ちました。この記事では、その中身を「2つの秘密の鍵」と「見せずに証明する認証」という2つの仕組みで解剖します。 使いやすさに違和感を持った瞬間 はじまりは 1Password の使いやすさへの違和感でした
以下、なぜこの結論になるのかを順に書きます。 そもそもVPC内は盗聴できるのか 最初に確認したかったのは、「物理的に同じLANにぶら下がっていて、他人のパケットが流れてくる」という昔のオフィスLANのイメージが、VPCにも当てはまるのか、でした。当てはまりません。 AWSのVPCは物理的な共有LANではなく、SDNの上に作られた仮想ネットワークです。この「オンプレのL2スイッチング（同じセグメントにフレームが流れ、隣の通信も物理的には見え得る）」と「VPCのSDN（パケットが宛先ごとに個別に転送される）」の違いが、今回の議論の出発点です。SDNとしての全体像はIvan Pepelnjak氏の "AWS Networking 101"（ipspace.net, 2020）が分かりやすく、盗聴の可否に直結する挙動は、AWSのLogical Separation on AWS（ホワイトペーパー）
マイクロソフト社が公開している無料のマルウェア検出＋修復「使い捨て」ツールをダウンロードして使う話です。 サイバー脅威は24時間勃発中 マイクロソフト社が公開している無料のマルウェア検出ツール「msert」をご存じでしょうか。現状、隠れキャラみたいな存在になっています。 パソコン、最近こんなことありませんか。 起動が急に遅くなった ブラウザが知らないページに移動する 見覚えのないアプリが増えてる 怪しいメールの添付ファイル、うっかり開いた ちょっぴり大人のページで遊んだ…… そのとき多くの人がやること：「セキュリティソフト おすすめ」で検索して、よくわからない有料ソフトを買う。 ちょっと待ってください。 Microsoftが無料で「レスキュー隊」を用意してくれています。 名前は Microsoft セーフティスキャナー、ファイル名は msert.exe。 インストールすら不要。ダウンロード
あなたのAIサーバー、今この瞬間も丸見えです 「AIを使えば業務が効率化される」 そう信じて、急いでOllamaやn8nをデプロイした会社は多いだろう。 でも、ちょっと待ってほしい。 セキュリティ企業Intruderが今月発表した調査結果が、業界に衝撃を与えている。200万台以上のホストをスキャンし、100万個の公開AIサービスを分析した結果は—— これは煽りではない。実データに基づく、冷酷な現実だ。 結論から言うと... Ollama APIの31%が認証なしで公開されている そのうち518台が有料のOpenAI/Google/Anthropicモデルをラップして無認証公開 政府機関・金融機関のn8n/Flowiseが90台以上、ワークフローごと丸見え ユーザーの会話履歴、APIキー、社内ロジックが全部見える状態 そして、この「穴」を突いた史上初の事件がすでに起きている。 史上初：AIが
はじめに 2026年3月31日、npmパッケージ「axios」が乗っ取られました。 axiosはJavaScriptで最も使われるHTTPクライアントです。 週間ダウンロード数は1億回を超えます。 私自身、ほぼすべてのNode.jsプロジェクトで使っています。 事件を知ったとき、まず自分のプロジェクトを確認しました。 package-lock.jsonを開き、axiosのバージョンを探しました。 幸い影響を受けるバージョンではありませんでした。 しかし「もし週末にデプロイしていたら」と思うとぞっとしました。 この記事では事件の全容と技術的な仕組みを解説します。 そして「自分のプロジェクトは大丈夫か」を確認する手順を示します。 事件の時系列 攻撃は周到に準備されていました。 以下がUTC（日本時間に変換するには+9時間）での時系列です。 時刻 (UTC) 出来事
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? あなたのリポジトリは本当に安全ですか 2026年3月8日、数百のGitHub Pythonリポジトリが静かに改ざんされました。コミットメッセージも著者名も変わらず、Pull Requestも残りません。git log を見ても異常に気づけない。force-pushによって履歴ごと書き換えられたからです。 この攻撃は ForceMemo と呼ばれ、GlassWorm マルウェアキャンペーンとの関連が指摘されています。StepSecurity がこの一連の GitHub リポジトリ侵害を ForceMemo と命名しました。Django ア
詐欺の電話はアプリで ブロック!! 携帯電話に特殊詐欺の犯人から架電されるケースが急増しています。 犯人からの電話を直接受けないためには、犯人が使う国際電話番号などをアプリでブロックする対策が有効です。 警察庁推奨制度 民間事業者の最新の技術や独自のノウハウを活用した特殊詐欺等の被害防止に有効なアプリについて、警察庁が一定の基準に適合するアプリを「警察庁推奨アプリ」として認定し、国民に利用を推奨することで特殊詐欺等の被害防止を推進していく制度です。 （警察庁ウェブサイト：特殊詐欺対策アプリに係る警察庁推奨制度）
2.3 RCE（Remote Code Execution）とは 攻撃者がリモートから任意のコードを実行できる脆弱性のこと。これが成立すると、あなたのマシンで攻撃者が好き放題にコマンドを叩ける。ローカルLLMの脆弱性の多くはこのRCEに分類される。 2.4 デシリアライズ（Deserialization）とは プログラムが保存・送信用に変換（シリアライズ）したデータを、元のオブジェクトに復元する処理のこと。Pythonのpickle.loads()が代表例。この復元処理に悪意あるデータを食わせると、任意のコードが実行される——これが今回の脆弱性の多くに共通する根本原因だ。 これらの用語が押さえられたら、実際にどんな脆弱性が報告されているのか見ていこう。 3. ローカルLLM脆弱性が生まれた背景 3.1 「速度優先」で生まれたエコシステム ローカルLLMのエコシステムは、2023年のLlam
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? （Linux）大規模基盤のLinux運用で得た知見まとめ （障害対応／テンプレ化／OS更改） はじめに 私はフリーランスインフラエンジニアとして 10年以上、大規模Linux基盤の構築・運用・保守 に携わってきました。 RHEL / CentOS(RedHat系ディストリビューション)を中心に、 OS更改（RHEL6→7→8） テンプレート化・標準化（KVM/VMware） 障害対応（切り分け〜再発防止） 運用改善・自動化 といった領域を一貫して担当してきました。 長く現場を経験する中で強く感じたのは： （あくまで個人的に感じたことです
まことにもっともな疑問だと思います。公開鍵暗号には、狭義の公開鍵暗号と、広義の公開鍵暗号があります。パスキーで使われているのは、広義の公開鍵暗号です。 狭義・広義だと紛らわしいので、狭義の方をPublic Key Encryption(PKE)、広義の方をPublic Key Cryptography(PKC)と表記する場合があります。光成さんのブログ記事がわかりやすいです。 https://blog.cybozu.io/entry/2021/12/28/080000 あなたの「公開鍵暗号」はPKE? それともPKC? - Cybozu Inside Out | サイボウズエンジニアのブログ初めに サイボウズ・ラボの光成です。 いきなりですがクイズです。次のうち正しい説明はどれでしょう。 SSHやFIDO2などの公開鍵認証はチャレンジを秘密鍵で暗号化し、公開鍵で復号して認証する。 ビットコ
アプリやサービスのログイン時に、メールアドレスや電話番号を入力して、メールやショートメッセージで届いたワンタイムパスワードを入力することで認証するプロセスはよくあります。このようなログインプロセスは、アカウントのセキュリティの観点で非常に危険であると、エンジニアのダニエル・ファン氏が指摘しています。 We replaced passwords with something worse | Blog - Daniel Huang https://blog.danielh.cc/blog/passwords ログイン画面のパスワード入力だけではなく、メールアドレスや電話番号に届いた認証コードの両方でログインする「2要素認証」は強力なセキュリティとして重宝されています。しかし、セキュリティ企業のDouble Octopusによると、「2段階認証はパスワードだけよりもマシ」程度のもので、ハッカーに
「量子コンピュータは本当に古典コンピュータを超えるのか？」この長年の問いに、全く新しい角度から光が当てられた。NTTと京都大学の研究グループが、量子コンピュータの優位性、すなわち「量子超越性」と、現代社会を支える「暗号の安全性」が、数学的にコインの裏表の関係にあることを世界で初めて証明したのだ。この発見は、もし量子コンピュータが期待外れに終わるなら、私たちのデジタル社会の安全基盤そのものが崩壊しかねない、という衝撃的な結論を突きつけている。 長年の謎「量子超越性」とは何だったのか 量子コンピュータ。それは、私たちの日常的な直観が通用しないミクロの世界、「量子力学」の原理を計算に応用する、まったく新しいコンピュータだ。特に、量子ビットが「0」と「1」の状態を同時に取りうる「重ね合わせ」という性質を利用することで、従来の古典コンピュータでは天文学的な時間がかかる問題を、現実的な時間で解き明かす
先月私が報じた1億8400万件の認証情報流出を恐ろしいと思った読者は、ぜひ腰を据えて読んでほしい。研究者により、パスワードを含む160億件ものログイン認証情報が確認された。これは史上最大規模のデータ侵害だ。今年初めから続く調査によって、この巨大流出は複数のインフォスティーラー（情報窃取型マルウェア）の仕業だと推定されている。以下に、知っておくべき事実と取るべき対策を示そう。 これはパスワード流出における史上最大級の事件なのか？パスワード侵害は冗談では済まされない。アカウント乗っ取りに直結し、テクノロジー中心の現代で大切にしているほぼすべてのものが危険にさらされるからだ。このため、グーグルは数十億人のユーザーにパスワードをより安全なパスキーへ置き換えるよう促し、FBIはSMS内のリンクをクリックしないよう警告している。盗まれたパスワードがダークウェブで数百万件単位、わずかな金額で売買されてい
Forbes JAPAN @forbesjapan グーグルは、Gmailパスワードを「より強固なパスワード」に変えるのではなく、まったく異なる仕組みの「パスキー（Passkeys）」に移行するよう推奨している →グーグルが20億ユーザーに警告―今すぐGmailをパスワードからパスキーに変更を forbesjapan.com/articles/detai… 2025-06-17 10:00:03 リンク forbesjapan.com グーグルが20億ユーザーに警告―今すぐGmailをパスワードからパスキーに変更を | Forbes JAPAN 公式サイト（フォーブス ジャパン） 以前から繰り返し述べてきたが、残念ながら読者が即座に行動を起こさない限り、この警告を言い続けるしかない──Gmailは他のすべてのメールプロバイダーと同様に攻撃を受けている。私がただ言っているだけではなく、グーグ
【デジカルチーム ブログリレー6日目】デジカルチームの末永です。5月31日から開催される技術書典18で頒布するエムスリーテックブック8の、フルスクラッチして理解するSSL/TLSという章を担当しました。この章では、標準ライブラリ縛りでTLS 1.3のサーバーサイドを実装していきます。 techbookfest.org ここでは執筆の流れや小話などの裏側を書いていきます。 社内有志のメンバーによる新刊も頒布するようです 絶賛執筆中！以下のページからサークルをフォローして続報をお待ちください…！ #技術書典https://t.co/2W8FuGOJfM— エムスリー エンジニア公式 (@m3_engineering) 2025年5月13日 フルスクラッチして理解するSSL/TLS 執筆スケジュール いちばん大変だったポイント 実装・執筆小話 「長すぎる」問題 実際どれくらいAI使った？ フルス
イギリスの国家サイバーセキュリティーセンター(NCSC)が、将来的に開発されるであろう量子コンピュータの脅威から国家を守るための新たな指針を発表しました。 Timeline for PQC migration revealed - NCSC.GOV.UK https://www.ncsc.gov.uk/news/pqc-migration-roadmap-unveiled インターネットを経由して銀行のお金を操作したり、商取引を行ったりする際には通信の安全性が大切です。現行の暗号化基準は現行の技術水準であれば安全であり、さまざまな機密情報を保護するために利用されていますが、量子コンピュータが実用化されると容易に解読されてしまう危険があります。 そこで、NCSCは量子コンピュータでも解読が難しい量子耐性暗号(PQC)へ2035年までに移行するための3段階のタイムラインを策定しました。 ・20
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
