1
『厚労省によると富士通が約一億円で受注しシステム設計の統括を担っていた。再委託先と受注額はそれぞれ、富士通マーケティングが八百五十四万円、インフォテックが四百四十万円、ペガジャパンが千五万円』 / “オンライン申請また停止 雇用助成金、再開３時間後：中日新…” htn.to/3AsmhGgxhG
2
『男性が連絡先を紙に書いてほしいと伝えると、「刑事課」の「刑」の漢字を「形」と間違え、「詐欺」の「詐」の字はごんべんしか書けず、男性が不審に思い通報した』 / “警察官のはずが「刑事」漢字で書けず通報、特殊詐欺グループの男逮捕｜TBS NEWS” htn.to/uVsbjL7cNV
3
某Payでも4桁暗証番号で口座と紐付けできるのでCSIRTにメールしたら「貴重なご意見ありがとうございます」と返ってきただけだった / “銀行口座から「ドコモコウザ」名義で身に覚えのない引き落としが何度も行われる事案が複数発生…いったい何が起こっているの？ - Togetter” htn.to/4hohyCwQzm
4
ITMediaの取材を受けた記事が公開されました。『ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた』 / “「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた？ 専門家の見解は - ITmedia N…” htn.to/hqcPLJiaEJ
5
『預金口座の番号や暗証番号などが何らかの理由で外部に漏れてしまうという最悪のケースに備えておく』が利用者の責務というのはナンセンスだし、仮に利用者側で対策するなら、暗証番号の定期的変更くらいしかないわけですが、それが必要な銀行は解約しますね twitter.com/ockeghem/statu…
6
サンデーモーニングを見ていたら、ドコモ口座がリバースブルートフォースアタックでやられた可能性に触れて、「テクノロジーの進歩でそういうことが可能になった」と言っていたけど、別に（攻撃側の）テクノロジーの進歩は関係ないぞ。（防御側の）認証の退化で可能になったというべきでしょう。
7
「サーバーレスとは、一切のサーバーを持たず全ての処理がブラウザのJavaScriptで完結する方式である」という嘘説明を思いついたけど、だまされる人が続出しそうなので公開を見送ることにした（見送ってない）
8
職業エンジニアの大半はコンピューターサイエンス(CS)が必要ないとの主張だが、話が逆で、CSを理解していないエンジニアにはCSを必要とする仕事はこないのだ / “コンピューターサイエンスの学習は、職業エンジニアになることを阻害する | Zenn” htn.to/44oGipYLbK
9
弊社の若い衆が『キーボード型PCという発想は無かった』とSlackに書いていて、いや昔はそれがふつ…と書きたいのを我慢している / “Raspberry Pi 4を組み込んだキーボード型のパソコン「Raspberry Pi 400」が登場。スイッチサイエンスにて2021年以降に販売開始予定。｜株式…” htn.to/21ozBK4FUt
10
迅速な対応でいいですね。一般論として「ソースコードが漏れたらセキュリティが心配」とは言えないですよね。バックドアとかあれば別ですが、それはバックドアをつける方が問題 / “GitHub上に三井住友銀の一部コードが流出、「事実だがセキュリティーに影響せず」 | 日経ク…” htn.to/25uAaD61Jx
11
ずーっと頭に引っかかっていたことを考えていたのだけど、ようやく少しすっきりした。
ITエンジニア、セキュリティエンジニアになるための勉強法をよく質問されるのだけれど、それは要するに「早い方法」「効率の良い方法」なんだけど、「それを僕に聞かないでくれ」という思いがあります。なぜなら…
12
…なぜなら、徳丸自身は「効率の悪い勉強法をし続けてきた」から。基本的に独学で、メンターや相談相手がいなかった。なので、手あたり次第に本を読んで自分で考えるしかなかった。なので、「効率」という点で考えるとむやみに不効率だし、時間がかかった…
13
…一方、かつて上野宣(@sen_u)から、「なぜ徳丸は徳丸本が書けたのか」と質問されたことがあったのだけど、その時は答えられなかったけど、たぶん「徳丸が効率の悪い勉強法をし続けたので、自力で体系化する力が備わったから」ではないかと思う。当時ウェブセキュリティは体系化されていなかった…
14
…なので、「効率の良い学習法」を聞かれたら、「それは大学のしかるべき学科に行って勉強してください。それ以上の方法はない」と答えます。いろいろな事情でそれができない場合は、たぶんの一つの答えはなくて、目標やら使える資源ならで変わりますね。漠然と質問されても答えられない。
15
さすがの落ち着いたまとめ / “管理不備と報じられたLINEの問題についてまとめてみた - piyolog” htn.to/3siawaenuo
16
Quora等で「なぜプログラミング言語はあんなに多いのか」という質問があるけど、「実は昔は統一の言語を使っていたけど、それを使って神を凌駕するAIを開発しはじめたので神様が怒って人々が使うプログラミング言語を別々のものにしたのでAIも未完に終わった」という嘘回答を思いついたけどイマイチ
17
suでrootログインできない…そりゃ/etc/pam.d/suの設定でしょうと思うもののなぜかそれが原因ではない。真の原因に一同驚愕（おおげさ） / “Authentication - CentOS7、suコマンドでrootにログインできない、パスワードは絶対あっているのになぜ？｜teratail” htn.to/8cJxaFCLtq
18
chmod 777 -R /usrでかなりざわつきましたが、上には上が…『誤ってsu権限でchmod 777 -R /をしてしまったところsshでアクセスができなくなってしまいました』 / “chmod 777 -R /をしてしまいました” htn.to/3NEj3gzAFu
19
teratailで『youtubeのようなサイトを作りたいのですが、サーバーはAWSを利用すればいいですか？』という質問が投稿され、まぁ志は高い方が良いよねと思ったものの、本文に『Dropboxとamazon ec2の違いを教えてほしいです』とあったので、志が高い分道のりも長いなぁという感想をもった。
20
『ディープラーニングの学習を「ハッシュテーブルで解決できる検索問題」と捉え直すことによって、演算自体を市販CPUに最適化した学習アルゴリズムSLIDEを開発』 / “GPUに比べて最大15倍高速な市販CPU向けのディープラーニングアルゴリズムが開発される - GIGAZINE” htn.to/4tv2Zh9iLP
21
NVIDIAがご禁制の品に… / “密輸されたNVIDIAのグラボ300枚が漁船から押収される - GIGAZINE” htn.to/4q7k3dZQ3g
22
一番強いARMを決めようじゃないか…NVIDIAは言った。この後勃発する開発競争は後世ARM Wrestling（アームレスリング）と呼ばれるようになる…かもしれない twitter.com/ockeghem/statu…
23
SQLインジェクションできるとか本当ですかね。外部者が合法的に確かめるのは難しいと思いますが…
24
付け加えると、更新系処理のSQLインジェクションを「安全に」確認することも難しいです。試している人は「正義のため」という意識でやっているかもしれませんが、本番データ壊したら「正義」どころではないですからね twitter.com/ockeghem/statu…
25
『おそらく本の中に間違いがあると一気に鉄オタの間で話題になり、莫大な宣伝効果が生まれるのだろう。さらにオタクというこだわり気質も相まって問題箇所が異常に気になって買ってしまう』 / “西村京太郎「電車の型番をわざと間違えておくと鉄道オタクにバカ売れする」←…” htn.to/2QzpF2HRuu
徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ取締役CTO IPA非常勤職員
YouTubeチャンネル: 徳丸浩のウェブセキュリティ講座 youtube.com/@websecstudy