「C++」存続の危機？ 生みの親が安全なプログラミング言語への転換を模索
英国のITニュースメディア「The Register」は2025年3月2日（現地時間、以下同）、プログラミング言語C++の生みの親であるビャーネ・ストロヴストルップ氏が、C++コミュニティーに対し、同言語を存続させるための協力を呼びかけたと報じた。 近年、C++はメモリ安全性の問題を理由にサイバーセキュリティ機関や技術専門家から厳しい批判を受けており、その存続が脅かされている。 このままでは「C++」存続の危機？ 生みの親が提唱する進化アプローチ CやC++は手動によるメモリ管理が基本とされており、そのためバッファーオーバーフローなどの安全性に関するバグが発生しやすいという問題がある。こうした脆弱（ぜいじゃく）性は重大なセキュリティリスクと見なされており、近年では政府や企業がCやC++の使用を控え、RustやGo、C#、Javaなどのメモリ安全性の高い言語への移行を促進している。 この状況
「Chrome」のセキュリティレビュー文化に学ぶ、開発とセキュリティが協働する方法
Googleは2023年7月20日（米国時間）に公式ブログで、セキュリティ中心のエンジニアリング文化がある「Google Chrome」（以後、Chrome）のセキュリティレビュー文化を例に、どのようにセキュリティレビューを進めたり、レビュアーを育成しているのか解説した。 Chromeにおけるセキュリティレビュー Chromeにおけるセキュリティレビューは、提案された機能の設計に焦点を当てたレビューであり、コードレビューとは異なるものだ。意見の相違は重視され、失敗から学び、決定を再検討することもある。 開発者はセキュリティチームを、機能を安全にリリースするためのパートナーとして見なしている。セキュリティチーム内では、質問と学習を奨励することでお互いをサポートし、レビュアーがレビュースキルを向上できるよう指導とコーチングを行っている。このように、セキュリティレビューは容易な仕事ではないと、G
“そうはならんやろコード”はなぜ生まれるのか セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ
米国家安全保障局、CやC＋＋からメモリー安全性の高いJavaなどへの移行を推奨
これらの言語の中では、Javaが企業向けアプリや「Android」アプリの開発で最も幅広く使用されている一方、Swiftは「iOS」アプリの開発環境に取り込まれている点もあって人気プログラミング言語の上位に入っている。また、RustはシステムプログラミングにおいてCやC＋＋の代替として注目を集めつつある。 同ガイダンスには「可能であれば、メモリー保護機能が言語自体にほとんど、またはまったく内在していないCやC＋＋といった言語から、メモリー安全性の高い言語への移行に向けた戦略的遂行手段を検討することを組織や企業に推奨する。メモリー安全性の高い言語として、C＃やGo、Java、Ruby、Swiftなどが挙げられる」と記されている。 NSAはGoogleやMicrosoftにおける最近の調査結果を引用している。それらによると、「Google Chrome」や「Windows」内で発見されたセキュ
「GitHub Copilot」のAIが自動生成するコードはどのくらい安全か？ 研究者らが脆弱性を検証
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米New York UniversityとカナダのUniversity of Calgaryの研究チームが発表した論文「Asleep at the Keyboard？ Assessing the Security of GitHub Copilot’s Code Contributions」は、コードを自動生成する「GitHub Copilot」において、生成したコードがセキュリティ面でどれくらい安全かを調査した研究報告だ。結果、実験で生成したコードの約40％に脆弱性が発見された。 ソフトウェア開発者は、コードを迅速に作成することが求められるため、生産性を向上させる新しいツールや技術を常に
AWSが「IAM Roles Anywhere」発表。一時的にAWSへのアクセス権をAWSの外側にあるワークロードに付与
AWSが「IAM Roles Anywhere」発表。一時的にAWSへのアクセス権をAWSの外側にあるワークロードに付与 Amazon Web Services（AWS）は、AWSの外側にあるワークロードに対して一時的にAWSリソースへのアクセス権を付与できる「IAM Roles Anywhere」を発表しました。 : Need to give workloads outside of AWS temporary access to AWS resources? Announcing IAM Roles Anywhere, allowing you to provide temporary AWS credentials to workloads outside AWS using the same IAM roles & policies you configured for your
Go、D言語、Nim、Rust製マルウェアが増えている怖いワケ
攻撃者は、新種のマルウェアの作成に「風変わりな」プログラミング言語を使うことが増えている。これには、新しくてあまり一般的ではない言語を使うと攻撃の検出を回避し、分析を妨げる効果があるという前提がある。 関連記事 Go言語に注力するDynatrace JavaやPHPからの移行も簡単、改めてGo言語がオススメな理由 関数型言語「Erlang」のススメ──なぜCやJavaではダメなのか？ Microsoftがプログラミング言語「Rust」への支援を強化 「Rust」はなぜクラウドネイティブ開発者の間で大人気なのか？ BlackBerryのリサーチおよびインテリジェンスチームは、一般的ではない言語のサイバー犯罪分野での利用に注目している。 「マルウェアの作成者は、新しい技術を活用するためにスキルと行動を適応させ、変化する能力で知られている」と話すのは、BlackBerryのエリック・ミラム氏（脅
Backdoored developer tool that stole credentials escaped notice for 3 months
A publicly available software development tool contained malicious code that stole the authentication credentials that apps need to access sensitive resources. It's the latest revelation of a supply chain attack that has the potential to backdoor the networks of countless organizations. The Codecov bash uploader contained the backdoor from late January to the beginning of April, developers of the
「Rust」言語はCよりも遅いのか、研究者がベンチマーク結果を解説
「C」や「C++」に代わるシステムプログラミング言語として「Rust」が注目を集めている。メモリ安全性が高く、メモリ破壊バグといった脆弱（ぜいじゃく）性を作り込みにくいからだ（関連記事）。 ただし、システムプログラミング言語では、高い処理性能が必須条件であり、これがCやC++が使われ続けている理由となっている。Rustはどの程度「速い」のだろうか。 ドイツのミュンヘン工科大学で博士課程の学生であるポール・エメリク氏は2019年9月9日、Rustで作成したデバイスドライバの性能評価をGitHubで発表した。 同氏のグループはさまざまな言語で同じ機能を備えたデバイスドライバを記述し、性能を比較している。 何が性能低下を引き起こしているのか 性能評価用に作成したのは、Intelのイーサネットコントローラー向けのLinux用デバイスドライバだ（ixgbeタイプ）。 エメリク氏は解説の冒頭で研究に取
乱数生成器とゲームと諜報活動の話｜Rui Ueyama
ゲームなどを作っているとランダムさが必要になることがあるけど、コンピュータは基本的に毎回全く同じように動くので、乱数を作り出すのはそう簡単なことではない。Wi-FiやHTTPSなどの暗号は乱数のランダムさに本質的に依存しているので、高品質な乱数生成は世の中的にも重要な話題である。ここでは乱数生成について話をしてみよう。 ゲームではイベントがプレイヤーに予測不可能であればよいだけなので、真の乱数列ではなく擬似乱数列というものを使うことが多い。擬似乱数列は人間にはランダムにみえるけど、実際は何らかの数式によって順番に生成されているだけの数の列で、初期値を毎回違うものにしておくと、人間には毎回違う数列が生成されるようにみえる。初期値には現在時刻を使うことが多い。現在時刻は普通の用途では毎回違うからだ。 昔のゲーム機は現在時刻の設定がなかったので、ファミコンなどでは、起動してからの経過時間を疑似乱
ウェブアプリをソースごとパクる業者に対する対策 - Qiita
こんにちは。みなさんもウェブアプリをリリースしたあとに同業者にソースごとパクられたことってありますよね。難読化しても難読化されたまま同業者のサーバで動くので困ったものです。そこで、私がとった解析しずらい対策をまとめてみたいと思います。 前提 多機能な画面をJavaScriptでゴリゴリ作ったのにもかかわらず、HTMLやCSS、JavaScriptファイル一式を自社サーバにまるごとコピーして、ライセンス表記だけ書き換えて使うような業者を罠にはめるということを想定しています。 当然通信をリバースエンジニアリングする人もいるので、自社サーバでは防げないという前提です。 HTMLにはauthorメタタグ よくあるMETAタグで権利者を明記します。これは権利の主張もそうですが、JavaScript自体に権利者が認定した権利者でなければ無限ループを起こすという処理のためにも使用します。逆に、権利者が我
Android N で廃止されるセキュリティ「Crypto」プロバイダ
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
JS自動レビューツール"jswatchdog"を公開しました - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。kintone 開発チームの天野 (@ama_ch) です。すっかり春らしくなりましたね。 少し前に JS の自動レビューツール jswatchdog をオープンソースで公開しましたので、こちらで紹介させていただきます。 使い方 https://kintone.github.io/jswatchdog/ 上記の URL を開き、左側のエディタに JS コードを貼り付けるだけです。 右側に修正が必要な箇所が表示されるので、適宜修正します。 特徴 バリバリの開発者じゃなくても使いやすい一画面完結の Web インターフェース lint ツールでお馴染みの構文チェックの他、知らずに脆弱性を作り込むことを避けるため、XSS の可能性がある箇所にも警告を表示 内部的には、JS の静的構文チェックツールとして ESLint と JSHint を組み込んでいます。 さらに XSS の可能性があ
JavaScriptでセキュアなコーディングをするために気をつけること
kintoneはJavaScriptを使って自由にカスタマイズできます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできますが、セキュアなコーディングをしないと クロスサイトスクリプティング （以下、XSS）などの脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的なポイントを解説します。
UDID Replacement APIs in iOS 6
By Ole Begemann More about me and contact info September 20, 2012 Last update: September 24, 2012 In a last minute change to iOS 6, Apple added an option for users to opt out of targeted advertising. The setting can be found in the iOS Settings app under General > About > Advertising. I see no reason why Apple did not place it in the more obvious new Privacy section other than to hide it from most
【最終回】ソースコード・セキュリティー検査ツール「iCodeChecker」を使ってみる
今回はソースコード・セキュリティー検査の具体的な活用例として、情報処理推進機構（IPA）が無償で公開しているソースコード・セキュリティー検査ツール「iCodeChecker」を使った利用例を紹介する。 iCodeChecker は、C言語で作成されたソースコードに含まれる脆弱性を確認するツールである。検査対象のソースコードのファイルを読み込み、脆弱性の原因となるコードの個所と、その修正方法を解説するレポートを出力する機能を持つ。検査を容易に実施できる簡易Webと、別のプログラムと連携させられるようにコマンドラインの2種類のインタフェースを備えている。iCodeChecker の利用を通して、開発者が脆弱性に関する理解を深められると同時に、ソースコード・セキュリティー検査手法を用いた安全なソフトウエア開発について体験できる。 図1にiCodeChecker の利用イメージを示す。（1）～（5
Java セキュアコーディングセミナー資料
これまでにJavaセキュアコーディングセミナーで使用した講義資料を公開しています。 Javaアプリケーションの脆弱性事例の解説資料については解説資料のページをご参照ください。 オブジェクトの生成とセキュリティ 数値データの取扱いと入力値検査 入出力(File,Stream)と例外時の動作 メソッドとセキュリティ オブジェクトの生成とセキュリティ クラスの設計とオブジェクトの取扱いをセキュアに行うためのポイントについて、オブジェクトの生成におけるセキュリティをテーマに解説します。 基礎概念のおさらい（クラス、シリアライズ、GC） クラスとセキュリティ上の脅威 オブジェクトを生成する3つの方法（new, clone(), deserialize） 上記トピックスに関するクイズと演習 公開日 タイトル PDF PGP 署名
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
内部のナレッジベースに保存してある機密情報をCodexのコード生成結果で出力 | ScanNetSecurity
Microsoft、安全で高効率のプログラミング言語として「Rust」を高く評価
Not-Found