この記事は毎週必ず記事がでるテックブログ Loglass Tech Blog Sprint の137週目の記事です！3年間連続達成まで残り22週となりました！ データベースの主キーはもう UUIDv7 一択――というのが最近の流れかもしれません。特に今は AI が「核心です！本質です！UUIDv7 です！」と自信満々に採用してくる時代です。だからこそ、人間の側もその背景をしっかり理解しておきたいものです。 ログラス プロダクト基盤部の小林です。ID体系を根本から考え直す機会はなかなかありませんが、ログラスにおいていくつかの新規事業や大規模なプロダクト改修が進む中で刺激を受け、この記事を書きました。 本稿では、 「デジタルシステムのID（DBの主キー）」 に焦点を当て、その変遷と現代のベストプラクティスを紐解きます。 TL;DR: ID技術の比較と選び方 現代のシステム構築において候補に挙が

デジタル社会のパスポートとも呼ばれるマイナンバーカードは、対面・オンラインでの本人確認を行うための様々な機能を有しています。 私は公共業界でデジタルアイデンティティに関する仕事をしているのですが、マイナンバーカードは調べても調べても知らない機能が出てきて、いまだに全容を把握しきれていませんでした。 そろそろちゃんと整理して理解しなければと思いまして、自分用のメモとして公開情報を調べながら、このnoteにとりまとめていきます。 おことわりこのnoteは私が個人的に調査した公開情報をまとめたものです。業務上知り得た秘密情報や非公開情報は含んでおりません。 マイナンバーカードの仕様理解については素人に毛が生えたレベルですので、抜け漏れや誤りがあったら優しく教えていただけると嬉しいです。 予想よりも機能が多すぎて、かなり長い記事になってしまいました。斜め読み、読み飛ばし推奨です。 今回は物理カード

セキュリティニュースメディア「GBHackers on Security」は2025年1月14日（現地時間）、Googleの「Googleでログイン（Sign in with Google）」認証システムに重大な欠陥が発見され、数百万人のユーザーの個人情報が漏えいするリスクがあると報じた。 Googleの認証システムに重大な欠陥　Slackなどに不正アクセスできるリスク この脆弱（ぜいじゃく）性はGoogleのOAuth（※）ログインの仕組みとドメイン所有権の変更に起因している。スタートアップ企業が倒産し、そのドメインが他者に購入されると、新しい所有者は旧従業員のメールアカウントを再作成し、さまざまなSaaSサービスにログインできる可能性がある。 この影響を受ける可能性のあるサービスには、「Slack」や「ChatGPT」「Zoom」などのプラットフォームや人事システムが含まれる。特に人事

Updated 2024-07-31 1638 UTC (Final Post-Incident Measurement Report) Using a week-over-week comparison, ~99% of Windows sensors are online as of July 29 at 5pm PT, compared to before the content update. We typically see a variance of ~1% week-over-week in sensor connections. Updated 2024-07-25 1954 UTC Using a week-over-week comparison, greater than 97% of Windows sensors are online as of July 24

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ

とのことなので、有名サイトでもこの脆弱性を抱えていることになります。 この記事に出てくる攻撃方法は 5つ あり、文章だとピンと来なかったのでシーケンス図に書き出してみました。 乗っ取りはすごい怖いですね... RDSの本番DBをtruncateしていくよりも下手したら損害が出る可能性もあるのでは？と思ってしまいます。 さて、本記事はこんなことかな？とふんわり書いているので、間違っていたら指摘していただけると嬉しいです Classic-Federated Merge Attack 攻撃者が被害者のメールアドレスを使い、先回りしてサービスのアカウントを作成しておく。被害者が「Googleでログイン」などでそのサービスにログインした場合にアドレスが統合されるため乗っ取りが成功する。攻撃者が設定したパスワードでログインできる。 Unexpired Session Identifier Attack

（語り手）JILIS副理事長 高木 浩光 （聞き手）JILIS出版部 編集長 小泉 真由子 （撮影）宇壽山 貴久子 この1年、過去の海外文献を調査していたという高木浩光さん。これまでの研究の一部は情報法制レポート創刊号の特集として掲載されましたが、高木さんに言わせると「あれはまだ序の口」とのこと。本日お伺いする内容は近々高木さん自身が論文にされる予定とのことですが、まだ時間がかかりそうということで、急ぎ、インタビューとしてお話しいただくことになりました。なお、このインタビューは大変長くなっております。ぜひ、最後までお付き合いいただければと思いますが、時間のない方は、目次を参照していただき、気になるトピックからお読みください。 —— 今日は、高木さんがどうしても今すぐみなさんに伝えたいことがあるとのことで、インタビューでお話を聞くことになりました。 高木： はい、よろしくお願いします。話はと

Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B

目的は何で、誰が責任を持ってコントロールするのか――アプリ以前のスキームが定まらないまま進んだ感のある新型コロナウイルス感染症（COVID-19）接触確認アプリの是非を、鈴木正朝、高木浩光、板倉陽一郎、山本一郎の4人が適度な距離を保って議論した。※本稿は2020年6月10日に収録したオンラインセミナーの内容に加筆修正を加えたものです

複雑な条文を読み解き、共に考えた1時間 2020年は個人情報保護法の見直しの年にあたり、改正法は6月5日に成立、6月12日に公布されました。その施行は一部を除いて、公布後2年以内となっています。 そんな中、MarkeZineの調査プロジェクト「MarkeZine RESEARCH」がリリースした『マーケティング最新動向調査 2020』の刊行記念ウェビナーを6月15日に開催。弁護士の板倉陽一郎氏に、個人情報保護法の基本的なコンセプト、改正のポイント、企業が行うべき対応などを、複雑な条文を読み解きながらわかりやすく解説いただきました。まったく異なるコンセプトから生まれた欧州のGDPRと比較しながら行われた、貴重な講演の模様をお届けします。 「個人情報保護法」はどのような法律なのか 板倉陽一郎弁護士は、個人情報やプライバシーをめぐる各国の法規制を整理し、企業が取るべき対応について情報発信してきた

プログラム 詳細が決まり次第、更新していきますのでご期待ください！ テーマ：産業サイバーセキュリティを考える　守れ！サプライチェーン

架空企業「オニギリペイ」に学ぶ、セキュリティインシデント対策：徳丸浩氏が8つの試練を基に解説（1/3 ページ） ECサイトやWebサービスでセキュリティインシデントを起こさないためには何をすればいいのか。2019年12月に開かれた「PHP Conference Japan 2019」で徳丸浩氏が、架空企業で起きたセキュリティインシデントを例に、その対策方法を紹介した。 ECサイトやWebサービスを提供する会社で発生したセキュリティインシデントに関するさまざまなニュースが後を絶たない。どうすればこうしたインシデントは防げるのだろうか。 『体系的に学ぶ安全なWebアプリケーションの作り方』（通称：徳丸本）の筆者として知られる徳丸浩氏（EGセキュアソリューションズ　代表取締役）は、2019年12月に開かれた「PHP Conference Japan 2019」のセッション「オニギリペイのセキュリ

ファーストサーバ社データ消失事故の教訓（４）ユーザー自身が学習しなければ、サービス品質の向上は望めない　―NPO法人情報セキュリティ研究所・上原 哲太郎氏 November 8, 2012 渡辺 聡 Satoshi Watanabe 慶應義塾大学大学院 政策・メディア研究科 特任助教。神戸大学法学部（行政学・法社会学専攻）卒。NECソフトを経てインターネットビジネスの世界へ。独立後、個人事務所を設立を経て、08年にクロサカタツヤ氏と共同で株式会社企（くわだて）を設立。大手事業会社からインターネット企業までの事業戦略、経営の立て直し、テクノロジー課題の解決、マーケティング全般の見直しなど幅広くコンサルティングサービスを提供している。主な著書・監修に『マーケティング2.0』『アルファブロガー』（ともに翔泳社）など多数。 ファーストサーバの事故は、システムの構成、運用体制の不備、人的なミスといっ

セキュリティコードが漏洩する事例が多い 上表からわかるように、セキュリティコードまで漏洩する例が14件中10件と多くなっています。昨年以前でもセキュリティコードが漏洩する事件は継続的に発生しており、以下の記事にまとめたことがあります。 決済代行を使っていてもクレジットカード情報が漏洩するフォーム改ざんに注意 ここでいう「フォーム改ざん」の手口は、以下の記事の「タイプ4」に相当するものです。 クレジットカード情報盗み出しの手口をまとめた この「タイプ4」が日本で初めて使われたのは、上記記事からもわかるように、2013年3月のJINSオンラインショップ事件です。上表の事件にもタイプ4のものが多いのではないかと予想しますが、はっきりタイプ4と思われるのは、パレタスオンラインショップの事件です。同社のリリースには以下のように記されています。 弊社公式通販サイトのウェブサーバーに外部からの不正アクセ

2018年10月4日、JPタワー　ホール＆カンファレンスにて開催された「Security Days Fall 2018」において、キヤノンITソリューションズによる講演「サイバー攻撃の最新動向」が行われました。当セッションでは、マルウェアの解析を担うアナリストの池上氏より、解析者の視点からみた最新のサイバー攻撃事例とその対策について語られました。本記事ではその全容をお送りします。 最新のサイバー攻撃手法と、その対策池上雅人氏：みなさん、おはようございます。本日は、朝早くからお越しいただき、誠にありがとうございます。キヤノンITソリューションズ株式会社の池上と申します。 私は「マルウェアアナリスト」という肩書きのとおり、ふだんはマルウェアの解析を仕事にしています。本日は解析者の視点から最新のサイバー攻撃についてお話ししたいと思います。本セミナーでは非常に多くのテーマを取り扱います。ぜひキーワ

Facebookのユーザー情報8700万人分が、Facebook社の知らないうちに不正利用されていたいわゆる「Cambridge Analyticaスキャンダル」問題をめぐり、マーク・ザッカーバーグCEOは4月10日と11日、米連邦議会の2つの公聴会で合わせて約10時間にわたって質問攻めにされました。 用意周到で頭脳明晰（めいせき）なザッカーバーグ氏はほとんどほころびを見せなかったので、株価は下がるどころか上昇し、取りあえずは乗り切ったようです。 今後、公的な規制が厳しくなる可能性はありますが、ザッカーバーグ氏ならそれを切り抜けて今のビジネスモデルでやっていけそうです。 このスキャンダルは、約20億人のユーザーが自分のプライバシーについてあらためて考えるきっかけになるかもしれないと思ったのですが、Facebookのグローバルマーケティングソリューション担当副社長、キャロリン・エヴァーソン氏

「分からない」としか言えないリーダーはいらない――「サイバー攻撃対処」における問題の本質 基調講演では、「今まさに、昨日夜から感染を広げている新しいランサムウェアの対策支援を行っている」と述べたPwCサイバーサービスの最高技術顧問、名和利男氏が「サイバー攻撃対処に必要な「（体制ではない）態勢」、及びそれを実現する「能力」獲得について」と題して講演を行い、これからの脅威に備えた対策のポイントを語った。 子どもがコピペでランサムウェアを作って攻撃 名和氏は、「WannaCry」などのランサムウェアの登場によって、「多くの経営者がITシステムのPCと設備機械のPCの違いを意識していないことが明らかになった。ITシステムのPCならば何らかの対策を導入できるが、設備機械のPCは、委託業者が納品物として導入しており、安定稼働を第一としている。そのため多くの場合、適切なタイミングでパッチを適用できないこ