tomo｜インフラエンジニア

認証局のeMudhraが、インターネットを守る錠前に115桁の数を選ぶべき場面で「4」( 4桁ですらなく、ただの4) を選んでいた件。Cloudflareが1週間追いかけた記録。 ▼何が起きたか ・影響した中間認証局の秘密鍵は、公開されている証明書から誰でもほぼ即座に復元できた ・弱かった鍵は8つ。4、56、66、115、155、156、230、237 ・「同じ署名鍵を誰でも独立に復元でき、任意のドメインの証明書を作れる」 ▼Cloudflareの初動 ・10/19 影響の大きいシステムを即日パッチ。脆弱なeMudhra鍵を拒否するように ・着手から4時間で全体の分析を完了し、その日のうちにチームに確認を依頼 ・10/21 ログ収集の展開が完了 ▼1週間の観測 ・弱いeMudhra鍵を使った接続の試みが約22,000件 ・そのうち3分の2はテストサイトへの取得 ・160件ほどが、それとは別の挙動として目立った ・偽造証明書の1つは10/20 18:19 UTC付。Mozillaのバグ報告が公開されてから1時間以内 ▼パッチが届いていない側 ・最新のブラウザはおおむね対応済み。ただしボットと古いブラウザは別 ・5,000万件の調査で、Android WebViewは30〜40%がまだ受け入れる ・大規模なネットワークでは、半数以上が依然として侵害された証明書チェーンを受け入れる blog.cloudflare.com/emudhra-…

PHPのセキュリティ相談、最近本当に増えています。多い勘違いを4つ。 ①「サーバー会社が更新してくれる」→アプリ側のPHPのバージョンは自分の責任です。 ②「動いてるから大丈夫」→サポートが切れても普通に動きます。動く≠安全。特に先日のPHPの件だとこれがアウト。 ③「全部作り直すしかない」→使っていない機能を消すのが一番安い対策。サイトを閉じるのも選択肢の一つ。 ④「WordPressは最新です」→WordPressはPHPという言語でできています。だから最新だからといって、安全な訳では無い。

wtf this is absurd: France’s lower house backed a €0.055-per-GB tax on data sent to French users by providers like Netflix and Google. I seriously wonder if they don't understand that the higher costs will be passed directly on to the end customers.

記事を投稿しました！ 【AWS初心者向け】S3のフォルダとプレフィックスの違いをAWS CLIで確認する on #Qiita qiita.com/reo_infraengineer/…

Linux学習サイト コマンド学習道場 サイトが完成しました！！ ◾️Linuxの基礎・LPIC-1.2相当の学習 ◾️自由に打てるターミナルモード ◾️課題モードでLinux操作を養う これら以外にもコンテンツを豊富にご用意！ 全て無料でご利用可能😎 よろしくお願いいたします！ command-dojo.com/

【個人情報流出】 我が国の企業などに対する相次ぐサイバー攻撃によって、大規模な「個人情報流出被害」などが多数生じており、漏えいした情報を悪用した二次被害への不安が高まるなど深刻な事態となっています。個人情報流出の被害に遭われた方、ご心配のある方は、ご相談ください。 ▼個人の皆様のご相談窓口はこちら

昨日の登壇資料です！ Azureについての話がメインとなってしまいましたが、AWS DevOps AgentでAzure環境を調査できるようになった話で登壇いたしました。 ご清聴いただきありがとうございました！🐧 speakerdeck.com/siromi/aws-d… #jawsug_bgnr #jawsug

ドパガキって、褒められるために何か作ってる人のことだと思ってた。 昨日、友達が自作のAIを見せてくれた。 画面が鏡みたいになっていて、作ったものを見せてから、 「鏡よ鏡、今日も私の作品が世界で一番？」 と聞くと、 「もちろん、あなたの作品です」 と答えてくれるらしい。 さすがに笑って、 「毎回そう言うように設定してるんでしょ？」 と聞いたら、 「そうだよ」 と普通に返された。 「もっとすごい人がいても？」 「前の設定だと教えてくれた。『あなたも素晴らしいですが、最近はもっと若い方がこんなものを作っています』って」 「そっちの方が参考になるんじゃない？」 「参考にはなったよ。それで他の人の作品ばかり調べて、二週間、自分では何も作らなかった」 今は、比較せずに褒めてくれる設定にしているらしい。 「評価は公開したら嫌でもされるから。この鏡くらいは、私が一番って言ってくれてもよくない？」 友達はその日作ったものを鏡に見せて、返事を待っていた。

🚨 今度はCloudflareにもXSS脆弱性の報告！ 10月28日、セキュリティ研究者がCloudflareの画像配信機能に関する問題を公開しました。 今回報告されたのは、複数の欠陥を組み合わせることで、CSPというJavaScriptの不正実行を防ぐ仕組みを回避し、悪意あるコードを実行できるというもの。 これ、以前から私が言っていたことなんですよね。 「WordPressは危険だからCloudflareに移行すれば安全」 そんな単純な話じゃないんですよ（笑） もちろん、Cloudflareのセキュリティ基盤が優れていることは理解しています。 ただ、どんなサービスにも脆弱性が見つかる可能性はあります。 重要なのは、どの技術を使うかだけではなく、認証・認可、インフラ設計、脆弱性への対応、そして継続的な保守運用です。 今回の件も、Cloudflareを利用しているすべてのサイトが危険という話ではありませんし、修正状況や影響範囲は引き続き確認が必要です。 ただ、今回改めて思うのが、特定のサービスを使えばセキュリティ問題が解決するという考え方の危うさ。 ツールを変えれば安全になるなら、セキュリティエンジニアなんて苦労しませんよ（笑） AI時代だからこそ、技術の好き嫌いではなく、システム全体の安全性を考えるべきだと思っています。 参考記事👇 cybersecuritynews.com/cloudf…

Introducing Gemini 4 Carbon, it's a big jump over Argon which we released just 2 weeks ago. Gemini 4 Carbon is SOTA on cyber, long horizon tasks, ranks #1 on Artificial Analysis V5, significantly improves on usability in domains like coding, and is more aligned.

Bug bounty has definitely changed. I used to spend hours analyzing HTTP requests, switching back and forth between Firefox and Burp Suite. Now, I open my terminal, point my AI skills at a target, intercept and analyze HTTP traffic using Burp Suite MCP, and offload heavy tasks to my HackBot running on a VPS. But here’s the thing: AI doesn’t replace your hacking skills. It scales them. The goal is to get really good at manual hacking first, then use AI to automate and scale what you already know. Not the other way around. You don’t start by building a HackBot and expecting it to hack for you when you don’t even understand what it’s doing. Learn to hack first. Automate second. Scale third. Keep hacking! ✌️