Hunk | beginner Tempester

@Hank_agli

Oct 26

oyamon

@oyamon_dev

Oct 26

「GMOのセキュリティがガバガバで、誰でも簡単に侵入できる状態だった。だからGMOが悪い」という批判があるけど、これって実はハッカー側の印象操作に乗せられているんじゃないか、という危うさも少し感じている。

今回の攻撃者の声明を見ていて、ちょっと気になったことがある。

攻撃者は、GMOの管理体制の問題として、Active Directoryによる集中管理や、複数の顧客VPSに共通する管理者アカウントの存在などを具体的に指摘している。

でも、肝心の「最初にどうやってGMOの管理環境に侵入したのか」については、具体的な説明がない。

管理者のIDやパスワードを盗んだのか、何らかの脆弱性を突いたのか、それとも別の方法だったのか。

そこが分からない以上、本当に最初の侵入が簡単だったのかどうかは、まだ判断できないと思う。

ここで分けて考えたいのが、「最初に侵入することの難しさ」と「一度侵入された後に被害が広がりやすいこと」は、別の話だという点。

仮に共通の管理者アカウントが存在していたとしても、それは管理者権限を奪われた後に、多数の顧客環境へアクセスできてしまう問題であって、誰でも簡単に外部から侵入できたことを意味するわけではない。

もちろん、侵入後の被害を食い止めるための対策が不十分だったのであれば、そこはGMO側の問題としてきちんと検証されるべきだと思う。

ただ、今回の攻撃者はGMOに金銭を要求している立場でもある。

GMOの管理体制の問題については詳しく説明する一方で、自分たちが最初にどうやって侵入したのかは明かしていない。

こうした情報の出し方によって、「GMOは誰でも簡単に侵入できるほどセキュリティが甘かった」という印象が広がっている可能性もあるんじゃないだろうか。

そして、GMOへの批判が強まれば企業としての信用も傷つくし、攻撃者にとっては身代金交渉を有利に進めるための圧力にもなり得る。

だとすると、攻撃者にとって都合のいいストーリーが、世間に広まってしまっている可能性も考えておきたい。

GMOのセキュリティ対策に問題があったことと、最初から誰でも簡単に侵入できたかどうかは、分けて考える必要があると思う。

GMO側の問題は問題としてしっかり検証すべきだけど、同時に、ハッカーが発信する情報をそのまま受け取って、知らないうちに攻撃者の思惑に乗せられてしまうことにも気をつけたい。

とよしま

@toyoshim

Oct 24

山本和彦@kazu_yamamoto

Oct 23

少なくとも、自分の専門領域においては、AIよりも賢いと信じたいのは分かるけど、もはや幻想のような気がする。
たとえば、僕が読んだRFCの数は多いが、AIは全部読んでる。
プロトコルの仕様に関する領域でさえ、僕はもうAIに勝てない。

とよしま

@toyoshim

Oct 24

OpenAI

@OpenAI

Oct 23

During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a widely-deployed compression library included in many pieces of software such as Node.js, Bun, and Envoy.

The flaw could let an attacker run their own code on affected systems by sending or replying with malicious compressed data, without any need to create a user account. That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl --compressed”) could be taken over by a malicious server.

This root cause issue was actually fixed in the Brotli source code in February, but it wasn’t known at the time that it gave rise to a security vulnerability and there was no more recent release of Brotli. Since Brotli is built into other software, any software which includes this library needs to take the update too, followed by the users of that software. We disclosed the vulnerability to Brotli and other downstream projects such as Node.js, which released or are currently releasing security updates, and Brotli cut new release versions and published a CVE.

More details on the patch and mitigations below:
patchtheplanet.org/brotli

のぶゆき

@mrnobuyuki

Oct 5

週刊アスキー@weeklyascii

Oct 5

AIでサイバー攻撃のコスト激減　数行の指示だけで27社に侵入、カード情報60万件超が流出 weekly.ascii.jp/elem/000/004/4…

Osamu MATSUMOTO

@osm

Aug 14

Osamu MATSUMOTO

@osm

Aug 13

AIで複数のプロダクトを並行開発をしていると、localhostのポート番号管理が面倒になる。ということで、DNS付きリバースプロキシー with 証明書自動発行を作った。　ってか誰かやってるやろう〜とは思うw
github.com/osamu/localapp