技術系フィードから毎時取り込んでいる、まだ誰も拾っていない記事です。ジャンルで絞って探せます。ログインすると、気になったものをその場でブックマークできます。
脆弱性、認証、暗号
「OpenSSL 4.0.2」など5つの系列をリリース ─ 最大11件の脆弱性を修正 QUICサーバの二重解放、CMSのヒープバッファオーバーフロー、CMPのDoSなどに対応 kawahara 2026年8月27日 シェア ポスト はてブ 優先するニュース提供元に追加 OpenSSL Projectは8月25日(現地時間)、「OpenSSL 4.0.2/3.6.4/3.5.8/3.4.7/3.0.22」をリリースした。 「OpenSSL」は、TLS/SSLプロトコルや各種暗号化アルゴリズムを実装するオープンソースのライブラリおよびツールキット。Webサーバ、メールサーバ、VPN、ネットワークア
こんにちは。アカウント基盤開発部でエンジニアをしている tkmt (たくまつ) です。 今回は、IETF で標準化が進んでいる Transaction Tokens について調査してまとめてみました。というのも、この Transaction Tokens が解こうとしている課題が、バクラクが抱えていた課題とほとんど同じだったためです。 実はバクラクでは、同じ課題を解くための仕組みを自作しています。バクラクで実装された仕組みは、ドラフトで検討されている内容とどこが同じで、どこが違うのか読み比べてみたく調査しました。 解きたかった課題 バクラクには、プロダクトを跨いで認可を行いたいケース...
こんにちは！セキュリティ部のkaworuです。先日開催された、セキュリティ・キャンプ2026全国大会にて、専門B プロダクトセキュリティクラスの講義をセキュリティ部のeiji, yamane, kaworu の3名で担当しました。 私たちが担当したのは、2026年8月11日(火・祝) のB1講義「プロダクトセキュリティの理想と現実」。 技術や知識の説明だけでなく、後に続くB2 ~ B6講義への導入や動機づけという役割もある講義です。 この記事では、講義で取り扱った内容や、講義準備の背景を紹介します。 当日の講義の様子はこのような感じでした。 フリー株式会社の越智郁氏、杉浦英史、山根将司氏による
Googleは、完全準同型暗号を利用したAIモデル用のオープンソースコンパイラ「HEIR」を発表しました。 AIモデルをコンパイルする「HEIR」 HEIRはAIモデル用のコンパイラとツールチェーンであり、これを用いて学習済みAIモデルのP...
技術本部Platform Engineering Unit Identity Platformグループの吉山です。 弊社が提供する経理AXサービス「Bill One」や契約AXサービス「Contract One」といったプロダクトが利用する共通認証基盤「Auth One」の開発と運用に携わっています。 私は新卒で入社してから6年間、技術本部情報セキュリティ部という部署に所属していました。 社内からの不審な事象報告の対応、アラート監視といったいわゆるSOC（Security Operation Center）業務を中心に担当していました。 その他にもインシデントレスポンス、調査に利用するSIEM
こんにちは。SmartHRでプロダクトエンジニアをしているbmf_sanです。プロダクト基盤開発本部の認証・認可基盤ユニットで、チーフを担当しています。 2026年2月、SmartHRに「認証・認可基盤ユニット」という新しいチームが発足しました。その名の通り、SmartHRの認証・認可領域を専任で担うユニットです。 本記事では、なぜSmartHRが今、認証・認可の基盤づくりに改めて本気で取り組むのか、そして私たちのチームが何を目指し、何をやっているのかを紹介します。 認証・認可基盤ユニットとは SmartHRのプロダクト基盤開発本部は、権限管理・課金・従業員データ活用など、プロダクト横断の基盤
Go 1.27でcrypto/mldsaが追加されました。ポスト量子暗号のデジタル署名ML-DSAの実装です。Goのポスト量子暗号への対応はGo 1.24から始まっています。鍵交換のML-KEMが入り、TLSの既定で有効になりました。
LayerXではSigmaの導入を進めています。今回はSigma導入の第一歩として、弊社がIdPとして利用しているMicrosoft Entra IDによるSSO、及びSCIMプロビジョニングの有効化を行ったので、その手順をブログに残しておこうと思います。
こんにちは。LINEヤフー株式会社で認証・認可基盤「Athenz」の開発・運用を担当している金 廷祐（Kim, Jeongwoo）です。前回の記事「AI時代の認証課題を解決する次世代標準候補「ID-J...
はじめに お久しぶりです、マネーフォワード ID 開発チームの @nov です。 前回のレポートから、あっという間にもう7月になってしまいました。夏ですね。 Vol.9 以降、パスキーのみでのアカウント登録導線も好調で、その他のパスワードが生成されるタイミングでも代わりにパスキーを登録できる経路を拡大しています。 それらの説明も行いながら、今回もまたパスキー利用状況レポートを更新しようと思います。 パスキー登録状況 @ 2026 Jul. では、恒例の数字を見ていきましょう。 2026年07月現在、マネーフォワード ID には全部で約 3,400,000 個のパスキーが登録されています。 Vo
こんにちは。Yahoo! ID連携のiOS SDKの開発・運用を担当している矢倉です。現在、多くのヤフーのiOSアプリでは、ローカル認証を活用した独自のデバイス認証による再認証機能を搭載しています。こ...
初めまして！ NTTドコモビジネス情報セキュリティ部の池山と申します。 未経験からセキュリティ分野に飛び込み、現在は脅威情報を中心に業務を担当しています。 2026年6月13日に開催された「第5回セキュリティ若手の会」にて、ドコモグループ（NTTドコモ・NTTドコモビジネス）はゴールドスポンサーとして協賛し、講演の機会をいただきました。 この記事では、初の外部登壇かつ初参加となった「セキュリティ若手の会」について、ギリギリ若手（社会人3年目）の視点から当日の様子をご紹介します。 セキュリティ若手の会とは？ 当日の様子 LT＆交流会 スポンサー講演登壇 最後に セキュリティ若手の会とは？ 「セキ
はじめに こんにちは！ DeNAセキュリティ部の竹浪と申します。 突然ですが、セキュリティインシデントが発生したとき、あなたの組織では誰が対応をリードしますか？ DeNAでは、日々変化する事業環境の中で、サービスを安全かつスピーディーに提供するために、さまざまな角度からセキュリティ強化に取り組んでいます。 中でもユニークなのが、今回ご紹介する新任マネージャ向けのセキュリティインシデント対応ワークショップです。 この記事では、DeNAがなぜこのワークショップを重要視し、どのように実施しているのか、そしてどのような学びを提供しているのかをお伝えします。
大手通信会社が運営するISP向けメールシステムが不正アクセスを受け、最大1,422万件のメールアドレスとパスワードが外部に漏洩した可能性がある——2026年6月23日、そんな発表がありました。影響範囲は@niftyメールやBIGLOBEメール、J:COM NET、コミュファ光、ピカラ、CPIなど、6社のメールサービスにまたがります。 その後の報道では、 漏れた認証情報を使ってメールボックスが不正に閲覧されたり、メールの送信機能が悪用されたりする恐れ も指摘されています。単にIDとパスワードのリストが流れただけでなく、メールそのものの中身にも手が届きうる、という話です。 続きをみる
皆さまどうもこんにちは、@strinsert1Na という人です。 普段は情報セキュリティ部のマネージャーとして働いている筆者ですが、「たまには羽を伸ばしたい!」というモチベーションから先月開催されたセキュリティカンファレンス「BSides Tokyo 2026」に登壇し、近年世間を騒がせているレジプロ関連の話題についてお話ししてきました。 この記事では、筆者が発表した内容の簡単な紹介に加えて、カンファレンスの様子や参加してみた感想についてまとめたいと思います。 はじめに ― What is BSides Tokyo? 何を発表してきたのか? ― What is レジプロ? 全体を通しての感想
「自然言語で指示するだけでアプリが作れる」。この体験のインパクトは本物で、私自身も日々その恩恵を受けています。ただ、その裏側で静かに積み上がっているものがあります。誰のレビューも受けないまま、機密データを抱えたアプリがインターネット上に置きっぱなしになっている、という現実です。 2026年5月、イスラエルのあるセキュリティ企業が公表した調査が、その規模を可視化しました。AIコード生成ツールで作られた約38万件のアプリやアセットがインターネット上で誰でもアクセスできる状態にあり、そのうち約5,000件に、医療記録・財務文書・社内のやり取りといった機密データが含まれていたというのです。 続きをみる
! 本記事は2026年6月3日時点で公開されている情報に基づきます。事案の詳細や影響範囲は今後の公式発表で更新される可能性があります。 はじめに 2026年6月2日、株式会社CAMPFIREが「不正アクセス事案にかかる調査結果について」を公表しました。同社は2026年4月から、GitHubアカウントへの不正アクセスに端を発する最大 22万5846人分 の個人情報漏えいの可能性を段階的に公表してきましたが、今回ようやく 「なぜ侵入されたのか」という原因 が明らかになった形です。 公表された原因を一言でまとめると、こうです。 従業員が発行したGitHubの認証情報が、その従業員が個人...
! 本記事には、公開情報で確認できる事実（polyfill.io 事件の経緯）と、2026年5月〜6月に個別に観測した内容が混在しています。後者は「筆者の一次観測」として明示し、確定情報とは区別して記述します。特定の事業者の運用を非難する意図はなく、「参照を消し忘れることのリスク」という一般論を扱います。 はじめに：買い物しようとしたら知らないドメインがパスワードを要求してきた ある大型商業施設の情報を見ようと公式サイトを開いたら、いきなりこんなダイアログが出てきました。 ログイン https://polyfill.io にはユーザー名とパスワードが必要です。 ユーザー名 ／ パ...
はじめに 2026 年 5 月 20 日（日本時間）、GitHub は自社の内部リポジトリへの不正アクセスについて、公式 X アカウントで続報を発表しました。要点は次の 2 つです。 侵害経路は、悪意のある VS Code 拡張機能を介した社員端末への攻撃 流出は内部リポジトリのみに留まる、というのが現時点での見解 直前には、ハッカー集団「TeamPCP」を名乗る人物がダークウェブ上で「約 4,000 件のプライベートリポジトリを窃取した」と主張していました。GitHub 側もこれを受けて、約 3,800 件 という数字が「これまでの調査と方向性において一致している」と認めていま...
! 本記事は2026年5月1日に共同通信および米Proofpoint社が発表した「中国の春節期間中、日本へのフィッシング攻撃が約7割減少した」という調査報道を起点にした技術解説です。 はじめに 2026年5月1日、米セキュリティ企業 Proofpoint の調査として、2026年の春節大型連休（2月15日〜23日）期間中、Amazon などの大手企業を装った日本向けフィッシング攻撃が前後の期間と比べて約7割減少していたという報道が出ました。Proofpoint の担当者は「これらの攻撃は主に中国から組織的に行われている可能性がある」「ハッカーも春節は休むようだ」とコメントしています...
はじめに 2026 年 5 月 3 日、マネーフォワードが GitHub 不正アクセス事案について第二報を公開しました。第一報（5 月 1 日）の段階では「ソースコードと一部の個人情報が流出した」という事実関係までしか開示されていませんでしたが、第二報では「なぜ GitHub に個人情報が含まれていたか」という、エンジニアにとっていちばん知りたかった部分に踏み込んだ説明が加わっています。 その記述がこちらです。 通常、GitHub 上に保存するソースコードに個人情報の入力はございません。しかしながら、個人情報の取り扱いを伴うサービスの更新作業を行う過程で、個人情報が含まれたファイル...
! 本記事は2026年5月1日時点で公開されている情報に基づきます。2りんかんイエローハットおよびイエローハットのサーバーで採用されていた具体的な保管方式は公表されていないため、本記事は「公表文の記述から読み取れる範囲の議論」と「一般論としてのベストプラクティス」を扱います。特定企業の実装を断定するものではありません。 はじめに 2026年5月1日、自動車用品大手のイエローハットは、子会社「株式会社2りんかんイエローハット」のサーバーへの不正アクセスにより、最大 3,455,754人分 の会員情報が漏洩した可能性があると発表しました。漏洩対象には氏名・住所・電話番号・生年月日・性別...
はじめに 2026 年 5 月 1 日、マネーフォワードが「GitHub への不正アクセス発生に関するお知らせとお詫び（第一報）」を公表しました。GitHub の認証情報が漏えいし、第三者によりリポジトリがコピーされ、ソースコードと一部の個人情報が流出した可能性があるという内容です。同時に、銀行口座連携機能を一時停止する措置もとられました。 この事案は、エンジニア視点で見ると「仕方ない部分」と「明らかにアウトな部分」がはっきり分かれる、教科書のような事例になっています。GitHub 認証情報の漏えい自体は、正直に言ってどの会社でも起こり得ます。一方で、流出したとされる中身に 本番カー...
こんにちは、イノベーションセンターの石禾（GitHub：rhisawa）です。NTTドコモビジネス内製OT向け侵入検知システム（OT-IDS）であるOsecTの開発・運用・拡販業務に取り組んでおります。 このたび、米国マイアミで開催された大規模OTセキュリティカンファレンスS4x26にOsecTのスポンサー出展および聴講参加してまいりました。本記事では、世界中の専門家が集結した現地の模様と、最新のOTセキュリティトレンドについてお伝えします。 OTセキュリティとは OsecTとは S4x26の概要 スポンサーとしての出展 聴講者として Maritime: Compliance Risk Tru
こんにちは、こんばんは、おやすみなさい。id:sota1235です。 私は組織図上、セキュリティチームに所属しています。 ですが次の記事でも言及しているとおりここ1年弱の間はCorpIT業務も担っています。 10x.co.jp 本日はCorpIT業務を引き継ぎ、改善していく過程で取り組んだ「業務で利用しているSaaSやWebサービスを把握」について紹介します。 課題 引き継いだタイミングの状況 何があるかわからない さまざまな課題 CorpIT観点 セキュリティ観点 管理方法の課題 どう課題に立ち向かうか どのように取り組んだか ToBeを考える サービス管理台帳的なものの存在は必須 管理台帳
10X Product Blog読者の皆さん、こんにちはこんばんは、セキュリティチームのyagihashです。 この記事は、10X 新春ブログリレー 2026の1月31日の記事です。 本日は掲題の通り、10Xで導入したOcto STSというGitHub App Tokenの管理のための仕組みについて、背景にあった課題や使用感などを交えて紹介します。 9月から寝かしていた記事を締め切り駆動で書き切ってしまおうと思い立ち、まだ白紙の状態だったので締め切りは先の方がいいな…と思っていたらトリを務めることになってしまいました。緊張して声がうまく出なくてどうしようと思いましたが、ブログなので関係ありませ
こんにちは、こんばんは、おやすみなさい。id:sota1235です。 この記事は10X 新春ブログリレー 2026の29日目の記事です。 新春というにはもう2月が目前に迫っている気もしますが細かいことは気にせず、今回は私が所属するセキュリティチームの取り組みである輪読会について緩く紹介しようと思います。 セキュリティチーム輪読会とは なぜ輪読会をやるのか きっかけ 情報収集の時間軸 どうやってやってるのか 輪読会のネタ出し 細く長く無理なく、がテーマ ガンガン脱線してもいい輪読会 どれくらい続いてるのか 読んだコンテンツをいくつか紹介 GitHub Organizationの安全な運用とモニタ
はじめに こんにちは、開発部の古川です。 普段は、ぐるなびの認証や個人情報、ポイントシステムといったぐるなび内の各サービスから利用される共通システムを担当しています。 今回は、私たちが担当しているシステムにおける JavaのEOSL (End of Support Life) 対応 について、検証から意思決定までの取り組みをまとめました。
はじめに id:rotom です。社内情報システム部 兼 CISO室 所属で ITとセキュリティを何でもやります。 このエントリは 一休.com Advent Calendar 2025 12日目の記事です。 少し遅れての投稿になってしまいましたが、昨日は id:kentana20 による 一休.com 宿泊の料金・ポイント計算処理の改善 - 一休.com Developers Blog でした。その他の素敵なエントリも以下のリンクからご覧ください。 qiita.com 昨年のアドベントカレンダーでは、情シスにおける6年間の取り組みについてご紹介させていただき、一定の反響をいただくことができま