タグ: #security
GPU・LLM・MLOps・Kubernetes、そしてマインドセット · 139 件
DMARCが11年越しに標準になった — RFC 9989のツリーウォーク、pct廃止、そしてp=reject警告
2015年3月からメール認証の事実上の標準だったDMARC(RFC 7489)は、実はIETFのワーキンググループ合意を経ていないInformational文書でした。2026年5月、IETFはこれをRFC 9989(本体)、RFC 9990(集約レポート)、RFC 9991(失敗レポート)という3つのStandards Track文書に置き換え、DMARCは11年越しに正式なインターネット標準になりました。組織ドメインの判定はPubl
2026-07-17 · 28 分で読めます #email#dmarc#dns#security#rfc47日証明書までの日程表 — SC-081v3原文で確認する段階別日付、Let's Encryptの45日移行、ACME ARI
2026年3月15日から、公開信頼(publicly-trusted)TLS証明書の最大有効期間はすでに398日から200日に短縮され、CA/B Forumの投票(SC-081v3)で確定した日程に沿って、2027年3月には100日、2029年3月には47日まで下がります。もっと痛いのは有効期間ではなくドメイン検証の再利用期間です — 2029年3月からは10日に縮み、事実上更新のたびに検証をやり直すことになります。本稿はよく引用される
2026-07-17 · 28 分で読めます #security#tls#certificates#webpki#automationOpenSSH 10.4 精読 — 実験的ML-DSA複合署名、mlkem768デフォルトの次の一歩、そして運用者を噛む廃止たち
2026年7月6日に出たOpenSSH 10.4は一見バグフィックスリリースですが、リリースノートを精読すると2つの流れが見えます。ひとつは耐量子移行の次の一歩です — 鍵交換は10.0(2025-04)でmlkem768x25519-sha256がデフォルトになり事実上ひと区切りがつき、10.4はML-DSA-44とEd25519を束ねた複合署名 ssh-mldsa44-ed25519@openssh.com を実験サポートして署名の
2026-07-17 · 26 分で読めます #security#openssh#ssh#post-quantum-cryptography#cryptographyKeycloak 26.7 — SCIM がプレビューに昇格、外部 Infinispan 不要のマルチクラスター v2、そしてアップグレードで踏みやすい落とし穴
2026年7月9日にリリースされたKeycloak 26.7.0は、4年近く未解決だった要望であるSCIM APIをプレビューへ昇格させ、外部InfinispanクラスターなしにデータベースだけでマルチクラスターHAを構成するマルチクラスターv2をプレビューとして投入しました。Organizations(組織)機能には専用の管理ロールと組織単位のきめ細かい権限委任が加わり、マルチテナント運用が一段洗練されました。ただしSCIMはKeyc
2026-07-17 · 27 分で読めます #security#keycloak#sso#iam#scimcurl 8.21.0のCVE18件 — バグバウンティ廃止のあとに来た「高品質カオス」
2026年6月24日、curl 8.21.0は1リリースでCVE18件を発行し、プロジェクト記録を更新しました。ただし18件すべてがLowかMediumで、Highは2023年10月以来一件もありません。この数字の裏には、AIスロップ報告に疲弊して2026年1月末にバグバウンティを廃止したプロジェクトが、3月からは正反対に「ほぼ全部AIを使っているのに品質は高い」報告の洪水に見舞われているという話があります。本稿はcurlが自ら公開する
2026-07-17 · 27 分で読めます #network#security#curl#cve#open-source2026年10月11日、ルートKSKが変わる — 今ルートゾーンに実際に入っているもの
DNSSECの信頼アンカーであるルートKSKが、2026年10月11日にKSK-2017からKSK-2024へ切り替わります。ほとんどのリゾルバにとってこれはRFC 5011のおかげで何も起きない出来事ですが、トラストアンカーを更新できなかった検証リゾルバにとっては、その日すべての問い合わせがSERVFAILで死ぬ崖です。本稿はルートゾーンを直接問い合わせて今何が入っているかを確認するところから始め、8段階6年のロールオーバー日程、RF
2026-07-16 · 47 分で読めます #network#dns#dnssec#security#protocolPQ証明書がまだ来ない理由 — ML-DSA署名サイズ、10kBの壁、そしてMerkle Tree Certificates
ポスト量子移行では、鍵交換(暗号化)はすでにかなり進んでいますが、証明書と署名の側はまだスタートラインです。理由は暗号理論ではなくサイズです — FIPS 204が定めるML-DSA-44署名は2,420バイトで、ECDSA P-256の64バイトよりはるかに大きく、今日のWebハンドシェイクは署名5個と公開鍵2個を運ぶため、そのまま置き換えると認証データだけで1万バイトを超えます。Cloudflareが2021年に実測したところでは、
2026-07-16 · 38 分で読めます #security#post-quantum-cryptography#tls#webpki#certificatesパスキーの可搬性は半分しか届いていない — CXFは標準になったが、CXPはいまだ2024年のワーキングドラフトのまま
FIDOの資格情報交換仕様は2つに分かれています。何をやり取りするかを定義するCXFは2025年8月14日にProposed Standardとなり、2026年3月9日にはerrataも出ましたが、どうやり取りするかを定義するCXPはいまだ2024年10月3日のワーキングドラフトで止まっています。そのドラフトは自身について「いかなる実装の根拠とすることも意図していない」「いかなる公式な地位も持たない」と記しています。ところがCXFが運ぶ
2026-07-16 · 30 分で読めます #security#passkeys#webauthn#fido#standardsAWS Lambda MicroVMs — エージェントが書いたコードをVM分離で実行するということ、そしてスナップショットが生む新しい問題
AWSは2026年6月22日にLambda MicroVMsをローンチしました。FirecrackerのマイクロVMをサービスとして売る製品で、狙う市場は明確です — ユーザーやAIが生成したコードをテナントごとに隔離して実行すること。コンテナが抱えるカーネル共有の問題をVM境界へと押しやり、起動の代わりにあらかじめ作っておいたFirecrackerスナップショットから復帰することで起動遅延をなくします。ところが、そのスナップショットこ
2026-07-16 · 30 分で読めます #security#firecracker#microvm#aws-lambda#sandboxingイシュー1件でサプライチェーンの端まで — CI内のエージェントが崩れた経路と、防御が実際に稼いだ時間
2026年6月1日にGMO Flatt SecurityのRyotaKが公開したClaude Code GitHub Actionsの脆弱性は、CIパイプラインに入り込んだエージェントがどのようにしてリポジトリ全体を明け渡す通路になるのかを、最後まで追った事例です。ボット判定の一行が信頼境界を崩し、イシュー本文に仕込まれた指示が命令になり、読み取り専用に見える一つのコマンドが流出チャネルになります。本稿はその経路をアーキテクチャのレベル
2026-07-16 · 39 分で読めます #security#ai#prompt-injection#supply-chain#ci-cdROVが防いだこと、ASPAがまだ防げないこと — 2026年6月テレグラム・ハイジャックとルーティングセキュリティの次の層
2026年6月16日、インドのRcom(AS18101)がテレグラムのプレフィックスをハイジャックし、Kentikの計測によればそのハイジャック経路を見た自社BGPソースはわずか1.6%だけでした。RPKI ROVが実際に機能した事例です。しかしこれは、originを偽装しない不手際なハイジャックだったからであり、ROVの構造的な天井は、originが正当なままルートが誤った方向へ流れるルートリークをまったく見抜けない点にあります。その
2026-07-16 · 41 分で読めます #network#bgp#rpki#routing#securityaxios アカウント乗っ取り3時間 — provenance はオンだったが、誰も確認しなかった
2026年3月31日00:21 UTC、週間ダウンロード8千万件を超える axios に悪性バージョン1.14.1がアップロードされました。興味深いのは、axios がすでに npm の trusted publishing を使っていたという点です — 直前の正規リリース1.14.0は GitHub Actions が OIDC で発行しており、SLSA provenance まで付いていました。それでも防げませんでした。truste
2026-07-16 · 35 分で読めます #security#supply-chain#npm#nodejs#devsecopsQuadRFとソフトウェア無線 — 「壁越しにWiFiが見える」の本当の意味
Jeff Geerlingが紹介したQuadRFは、Raspberry Pi 5の上に4×4 MIMOソフトウェア無線とフェーズドアレイアンテナを載せた開発キットです。「壁越しにWiFiが見える」というセンセーショナルな見出しはX線透視ではなく、もともと壁を通り抜けるRF信号の方向を求め、カメラ映像の上に毎秒30フレームで重ねるという意味です。本稿ではSDRとは何か、QuadRFが実際に何をして何をしないのか、そしてフェーズドアレイが趣
2026-07-11 · 11 分で読めます #sdr#rf#radio#raspberry-pi#hardwarenpmのサプライチェーン攻撃が消えない理由 — npm-scanが実際に見るもの、そして本当に効く防御
npmのサプライチェーン攻撃は、偶発的な事故ではなく、インストールスクリプト、推移的依存、タイポスクワッティングという構造から繰り返し生まれます。2025年の Shai-Hulud ワームは、インストールスクリプトで自己複製し、npm トークンやクラウドの鍵を盗み出しました。先日 Hacker News で話題になった npm-scan は、この問題をローカルの静的・行為分析で捕まえると掲げる道具です。本稿は README を土台に、n
2026-07-11 · 13 分で読めます #npm#supply-chain#security#javascript#nodejsEUチャットコントロール1.0：実際に可決されたものと、クライアントサイドスキャンという論点
2026年7月9日、欧州議会は採決に参加した議員のうち反対が賛成を上回ったにもかかわらず、メッセージスキャンの規則を可決させました。「チャットコントロール」という呼び名の下には、自発的スキャンを認める1.0と、義務的な検知を課す2.0(CSAR)提案という、性格の異なる二つが混在しています。本稿では、実際に可決されたもの、第二読会の絶対多数ルールという手続き、そしてクライアントサイドスキャンとエンドツーエンド暗号化の技術的な衝突を、開発
2026-07-11 · 12 分で読めます #privacy#encryption#eu-regulation#client-side-scanning#messagingGhostLock — Linuxのrtmutexに15年潜んでいたスタックuse-after-free(CVE-2026-43499)
GhostLock(CVE-2026-43499)は、Linuxカーネルのリアルタイムミューテックス(rtmutex)コードにあったスタックuse-after-freeです。nebusec.aiのIonStack第2部の分析によれば、この欠陥は2011年の2.6.39-rc1から2026年4月の修正まで、およそ15年間メインラインに残っていました。原因は小さく、removewaiter()が後始末する対象のwaiterを常に現在のスレッ
2026-07-11 · 12 分で読めます #linux-kernel#security#use-after-free#privilege-escalation#rtmutexKeycloakで SSO を構築する — Realm・Client・フローから 2026 年の新機能まで
社内アプリ 20 個にログインをそれぞれ実装する代わりに、1 つのアイデンティティサーバーがすべてを代行できるようにするのが SSO です。オープンソースの標準である Keycloak を、Realm・Client・Role・Identity Provider という 4 つの中核概念で理解し、OIDC Authorization Code + PKCE のログインフローを 1 ステップずつ追い、Quarkus ディストリビューションの
2026-07-09 · 14 分で読めます #keycloak#sso#oidc#security#devopsAI でバグを狩る — 自動化されたセキュリティ研究の時代
AI が API を大量に自動探査して脆弱性を発掘する事例が増えています。ファジング、差分分析、LLM 補助トリアージの仕組みから、攻撃者も AI を使う非対称性、防御側への含意、そして倫理と責任ある開示まで、自動化されたセキュリティ研究の現在を深く見ていきます。
2026-06-25 · 39 分で読めます #devops#security#ai#bug-bounty#fuzzingAI時代のサイバーセキュリティ投資 — 攻撃も防御もAI
AIは攻撃と防御の両方を加速しています。AIによる脅威、サプライチェーン攻撃、量子の脅威がセキュリティ支出を押し上げる中、サイバーセキュリティの細分野と主要企業の構図を整理し、景気防御的な性格とリスクを強気と弱気の両面からバランスよく見ていきます。
2026-06-18 · 28 分で読めます #finance#cybersecurity#ai#investing#securityOperator セキュリティ — 最小権限 RBAC、マルチテナンシー、サプライチェーン
Operator はクラスタ全体で強力な権限を持って動作するため、一度侵害されるとクラスタ全体が危険にさらされます。本記事では、RBAC マーカーによる最小権限の生成、Role と ClusterRole の選択基準、kube-rbac-proxy 廃止後のメトリクス保護、Webhook の TLS、権限昇格の防止、マルチテナント分離、イメージ署名と SBOM、Secret の取り扱いと監査まで、Operator セキュリティ全体を深く
2026-06-15 · 35 分で読めます #kubernetes#operator#rbac#security#supply-chain