関西のインフラエンジニア（経験20年超）｜NW・クラウド・セキュリティの設計構築・PM｜CCIE Lifetime Emeritus / VCAP-DCA / Azure Solutions Architect Expert｜セキュリティや AI の話題を、現場の目線で発信
Joined August 2012
- Tweets694
- Following108
- Followers1.2K
- Likes1.7K
おっしゃるとおり、セキュリティを人の努力だけで続けるのは限界があると思います。
これからは AI に任せる前提で、設計で押さえたいのは2つ。
・AI 自体の監視（止まったら気づけるか）
・AI に渡す権限は最小限に
人の仕事は、このあたりの仕組みの設計と実装になりそうです。
OpenSSH だけのバグというより、組み合わせの問題です。
musl の crypt() がエラー時に返す「*」と、パスワード未設定アカウントの「*」が一致してしまう。
OpenSSH も根本原因は sshd の外としつつ、10.6p2 で回避策を入れています。
New bug in OpenSSH.
Security researchers: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
Anyone with a SSH server accepting password on alpine/etc: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
Details: sshhole.com
musl libc かつ PAM なしの sshd で、パスワード未設定（*）のアカウントに長いパスワードでログインできる問題の確認方法と対策を整理しました。
root は既定では直接狙えず、doas 等による昇格が問題です。
mytech-blog.com/cve-2026-123…
個人的には「業務知識か、技術力か」の二択ではないと思っています。
どのデータが機微か、誰に何を許すかは、業務を知らないと決められない。
それを最小権限や既定の遮断に落とすのは、技術を知らないとできない。
AI が実装速くしても、「どこまで許すか」の判断は人に残ると考えます。
HCI の実運用上の強みは、性能よりも「運用窓口の一本化」だと思います。
ストレージ専任者を置けない組織だと、管理画面・更新作業・障害時の問い合わせ先がまとまる効果は大きいです。
逆に専任者がいる環境なら、分離構成の方が合理的な場面もありそうです。
私もネットワークから入りましたが、まさに土台だと感じます。
サーバ、セキュリティ、仮想化、ストレージと、どこを触ってもネットワークが絡むことが多いですし、基礎が変わりにくいので、学んだことが無駄になりにくい印象があります。
まさにその使い方ですよね。
ちなみに今 Targeted release で検証グループを作っている場合、Frontier には自動で移らないとのことなので、2027年1月の廃止までに入れ直しが必要になりそです。
ややこしいですよね...
Frontier＝プレビューを受け取るか、標準/遅延＝GA 後いつ受け取るか。
11月中に3つをまとめて管理できる画面が出る予定とのことなので、これでちょっとスッキリするのかなと思っています。
脆弱性潰す前に、やられたときの影響範囲を見積もる。GMO の件でわかる重要な視点だと思います。
利用者が管理者権限を持つ環境は、侵害される前提で管理基盤と切り離す。1 台の侵害を全台に広げない設計が要点です。
GMOの件、みんな問題の本質を見誤ってると思う。
これ、AIを使った攻撃でも、未知の脆弱性でもない。
単純な設定ミスが何年も放置されてた、という話。
しかもただの情報漏洩じゃない。
「顧客のPCにマルウェアを送り込める状態」が続いてた。
サービスの利用者がそのまま攻撃の入り口になり得たってこと。これはだいぶ異常。
攻撃を受けたときに、これだけの影響性があるサービスは金融系サービスを除けばほとんどない。
そのへんのECサイトなんて、どんだけ攻撃したって、顧客に数万円の損害が出ることもない。この事故と比べたら顧客情報の漏洩がかわいく見える。
セキュリティ対策って、脆弱性を潰す前に「ここが破られたら何が起きるか」を試算するところから始まるんだけど、今回はその見積もりが根本的に小さすぎたんだと思う。
VPSみたいに顧客の環境そのものを預かる事業者は、普通のWeb事業者の何倍もセキュリティに投資すべき。
GMOの会見でも「会社規模が大きく認知出来なかった」という話があったけど、規模を広げる前にするべき投資が合ったという事実に他ならない。
それを怠ったなら、責任を問われるのはやむなし。
GMO 不正アクセスを受け、企業が自社で確認すべき 5 つのポイントを整理しました。
設計不備の詳細は未公表ですが、現時点で明らかになっている情報をもとに、企業で実施できる対策を図解しています。
mytech-blog.com/gmo-desktop-…
