kjur (@kjur) profile picture

PKI、署名、暗号、認証あたりが好みです。賛同するとかにかかわらずリツイート、いいねします。個人的なつぶやきもします。個人的な話は @kjur_p へ移すのを試み塩漬け、 @jsrsasign 開発用もあります。ドゾヨロシク

Tokyo, Japan
Joined June 2009
Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)Photo by kjur (@kjur)
ID厨な皆さんに朗報。AppleがOID4VPをサポート // "Added support for requesting OpenID4VP credentials with the Digital Credentials API. (180867795)" developer.apple.com/document…
23
2
83
8,154
サイボウズ・ラボユース活動の一環として作成した「作って学ぶTLS 1.3」を公開しました! 鍵交換や鍵導出、デジタル署名、証明書検証など、TLSを構成する要素技術について学びながら、GoでTLS 1.3のクライアントを自作できる教材です。 ぜひ読んでみてください☺️ tls13-book.doteyaki.dev/
73
3
296
13,836
Experience gives perspective. Programming is not dead, and never will be. It's late September 2026. Sometime in September 1976, just after I entered college, I wrote and ran my first serious program. I have now been a programmer for literally 50 years. And man, I have seen it *all*. Punched cards to glass ttys on minicomputers to workstations to the earliest micros. I've written business software, communication programs, development tools, games, language implementations, kernel device drivers, graphics libraries, a few critical pieces of infrastructure, and all manner of odd programs for which there is no taxonomy. Coded in a score of languages some of which are now forgotten. I've run over 70 open-source projects and contributed to at least as many more. Along the way I noticed a few things, and wrote about them, and that made me famous. But I'm not here to write about that today. I'm here to write about what it means to be a programmer and a technologist with the Singularity upon us. I have lost count of the number of times I have been told "programming is over". You kids may think this is a new claim that came into the world with LLMs. Hah! There's been that kind of talk at every step function in the quality of our programming tools. I first heard it when compilers were replacing hand-hacked assembler in the early 1980s, and I wouldn't be a bit surprised if somebody said it earlier when in-memory code replaced plugboards. One constant amidst all this change is that the intentions in a user's head do not magically turn into executable instructions that a computer can run. Another constant is the mindset of the people who specialize in bridging the gap between wish and algorithm. A programmer is a programmer is a programmer - the tools are secondary. "But it's different this time!" some people will say, "AIs are superhuman now!" So? What did you think the optimization stage of a compiler was, chopped liver? We've been relying on tools that exceeded human capabilities all along - we built them precisely because our meatbrains could not otherwise keep up with the demands of the job. It's been a hell of a ride, that 50 years. I've succeeded and failed and succeeded again. Done a lot of work I'm proud of. Built at least a few things that look like they're going to last. None of that goes away because, hypothetically, an AI might have made me faster. The work is never done, even if the tools can talk to us now. Because intentions still have to be communicated; people who specialize in that and develop right mindset to do it still have a major advantage over people who don't. If you're feeling depressed because you spent years or decades developing hand-coding skills that are obsolete now? Buck up. You still have the most important asset - a mind that knows how to think that way. I'm facing the winds of the Singularity with a smile. Because 50 years and I'm still standing - still shipping code that people can use, still learning, still refusing to be paralyzed by the pace of change. The best therapy for your uncertainty? Get to work on something.
138
583
98
3,050
187,054
メモ。面白い。 鍵が短いほど量子コンピュータに狙われやすい?RSA→楕円曲線→量子耐性まで数式で理解する zenn.dev/komlock_lab/article… 古典的安全強度(128bit相当)が RSAなら3072bit ECCなら256bit なら、古典的なRSAの方が弱いように思えるが、解読に必要な論理量子ビットは暗号のビット数が多いほど多いが面白い。
古典コンピュータでは、RSAより短い鍵で同程度の安全性を実現できる楕円曲線暗号。 でも量子コンピュータで攻撃すると、むしろ楕円曲線暗号の方が少ないリソースで破れるとされています。 この逆転が面白くて、RSA→楕円曲線暗号→量子コンピュータまで、数式を追いながら整理しました。 最近、東大の暗号学講座に参加して、暗号そのものに興味が出てきたので、その延長で書いた記事です。 SignalやiMessageの耐量子対応や、最近起きたハードウェアウォレットの乱数生成バグについても触れています。 zenn.dev/komlock_lab/article…
10
23
4,750
Log4j のあの事件をメンテナが語ってくれている。プレッシャーがやばすぎるし、尊すぎる。 ・発見された脆弱性はLog4Shellという名前に ・外部から特別な文字列を入力するだけでサーバーを遠隔操作できるという非常に危険なもの ・JNDIという仕組みが外部サーバーからソフトウェアの一部を読み込める仕様になっていたことが、この致命的な欠陥を生み出した ・その脆弱性は専門知識がなくても容易に悪用可能 ・マインクラフトのチャット欄に特定の文字列を打ち込むだけで相手のシステムを破壊できるほど、攻撃の手口はシンプル ・結果、世界中のJavaアプリケーションの多くが影響を受ける事態となり、メンテナのクリスチャンは大きな絶望と責任を感じた ・修正作業はボランティアのチームによって不眠不休で行われた ・ひとつの穴を塞いでもまた別の穴が見つかるという過酷な状況が続き、世界中から心無い暴言や非難のメールが多数送りつけられた ・20年以上かけて築き上げてきたプロジェクトに対する信頼は失墜 ・プロ失格だとまで言われたことは、無給で働く開発者たちの心を深く傷つけた ・この未曾有の事件をきっかけに、ホワイトハウスやドイツ政府などの国家機関もオープンソースの重要性を深く認識するようになった ・ドイツ政府の支援によってオープンソースプロジェクトへの資金提供が始まった ・しかし資金援助によって有給メンバーと無給メンバーが混在することになり、かえってコミュニティに分断をもたらす問題も生じた ・最も深刻なセキュリティホールは開発者の無知 ・サイバー攻撃を防ぐためには、単なる資金提供よりもセキュリティに関する適切なトレーニングが大事 ・ソフトウェアの依存関係を把握していない利用者が多いため、今でも脆弱性のある古いバージョンのLog4jがダウンロードされ続けている ・現在ではAIがサイバー攻撃の強力な武器として使われるようになっている ・無知に対する唯一の特効薬は学び続けること ・開発者自身が第一線に立ってセキュリティを守り抜く姿勢が求められている youtube.com/watch?v=t74ClffS…
86
5
281
43,856
もう1つこのページですね。
1
1
250
nuro解約するためにwebから解約するボタンをおしたら、いくつかの選択肢を聞かれて必ず画像のページ(電話相談)に飛ばされてしまうので ポップアップするモーダルをdisplay noneにして 正しいweb上の解約リンクを探したら なんとか解約ページたどり着けたので解約手続きを進められましたが 非常にBad UIでしたね、、、! 一応存在するがたどり着けない、もしくはたどり着きにくい解約ページはやめていただきたいところです!
10
1,188
61
3,446
557,599
最近の電子メール界隈は、メールをちゃんと届けるための準備がとても大変になっています。そんな準備の一つ、DMARCのRFCが更新されました。メールサーバ管理者戦々恐々かもしれませんが、今回はあまり慌てなくてもよさそうです。IIJの古賀が解説します。 eng-blog.iij.ad.jp/archives/…
1
180
12
414
37,514
ほんまや、レイドバトル開始エラー出て、再起動、ログオフ、端末交換でもなおらなかったけど、ローカル交換したら直った #ポケモンGO
3
1,321
ax というコマンドをリリースしました! curlと書き捨てのpython(等)のスクリプトに置き換わるものでHTTPのフェッチとWebページからの抽出ができます。トークンコストやターンの節約ができます。 試してみてください! ax.yusuke.run/
Introducing ax - the AI-era curl! One command to code agents to fetch, discover, and extract from the web. No more curl + throwaway `python`. Token-cheap, structured, never silent. ax.yusuke.run/
88
10
668
122,844
★3は所詮自己宣言+αですし、★4は外部評価しますけどISMSよりはかなり要求事項は緩いです。しかもバックオフィスの話中心ですしね。だからそんなビビる話じゃないはずなのに、これをネタに脅しにかかる不届きな業者さんが多くてですね・・・
プライバシーマーク、ISMS、NIST SP800に続いてSCS・・・ セキュリティ関係の専任者を会社で置ければよいけど、正直、へーしゃは無理かな?制度対応はするけど、実運用はね。本当に中小企業で対応できるんだろうか?
2
32
7
142
23,533
Apple just made Docker Desktop optional on Mac. And it is completely free. This is apple/container. 26.5k stars no Github. You can now run Linux containers natively on your Mac without installing Docker Desktop, without a background daemon hogging your RAM, and without paying $21 a month per developer for a commercial license. Here is what it does: → Runs Linux containers as lightweight VMs directly on Apple Silicon using macOS 26 virtualization → Fully OCI compatible. Pull any image from Docker Hub, GitHub Container Registry or anywhere else → Written in Swift and optimised specifically for Apple Silicon. Faster and lighter than anything Docker Desktop does on Mac → Standard container CLI syntax. If you know Docker commands you already know how to use this → Push images you build to any standard container registry and run them anywhere Docker Desktop charges $21 per developer per month for commercial use. Apple's version costs nothing and ships as open source under Apache-2.0. Microsoft made Docker Desktop optional on Windows with WSL Containers last month. Apple just did the same on Mac. Docker is not going anywhere. But the era of paying for a GUI wrapper around containers on your own machine is quietly ending. Repo here: github.com/apple/container
205
1,005
131
10,198
956,063
ASN.1でRelativeOID型なんて知らなかったよ。対応してる実装もBouncyCastleぐらいしか見ない気がするなぁ、、、こりゃ厄介だ。
253
Pythonパッケージマネージャー「uv」に、依存関係の脆弱性とマルウェアを検査する新機能が追加された。新たに導入された「uv audit」は既知の脆弱性や非推奨状態のパッケージを検出でき、さらにインストール時のマルウェアチェック機能も提供される。 開発元は6月8日、プレビュー機能として「uv audit」を発表した。これは依存関係をスキャンし、既知の脆弱性やプロジェクトの廃止・非推奨状態などを検出する機能で、既存のpip-auditと同様の用途を持つ。uvのロックファイルや設定情報を活用することで、典型的なプロジェクトではpip-auditより4~10倍高速に動作するとしている。 また、「uv add」や「uv sync」実行時にOSVデータベースを参照し、既知のマルウェアパッケージが依存関係に含まれていないか確認する機能も追加された。マルウェアが検出された場合、同期処理は中断される。 この機能は環境変数「UV_MALWARE_CHECK=1」を設定した場合のみ有効になる。現時点では公開されたアドバイザリ情報に基づいて判定を行う。 開発チームは今後、脆弱性を考慮した依存関係解決、OSV以外の脆弱性データソース対応、requirements.txtやpylock.toml対応などを検討しているとしている。 astral.sh/blog/uv-audit
1
229
13
773
84,336