
PKI、署名、暗号、認証あたりが好みです。賛同するとかにかかわらずリツイート、いいねします。個人的なつぶやきもします。個人的な話は @kjur_p へ移すのを試み塩漬け、 @jsrsasign 開発用もあります。ドゾヨロシク
Tokyo, Japan
Joined June 2009
- Tweets52.4K
- Following1K
- Followers1.9K
- Likes55.6K
おお、とうとうコンポジット証明書出た。
RFC 10073
Composite Module-Lattice-Based Digital Signature Algorithm (ML-DSA) for Use in X.509 Public Key Infrastructure (2026.11.06)
datatracker.ietf.org/doc/rfc…
kjur retweeted
ID厨な皆さんに朗報。AppleがOID4VPをサポート // "Added support for requesting OpenID4VP credentials with the Digital Credentials API. (180867795)"
developer.apple.com/document…
kjur retweeted
サイボウズ・ラボユース活動の一環として作成した「作って学ぶTLS 1.3」を公開しました!
鍵交換や鍵導出、デジタル署名、証明書検証など、TLSを構成する要素技術について学びながら、GoでTLS 1.3のクライアントを自作できる教材です。
ぜひ読んでみてください☺️
tls13-book.doteyaki.dev/
kjur retweeted
運転免許証+マイナカードの制度上のバグを発見して
実際に悔しい思いをしたので
全政党の関係者、特に国会議員さんに見ていただきたいと思い忘備録を書きました
【忘備録】運転免許証一体型マイカードを期間内で早めに更新したら免許紛失扱いになった話|破綻国家研究所
note.com/hatankokka/n/na6e78…
kjur retweeted
Experience gives perspective. Programming is not dead, and never will be.
It's late September 2026. Sometime in September 1976, just after I entered college, I wrote and ran my first serious program. I have now been a programmer for literally 50 years.
And man, I have seen it *all*. Punched cards to glass ttys on minicomputers to workstations to the earliest micros. I've written business software, communication programs, development tools, games, language implementations, kernel device drivers, graphics libraries, a few critical pieces of infrastructure, and all manner of odd programs for which there is no taxonomy. Coded in a score of languages some of which are now forgotten. I've run over 70 open-source projects and contributed to at least as many more.
Along the way I noticed a few things, and wrote about them, and that made me famous. But I'm not here to write about that today. I'm here to write about what it means to be a programmer and a technologist with the Singularity upon us.
I have lost count of the number of times I have been told "programming is over". You kids may think this is a new claim that came into the world with LLMs. Hah! There's been that kind of talk at every step function in the quality of our programming tools. I first heard it when compilers were replacing hand-hacked assembler in the early 1980s, and I wouldn't be a bit surprised if somebody said it earlier when in-memory code replaced plugboards.
One constant amidst all this change is that the intentions in a user's head do not magically turn into executable instructions that a computer can run. Another constant is the mindset of the people who specialize in bridging the gap between wish and algorithm. A programmer is a programmer is a programmer - the tools are secondary.
"But it's different this time!" some people will say, "AIs are superhuman now!" So? What did you think the optimization stage of a compiler was, chopped liver? We've been relying on tools that exceeded human capabilities all along - we built them precisely because our meatbrains could not otherwise keep up with the demands of the job.
It's been a hell of a ride, that 50 years. I've succeeded and failed and succeeded again. Done a lot of work I'm proud of. Built at least a few things that look like they're going to last. None of that goes away because, hypothetically, an AI might have made me faster.
The work is never done, even if the tools can talk to us now. Because intentions still have to be communicated; people who specialize in that and develop right mindset to do it still have a major advantage over people who don't.
If you're feeling depressed because you spent years or decades developing hand-coding skills that are obsolete now? Buck up. You still have the most important asset - a mind that knows how to think that way.
I'm facing the winds of the Singularity with a smile. Because 50 years and I'm still standing - still shipping code that people can use, still learning, still refusing to be paralyzed by the pace of change.
The best therapy for your uncertainty? Get to work on something.
kjur retweeted
メモ。面白い。
鍵が短いほど量子コンピュータに狙われやすい?RSA→楕円曲線→量子耐性まで数式で理解する
zenn.dev/komlock_lab/article…
古典的安全強度(128bit相当)が
RSAなら3072bit
ECCなら256bit
なら、古典的なRSAの方が弱いように思えるが、解読に必要な論理量子ビットは暗号のビット数が多いほど多いが面白い。
古典コンピュータでは、RSAより短い鍵で同程度の安全性を実現できる楕円曲線暗号。
でも量子コンピュータで攻撃すると、むしろ楕円曲線暗号の方が少ないリソースで破れるとされています。
この逆転が面白くて、RSA→楕円曲線暗号→量子コンピュータまで、数式を追いながら整理しました。
最近、東大の暗号学講座に参加して、暗号そのものに興味が出てきたので、その延長で書いた記事です。
SignalやiMessageの耐量子対応や、最近起きたハードウェアウォレットの乱数生成バグについても触れています。
zenn.dev/komlock_lab/article…
kjur retweeted
New Pass-ta-key attacks let malware hijack Google-synced passkeys bleepingcomputer.com/news/se…
kjur retweeted
Log4j のあの事件をメンテナが語ってくれている。プレッシャーがやばすぎるし、尊すぎる。
・発見された脆弱性はLog4Shellという名前に
・外部から特別な文字列を入力するだけでサーバーを遠隔操作できるという非常に危険なもの
・JNDIという仕組みが外部サーバーからソフトウェアの一部を読み込める仕様になっていたことが、この致命的な欠陥を生み出した
・その脆弱性は専門知識がなくても容易に悪用可能
・マインクラフトのチャット欄に特定の文字列を打ち込むだけで相手のシステムを破壊できるほど、攻撃の手口はシンプル
・結果、世界中のJavaアプリケーションの多くが影響を受ける事態となり、メンテナのクリスチャンは大きな絶望と責任を感じた
・修正作業はボランティアのチームによって不眠不休で行われた
・ひとつの穴を塞いでもまた別の穴が見つかるという過酷な状況が続き、世界中から心無い暴言や非難のメールが多数送りつけられた
・20年以上かけて築き上げてきたプロジェクトに対する信頼は失墜
・プロ失格だとまで言われたことは、無給で働く開発者たちの心を深く傷つけた
・この未曾有の事件をきっかけに、ホワイトハウスやドイツ政府などの国家機関もオープンソースの重要性を深く認識するようになった
・ドイツ政府の支援によってオープンソースプロジェクトへの資金提供が始まった
・しかし資金援助によって有給メンバーと無給メンバーが混在することになり、かえってコミュニティに分断をもたらす問題も生じた
・最も深刻なセキュリティホールは開発者の無知
・サイバー攻撃を防ぐためには、単なる資金提供よりもセキュリティに関する適切なトレーニングが大事
・ソフトウェアの依存関係を把握していない利用者が多いため、今でも脆弱性のある古いバージョンのLog4jがダウンロードされ続けている
・現在ではAIがサイバー攻撃の強力な武器として使われるようになっている
・無知に対する唯一の特効薬は学び続けること
・開発者自身が第一線に立ってセキュリティを守り抜く姿勢が求められている
youtube.com/watch?v=t74ClffS…
kjur retweeted
おはTLS!
今週気になったTLS関連のニュース #259 - kdnakt blog kdnakt.hatenablog.com/entry/…
kjur retweeted
nuro解約するためにwebから解約するボタンをおしたら、いくつかの選択肢を聞かれて必ず画像のページ(電話相談)に飛ばされてしまうので
ポップアップするモーダルをdisplay noneにして
正しいweb上の解約リンクを探したら
なんとか解約ページたどり着けたので解約手続きを進められましたが
非常にBad UIでしたね、、、!
一応存在するがたどり着けない、もしくはたどり着きにくい解約ページはやめていただきたいところです!
kjur retweeted
最近の電子メール界隈は、メールをちゃんと届けるための準備がとても大変になっています。そんな準備の一つ、DMARCのRFCが更新されました。メールサーバ管理者戦々恐々かもしれませんが、今回はあまり慌てなくてもよさそうです。IIJの古賀が解説します。
eng-blog.iij.ad.jp/archives/…
kjur retweeted
NASAがRustでWASM runtime作ってるらしい
github.com/nasa/spacewasm
kjur retweeted
ax というコマンドをリリースしました!
curlと書き捨てのpython(等)のスクリプトに置き換わるものでHTTPのフェッチとWebページからの抽出ができます。トークンコストやターンの節約ができます。
試してみてください!
ax.yusuke.run/
Introducing ax - the AI-era curl!
One command to code agents to fetch, discover, and extract from the web. No more curl + throwaway `python`.
Token-cheap, structured, never silent.
ax.yusuke.run/
Apple just made Docker Desktop optional on Mac.
And it is completely free.
This is apple/container. 26.5k stars no Github.
You can now run Linux containers natively on your Mac without installing Docker Desktop, without a background daemon hogging your RAM, and without paying $21 a month per developer for a commercial license.
Here is what it does:
→ Runs Linux containers as lightweight VMs directly on Apple Silicon using macOS 26 virtualization
→ Fully OCI compatible. Pull any image from Docker Hub, GitHub Container Registry or anywhere else
→ Written in Swift and optimised specifically for Apple Silicon. Faster and lighter than anything Docker Desktop does on Mac
→ Standard container CLI syntax. If you know Docker commands you already know how to use this
→ Push images you build to any standard container registry and run them anywhere
Docker Desktop charges $21 per developer per month for commercial use. Apple's version costs nothing and ships as open source under Apache-2.0.
Microsoft made Docker Desktop optional on Windows with WSL Containers last month.
Apple just did the same on Mac.
Docker is not going anywhere. But the era of paying for a GUI wrapper around containers on your own machine is quietly ending.
Repo here: github.com/apple/container
kjur retweeted
Pythonパッケージマネージャー「uv」に、依存関係の脆弱性とマルウェアを検査する新機能が追加された。新たに導入された「uv audit」は既知の脆弱性や非推奨状態のパッケージを検出でき、さらにインストール時のマルウェアチェック機能も提供される。
開発元は6月8日、プレビュー機能として「uv audit」を発表した。これは依存関係をスキャンし、既知の脆弱性やプロジェクトの廃止・非推奨状態などを検出する機能で、既存のpip-auditと同様の用途を持つ。uvのロックファイルや設定情報を活用することで、典型的なプロジェクトではpip-auditより4~10倍高速に動作するとしている。
また、「uv add」や「uv sync」実行時にOSVデータベースを参照し、既知のマルウェアパッケージが依存関係に含まれていないか確認する機能も追加された。マルウェアが検出された場合、同期処理は中断される。
この機能は環境変数「UV_MALWARE_CHECK=1」を設定した場合のみ有効になる。現時点では公開されたアドバイザリ情報に基づいて判定を行う。
開発チームは今後、脆弱性を考慮した依存関係解決、OSV以外の脆弱性データソース対応、requirements.txtやpylock.toml対応などを検討しているとしている。
astral.sh/blog/uv-audit



























