初回ログイン時に上記パスワードの変更を求める等の処理はない。このパスワードをずっと使える。
パスワードリマインダを使った場合、さすがにこのパスワードをそのままメール送信してくるわけではない。新しい英数字5桁のパスワードが振り出されるわけだが、やはりこれもログイン後に変更を求められることなくずっと使える。
パスワード変更は任意に行える。

私が懸念している点は、恒常的に使用可能なパスワードが平文でメール送信される点である。他にも桁数が極端に短いとかあるが、平文パスワード送信のインパクトがなんといっても強い。このWebサービスでは住所、氏名、TEL、メアド、その他特定を避けるため明記はしないがセンシティブな情報を扱っている。サービス自体は便利なものなのでぜひとも利用したいと考えていたのだが、現状では怖くて使えずせっかく登録したが退会も考えている状況である。

懸念点については当該サービスの問い合わせ電話窓口より伝えたが、予測はしていたものの、一般的な「ご意見ありがとうございます」に留まる対応であり、いつどこまで対応してもらえるかは定かではない。

そこでIPAの脆弱性情報届出（ https://www.ipa.go.jp/security/vuln/report/ ）より当サービスの脆弱性を届け出ようと思うのだが、正直増田はセキュリティの専門家ではないためこれが本当に届け出に値する脆弱性かどうかの確信がなく、はてなの有識者諸兄のお知恵を借りたいというのが本増田の主旨である。不足している情報があればご指摘いただけるとありがたい。

ちなみに決してマイナーなサービスではなく、名前だけならきっと多くの人が聞いたことのあるレベルの著名サービスだし、利用者も数十万単位でいるのではないか？

だからこそ過去誰も指摘してこなかったのかという点と、実は俺が大袈裟に考えてるだけで実はこれ、セーフなのかという疑念もあり、その意味でもご意見を頂戴できるとありがたい。

よろしくお願いいたします。

Permalink | 記事への反応(2) | 19:47

■anond:20210830161826

「DX」と称されるムーブメントは必要ではなく、消費者の権利を重視する製品やサービスを作っていくべきである。

小泉政権の良いところといえば、公務員どもの「やりがいのために、民間企業が無理する必要のない」環境を作ってくれたことだ。あ～、民主党の切り捨てのときに IPA もぶっ○してくれていたら良かったのに。おかげで、今も無意味な DX という消費者不在の仕事が増えている。

Permalink | 記事への反応(0) | 16:32

2021-08-01

■anond:20210801013057

若干古いけど、例えばIPA (情報処理推進機構) のサイトで「ソフトウェア開発見積りの基本的な考え方」とか公開されてるよ。

https://www.ipa.go.jp/files/000005394.pdf

古典的には、

仕様 (こういうソフトウェアを作りたい)

↓

規模 (仕様を満たすにはこれくらいの分量のプログラムを書かないと)

↓

作業 (プログラムを完成させるにはこういう作業が必要で)

↓

人数・工数 (これくらいの人たちにこれくらいの期間働いてもらおう)

↓

工期 (じゃあいつまでに完成しそうだな ※往々にしてリリース日が先に決まっていたりするけど)

↓

コスト (しめておいくらです)

という流れかな。

Permalink | 記事への反応(1) | 01:37

2021-07-30

■

IPA 未踏の過去のプロジェクトを見てると web 系はドメインごと消失していて見えないことが多い。

金もらって実績だけ評価されたら公開するメリットがないようなものばかりなんだな。

Permalink | 記事への反応(2) | 07:52

2021-07-29

■萎えるんだよねʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ•̫͡•ʔ•̫͡•ʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ

APIだかIPAだか知らねーけどよコメントの後ろにʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ•̫͡•ʔ•̫͡•ʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔつけなきゃいけないような状況作ったはてなさんよぅ…

表示方法変えたところで何の解決もしてないんだよね

Permalink | 記事への反応(3) | 19:28

2021-07-10

■ITの世界は、敷居の低い世界のはず。ちがうのか。

今、IT エンジニアになりたい人たちが、その入り口で苦労していると聞きます。（いわゆる「駆け出しエンジニア」）

その話を聞くと、とても不思議な感じがする。

というのも、私、生まれてこのかた、エンジニアになりたいと思ったことが、未だに一度もない。エンジニアとしての自覚もない。

ハロワの職員にすすめられるままITの世界に入っただけの存在。入口がハロワですよ？そのくせ今は、けっこう良い給料をもらえている。

したがって、ITの世界ほど敷居の低い世界は無い、と思っている私と、「駆け出しエンジニア」の人たち、

はたして本当に同じ世界の住人なのだろうか？と感じるわけです。

私が零細SES ソフト開発企業に就職したのは15年くらい前のこと。

フリーターの私がバイトをやめて、希望する職種も業種も何もないまま虚ろな目でハロワに行ったら、あっという間に就職が決まる。

当時私のスペックは、年齢は20代後半、学歴は三流大文系中退、職歴はなし。ただし物好きなところがあり、IPAの二種と、SJC-Pを持っていた。

深い考えもなく、シャレでとっていた二つの資格が、おもわぬコスパを発揮したってことになるわけですが、

さてこの当時と今で、何が違い、何が違わないのか。どちらの時代の方がITの門を叩きやすいのか。そこが気になっているわけですね。

ITの世界というのは、経験年数や経験の蓄積が役に立たない、という点で、とても素晴らしい世界。

先輩や年配者、経験者の市場価値は、まるでダブルインバースやオプション価格のように落ちてゆき、

後から門を叩いた者ほど、つねに有利になる。この、IT 業界の特質は、私が見る限り、15年前も、今も、変わらないように見えます。

だからこそ、いい加減な私だって、入りこめたし、若い人や未経験者がこの世界に入りづらいなんてことは、とても考えづらい。

というわけで。エンジニアとして駆け出そう、とか思わなくても、

ただ物好きでさえあれば、きっとITの世界には入り込めるし、いい暮らしが出来るようになるはずだと、思うんですよね。違うんですかね。

一方、きっと努力は報われるとか、継続は力なりとか、そんなこと言いながら、引かれた線路を進むのが得意な人は、

ITの世界に入るのは、よしておいたほうがいいでしょうね。ITの勉強は、賽の河原の石積みですからね。

ついでに。SES 企業には入るべからずみたいな言葉は、真に受けちゃいけませんよ。

あれはパフォーマンスを出せない人たちが、自らの無能を棚に上げて、境遇の悪さを無理やりSESのせいにして納得しようとしているだけ。

彼らの言い分には論理性のかけらもない。底辺は一番数が多いから、声も大きく聞こえるけど、その声だけ拾ってもしかたがない。

Permalink | 記事への反応(0) | 15:52

2021-07-08

■

DHC！のIPA ビール（派手なピンク色のやつ）てのを呑んでみた。

…これ、ヤッホーが実は作ってんじゃねーの？みたいな、青鬼とカエルの間みたいな、でも奇妙に苦味だけ抜いたような、そんな味（匂い）がした。

『ミツビシってぇのがつくったんだぜェ』

（あ、いや販売者がね…）

Permalink | 記事への反応(0) | 14:11

2021-07-04

■[あとで読む]2021年 6月 はてブのあとで読む トップ30リスト

はてブのホットエントリ(総合)で月内に数多く[あとで読む]タグを集めたエントリ

320あとで/2539users ワンランク上の勉強法 (https://web.archive.org/web/20130629035806/http://www.geocities.jp/nagare_basi/study/stdy_mokuji.html)

303あとで/2669users ジオシティーズの閉鎖で消えた「わからん科目攻略法」が、埋もれるのがもったいないので、ここで紹介する。 | Books&Apps

283あとで/1830users 社内SQL 研修のために作った資料を公開します | 株式会社 AI Shift

279あとで/2599users サイゼリヤの完全攻略マニュアル｜Massi｜note

237あとで/1442users ユーザーアカウント、認証、パスワード管理に関する 13 のベストプラクティス2021 年版 | Google Cloud Blog

222あとで/2081users DXコンサルが絶対に言わない後ろめたい真実｜naoto｜note

211あとで/1848users 全国民に配るべき！総務省が示した【データ入力の統一ルール】 | Excel医ブログ

196あとで/1887users どうしてHTML5が廃止されたのか | フューチャー技術ブログ

192あとで/1004users ゼロトラストという戦術の使い方：IPA 独立行政法人情報処理推進機構

177あとで/1129users セガ、150ページ超の社内向け数学資料を無償公開　「3DCGの技術的基礎に」 - ITmedia NEWS

172あとで/944users 基礎線形代数講座 | 株式会社セガ開発技術部 | slideshare

172あとで/1687users 宗教的プログラムの構造と解釈 - 佐武原 | 少年ジャンプ＋

169あとで/1454users 歯磨きってこんなに気持ち良かったのか！プロに教わって歯ブラシにこだわってみたら、毎日の歯磨き体験が向上した話 | Fun Pay(楽天カード)

167あとで/1142users プライムデーのKindle本から使い勝手の良い6冊 - 本しゃぶり

162あとで/795users ネットワークの勉強方法を聞いてみた。 - 変化を求めるデベロッパーを応援するウェブマガジン | AWS

160あとで/1379users 早川書房の1500作品が50%割引の大型電子書籍セールがきたのでオススメを紹介する - 基本読書

158あとで/1258users 奥多摩山中で26歳男性がバラバラ死体に…BBQと共に行われた鬼畜たちの「狂気の宴」（現代ビジネス） - Yahoo!ニュース

155あとで/1737users 賃貸を引き払う時に原状回復費用 11万円請求されていたが消費者センターに電話したら7500円返還に変わった話 - Togetter

146あとで/1670users コンサルタントやってた時、重要な対人技術として『「ちがう」と言うな』と習った。 | Books&Apps

144あとで/1352users 「なんとなく元気がない」状態には名前があり対応が必要だと全マネジャーは知っていたほうが良い - tomoima525's blog

142あとで/1246users プログラマによるプログラミングのためのBGMなど、仕事や勉強の邪魔にならない無料で使えそうなBGM集。2021年版－ Publickey

137あとで/811users 決済システムの残高管理周りの DB 設計と戦略 - カンムテックブログ

137あとで/1053users 大手金融機関から運用商品を買わない方が良い理由を金融庁が解説している - 銀行員のための教科書

136あとで/892users クォータニオンとは何ぞや？：基礎線形代数講座 - SEGA TECH Blog

127あとで/1074users ついに、Web アプリでの帳票印刷のベストプラクティスを編み出しました | blog.ttskch

125あとで/540users グラフ理論入門 | DevelopersIO

123あとで/1260users 【すべて1人泊可能】2021年はここに泊まりたい！各都道府県から1軒ずつ、一番泊まりたい宿を選出した【全47軒】 - 温泉ブログ山と温泉のきろく

121あとで/1223users 練習中ではなく「頻繁な休憩」がスキルを上達させると判明 - ナゾロジー

121あとで/640users テストコードを書き始める前に考えるべきテストの話（2021年版） #scrumosaka / scrum_fest_osaka_2021 - Speaker Deck

119あとで/1097users BUKUMANGA - はてなブックマーク数を元にwebマンガをまとめたサイト

増田は大規模ガチ農家の人が112あとでを集めたのが最多

Permalink | 記事への反応(1) | 10:15

2021-06-09

■anond:20210608190114

グランドキリン IPAってやつが糞うまかった

スプリングバレーっていう赤いやつCMやってたから飲んでみたけど全然ふつー

もう他は飲み比べないでグランドキリン IPAだけ脳死で買えばいいかって思うくらいグランドキリン IPA うまい、うますぎる！

他におすすめのクラフトビールあったら教えてほしい

Permalink | 記事への反応(1) | 11:11

2021-06-01

■架空の名前で問い合わせて誤動作させるなんて許せん！って言わないの？

[B! セキュリティ] 【Omiaiまとめ①】個人情報171万件の流出「クソ過ぎる対応が話題」 | MY-TERRACE（マイテラス）

明らかに実在しない名前を入れても、流出判定されるって、これはもう明らかにちゃんと調べてないですよね……。

脆弱性はIPAに通報でしょ

Permalink | 記事への反応(0) | 12:53

2021-05-22

■脆弱性の「現在」の定義

正しい脆弱性の定義と言われると、非常に難しい。何となく自分でさえブレる気がする。

私は、一連の自衛隊の大規模接種予約センターの報道すること自体は正しいと思うほうだが、報道内容自体はどうかと思ってる。

まずは、「現在」で真っ当と思われる定義を自分で書いておこう。

辞書的な定義

辞書的な定義は以下になる。

コンピュータに存在する情報セキュリティ上の欠陥
機密性/完全性/可用性を欠く
情報セキュリティ上の「脅威」によりつかれる弱点

基本的に「脅威」があって初めて脆弱性が存在しうる。情報セキュリティの勉強でよくやる内容だ。

よって、そもそもが「脅威」により脆弱性が存在しうるので、固定的な定義が存在しない。

それは、「脅威」==システムへの攻撃は常に進化しているので、このような定義になってる。

昔の脆弱性、とは

「昔」で言う脆弱性の背景は以下のものだった。

システムを作る一部の人
- そう簡単にシステムが修正されない。
脆弱性の内容は少し難しかった
- 脆弱性の判定自体難しい
- 難しいので「言われただけでは」拒否する人がいっぱいいた

なので、「脆弱性」は一部のシステムを作る人だけが関連し、内容が難しいのでその内容を拒否する人が多く、なかなか修正してくれなかったけど、間違ってるのは確かなので修正してください、という含意を「脆弱性」と呼んでいた。

現在の脆弱性、とは

「現在」の脆弱性の背景としては、以下がある。

システムを作るのは簡単になってる。
- 誰でもIT システムを作れてすぐに修正できる。
逆に「脆弱性」の内容は狂気なほど難しくなってる。
- 簡単に「間違っただけ」な内容はすぐに修正される。気づかれもしない。
- 攻撃の進化に追いつけない。もはや「脆弱性」の内容を理解できる人は少ない。

こうなると「脆弱性」の定義は以下になる。

「CVE」(https://cve.mitre.org/index.html) にCVE_IDを振られたものだけを「脆弱性」と呼ぶ
- どうせ難しくて誰も判定できない
- 見つけるのも至難の業
「脆弱性」とされたらすぐに修正する
- CVE_IDを振られるようなレベルは、公表前にそのシステムに通知されてる。

よって、現在の脆弱性とは「CVE等の脆弱性データベースに登録されるほど難しい内容のセキュリティ欠陥」を指す。

現在の定義からすれば、報道を非難するのは間違ってる。これは「脆弱性」ではないので、IPA等に知らせる必要などない。IPA等に知らせる必要があるのはあくまで「脆弱性」だ。もはや普通の人が分かるようなレベルではない。それこそ情報処理技術者試験のセキュリティ程度など教える方だが、それでさえ完全には理解できない程だ。