多分直近のみんなが不安そうなことへのファスト回答

できること編

一般人ができることとかやるべきことについて

Q.とりあえず何をすればいい？

こまめなアップデート。とくにOS・ブラウザが大事。どうしても頻繁にアップデートできない場合は，"安全"・"緊急"・"セキュリティ"などのラベルがついてるようなアップデートを見たらすぐ入れるように。

Q.PCにはいってるソフトが多すぎて正直対応しきれないのどうすればいい？

専門家ならともかく一般人が対応するのは至難の業なので，ChatGPT Plus(3000円)やClaude Pro(20米ドル)を契約しておいて，ヤバそうなニュースを見たらとりあえずAIにどれを更新すべきかとか，何をしないようにすべきかを聞くようにしたほうが早い。ChatGPT DesktopやClaude Code入れたら直接確認や対策までやってくれるし。不正利用とかマルウェア踏んだときの損害と対応の手間を考えたら高い額じゃないと思う。

Q.もうどうしようもないときは？

LANケーブルを引っこ抜き，コンセントを抜き，電源を切って祈る

Q.どっちのスマホが安全とかある？

iOSと言われてる。iOSはすべてのアプリが隔離された環境で動く仕組みが特に強烈だし，素人が変な操作をできないからClickFixやマルウェアは踏みにくいって言われてる。ただそのせいで，今回のeMudhra問題の際はAndroidではできたroot証明書の除外がiOSでできなかったのみならず，Appleの除外方式の問題で一部CAを信頼したままにしてしまい利用者を危険に晒してる。

Q.セキュリティに強くなるには？

普段から自分で調べて，一度の対策で物事を終わらせずに継続的に追い続ける。役に立たないことはないし，みんなが知ってるほどセキュリティは強固になる。

Q.逆に何をしないようにすべき？

対応してる人を後ろから刺すようなこと。迅速な情報展開の阻害，誤情報の流布。とくに，調べて理解せずにいい加減な情報をSNSに投稿するのは危険性を高めたり犯人を支援する行為なので避ける。

用語編

Q.〇〇2Shell(〇〇toShell)って何？

RCE(Remote Code Execution: 遠隔コード実行)のこと。特定の〇〇を踏み台にして標的の端末で好きな命令を実行して，結果的に乗っ取ることができるよね〜っていう感じ。だからPHP2ShellはPHPを使ってると侵入される可能性があるって話だし，HTTP2Shell(旧Node2Shell)は特定のライブラリ(Google製Brotli)を使った通信をしたら乗っ取られる可能性があるっていう意味。

Q.PoC(Proof of Concept: 概念実証)って何？

その脆弱性が実現可能であることを示すツールや実証コードのこと。脆弱性は一個の穴だけじゃなくて，複数の穴を組み合わせることで深刻になるケースも多く，そうなってくると机上の空論で言ってるだけなのか本当にできるのかが区別できないからこれを作るよ。

Q.CVE(Common Vulnerabilities and Exposures: 共通脆弱性識別子)って何？

CVE-[年]-[識別番号]って形で記される脆弱性の識別番号だよ。PHP2Shellとかは通称で，しかも別々の脆弱性の組み合わせとかなので，各脆弱性を明確に区別して呼ぶための番号として割り振るよ。番号にはそれしか意味がなくて，深刻度とかはCritical-High-Medium-Low-Noneって区切られる10.0点満点のCVSSで示されるよ。

Q.エンバーゴ(情報封鎖)って何？

この情報・データを公開するとそれを逆手に取って実害が及ぶ"-1day攻撃"の対策のために，対策パッチを全員に一斉に配布できるようになるまでの間協調して具体的な情報について黙り，配布担当のベンダー等にだけパッチを配る紳士協定だよ。日本時間で23時からPHPのメンテナンスをしたのはこれが理由で，PHPを使ってるであろう地域のエンジニアが対応できる時間すべてを考慮するとこうなるよ(なので他の地域だと7時とかから対応してる。どっちもたいへんだね)

Q.PR(Pull Request)って何？

この提案をあなたのレポジトリ(プロジェクトのようなもの)に加えてくださいってやつ。僕が出した日本語PRとかはまさにこれだね。基本的には新機能や改善や修正，脆弱性対策などがこれで提案されるよ。レポジトリのルールさえ守ればだれでも出せるので，脆弱性の報告サイトや検証サイトでまず和訳などの手伝いとかからやってみよう。

Q.CTF(Capture The Flag)って何？

Flagって呼ばれる値を確保するのを目指すセキュリティの大会だよ。これそのもので実戦の能力を一概に評価できないけど，少なくともこれで優秀なら認識した問題を見つける能力はずば抜けて高いよ。

Q.Electronって何？

Webサイトをそのままソフトにできる便利キットだよ。一部のエンジニアからはとんでもなく嫌われてるけど，とりあえずWebアプリとして開発したものをそのままデスクトップアプリにできるから，開発のうえではすごく楽ができるんだ。つまりWebサイトで始まったサービスでデスクトップアプリだとこれを採用してることが多いから阿鼻叫喚になるよ。

Q.そういやGoogleとかAppleとかわかるけどMozillaは誰？

非営利でオープンなインターネットを掲げる団体で，Firefoxなどを開発してるよ。結構面白くていい団体で歴史ある団体なんだけど，長いからWikipedia読んで。

https://ja.wikipedia.org/wiki/Mozilla

理解編

Q.普段から持っておくべきマインドって？

わかんないことやまずいと思ったら硬直しないで手を動かして。自分の問題は自分で解決するしかない。迂闊に情報を入力しないし実行しない。二段階認証やパスキーを徹底する。使わないならログアウト。サービス提供側を信頼しない。(信頼できそうなとこでもそこが乗っ取られたらどうするの？)

Q.セキュリティ領域の世界観ってどうなの？

あんまり治安が良いように見えないかもしれない。技術力があるやつが偉いって世界観だし，対人能力は重視されない。それ故優秀なセキュリティ専門家は企業に根付かないし，そもそも法倫理的に良くないことをよくする。企業にいても，予算取りや社内政治や書類仕事がうまくできない。だから，こういう人たちは食うために変な方向に行ったり，自分たちで小さな会社を立ち上げる方向になってしまう。国家が"オフホワイトハッカー"？とやらを抱えたいならまずここをどう吸収するかじゃないかな。

Q.セキュリティの評価の難しさを教えて？

優秀なセキュリティでもどうしようもないことはどうしようもない。特に自社で作ってない部分に問題が見つかったら，それに対応を積み増さないといけないし，対策が遅れて当たり前。

ただし，それを放置したり，基礎的な設定をしてなかったり，考慮が不足したり利益のために危険なことをやってたり投資を惜しんだりとかの，顧客の情報とかを預かって金もらってサービス提供してるのに善管注意義務すら果たさない，銀行が鍵も金庫も開けっぱなしにしてゴメイすらしてないようなレベルのことをしてると流石にブチ切れられて当然。

Q.なんで会社はセキュリティに金をかけないの？

インセンティブもペナルティもないから。別に顧客の情報が漏洩しても働いてる従業員も経営層も困らない。天文学的な額の懲罰的賠償を請求されないし，経営陣の怠慢や無理解は追及されない。それどころかワンオペで何もさせてもらえない名ばかり担当者がスケープゴートとして責任取らされてクビ切られるのがオチなので，誰もセキュリティ担当なんてやりたくない。

Q.専門用語じゃなくてわかりやすく言ってくれない？

いいけど，専門用語には複雑なコンテクストやその言葉を選ぶ意図や経緯，絶妙なニュアンスがあるから，それを噛み砕いたら曖昧でいい加減で使い物にならない情報になるか，ありえないくらい長くなるか，当たり障りのない文章にしかならないよ。