GMOイエラエ の記事一覧

こんにちは、暗号のおねえさんことGMOインターネットグループ デベロッパーエキスパートの酒見(@ysakemin)です。2023年7月22日〜28日、アメリカ・サンフランシスコでInternet Engineering Task Force (IETF) 117 に参加しました。今回の参加目的としては、IETF117でHackathonに参加すること、IETFにおける暗号技術の動向を調査することです。Hackathonでは低遅延暗号 Areion に関するプロジェクトを立上げたので、今回の記事ではその話題に触れたいと思います。 イベント概要 The Internet Engineering Task Force (IETF)とはIETFは、インターネット技術の標準化を行う団体です。 これまで、HTTP、IP、TCP/UDP、TLS、QUICなどインターネットで使われる多くのプロトコルが標準化されてきました。オープンな組織であり、会合には誰もが参加可能です。活動の生産物として、RFC(Request for Comments)を発行されています。IETFの詳細については、こちらをご参照ください。 以下は、本記事で取り扱う2023年7月に開催されたIETF117の概要です。 イベント：IETF117開催日時：2023年7月22日（土）～28日（金）開催場所：カリフォルニア州サンフランシスコ ヒルトンユニオンスクエア　　　　　オンラインのハイブリッド主催：NOKIA（ノキア） 活動の背景 今回のHackathonでは、低遅延暗号 Areion に関する活動を行ったのですが新規にテーマ登録して参加を行なったので、この活動を実施する上でのノウハウも書かせていただきたいと思います。 この活動の背景としては、NICT Beyond5G研究開発促進事業 委託研究の「リアルタイム暗号技術とプライバシー保護への拡張」があり、この研究テーマでは低遅延暗号Areionをインターネット上で利用できるような環境を増やすことがミッションの一つとなっております。気になる方はこちらのURLを確認してくださいね。 ＜ノウハウ1＞ Hackathonでの「最初の一歩」 Hackathonに参加する際には、IETF Hackathon Wiki の中から興味のあるテーマを見つけるのですが、今回のわたし達のテーマは立ち上げが必要です。 テーマを立ち上げるためには「Champion」になる必要があります。「Champion」とは、テーマの主催者であり、Championとして登録することはテーマを主導していくことの宣言となります。 Championになる方法は簡単で、Hackathon Wikiに下記のような内容を記入するだけです。 ### Your Project Name - **Champion(s)** - Your Name (email at domain.com) - **Project Info** - Your project description here なお、Hackathon Wikiの記入はIETF Datatracker accountの取得が必要となるため、ご注意ください。 例えば、今回の低遅延暗号 Areion ですと、Wikiへの記載例は以下のとおりです。 ＜ノウハウ2＞ Hackathon当日の場所取り Hackathon当日のChampion のミッションとして、お花見でいうところの「場所取り」があります。会場には大きなテーブルがたくさんあるので、どの席がいいか？などを考えて場所を決めます。場所の取り方は原始的で、ホワイトボードの空きテーブルと実際の空きテーブルを確認しながら、確保できそうな場所にテーマ名を記入します。私たちのテーマだと、以下のような感じで確保することができました。 テーブルが確保できたら、テーブルに立て看板が用意されているので、そこにテーマ名を出して場所取り完了です。 今回、いい感じの場所を獲得することができたのですが、真夏のサンフランシスコだったにも関わらず、エアコンの吹き出し口の真下な席で寒すぎて体調を崩したので…次回からはその辺も気にして場所取りしたいですね！ 陣地も獲得できたら、あとは計画していたHackを進めていきます。 Hackathonの2日目に成果発表会があるため、目標を達成して良い報告ができるように活動に取り組んでおりました。成果発表の時間は、IETF Hackathon Wikiにテーマ登録を行い、専用のGitHubリポジトリに登録することで枠をもらえます。 今回のHackathonでの活動 今回は、Areionのリファレンス実装のOpenSSLへの組み込みを行い、TLS1.3でAreionを使えるように対応を行いました。 Areionを組み込んだOpenSSLの実装と発表資料は以下のとおりです。 実装はこちら。発表資料はこちら。 Hackしている時や発表後にコメントやアドバイスを多くいただけたので、今回は大成功だったと思っています。 今後の取り組み 今後は、2023年11月4日から開催されるIETF118に向けて活動を準備していきます。引き続きよろしくお願いします。 当社では、先端技術を用いたコア実装、調査研究、実証実験などの研究支援から、標準化支援、エンタープライズ向けサービス開発まで積極的に実施しておりますので、お気軽にお問合せください。 お問い合わせはこちら

先日開催された、セキュリティ・キャンプ 全国大会 2023に、GMOインターネットグループはシルバーメンバーで協賛しました。当日は企業紹介イベントへの参加や、GMOインターネットグループの社員が講師として参加してきましたので、その内容をレポートしていきます！ イベント概要 セキュリティ・キャンプ全国大会とは 「セキュリティ・キャンプ」のメインイベントとして主に夏休み期間中に実施する合宿形式の勉強会です。 毎年テーマ別に集められるエキスパートが講師となり、専門的・実践的な講義が受講できるほか、合宿の中で同じ趣味を持った仲間との交流もあります。全国大会のほか、全国大会修了生の次のステップとなるネクストキャンプ、小中学生を対象としたジュニアキャンプも同時開催いたします。また会期中には、これまでにセキュリティ・キャンプに参加した修了生がチューターとして学習の支援等も行います。 開催日：2023年8月7日（月）～8月11日（金）開催場所：クロス・ウェーブ府中参加費：無料（事前登録制）主催：独立行政法人情報処理推進機構（IPA）、一般社団法人セキュリティ・キャンプ協議会公式HP：https://www.security-camp.or.jp/IPA HP：https://www.ipa.go.jp/jinzai/security-camp/2023/zenkoku/index.html 会場となるクロス・ウェーブ府中は、勉強する部屋、食堂、ホテルがすべて建物内に入っており、学生たちは過ごしやすそうで勉強に集中しやすい環境が整ってました。 「このはちゃんポーチ」使ってくれたかな？！ 参加者には、各協賛企業からのノベルティが事前配布という形で各自宅に郵送されました。 GMOインターネットグループからは、合宿期間中に使用できるようにと、小物類など持ち運びに使える『このはちゃんポーチ』をプレゼントさせていただきました！！ 弊社のホスティングサービス「ConoHa by GMO」のキャラクターである”美雲このは”です。是非たくさん使ってくださいね～！！ 企業紹介イベント 今回は現場で活躍するエンジニアと人事が参加させていただきました。 前半は人事より、会社説明や働く環境について詳しく説明させていただきました。後半はセキュリティに携わるエンジニア2名より、実際に行っている業務内容や働いていくうえでのモチベーションなど、なかなか聞けないリアルな現場の話をお話しました。 最後の質問タイムではたくさんの声をいただき、有意義な時間になったのではないかなと思います。 参加してくれた方にはGMOオリジナルノベルティをプレゼントさせていただきました！ GMO講師 GMOインターネットグループより、講師として複数名参加いたしました。実際に参加してみての感想やインタビューをいただきました！ GMOペパボ株式会社 紫関 麗王 開発コース│Z2『Rust製Linux向けアンチウィルス実装ゼミ』 Q：全国大会の講師を終えての感想 紫関セキュリティ・キャンプ全国大会には2020年に受講生としてオンラインで参加したため、オフライン会場での参加は初めてでした。今回は講師という立場での参加でしたが、受講生と共に、自分も多くの事を学びました。 Q：学生へのメッセージ 紫関セキュリティ・キャンプは恐らく来年も開催されるでしょう。密度の高く、熱量もある濃密な5日間を過ごすことができる貴重なイベントなので、今年参加できなかった方もぜひ来年またチャレンジしてください。 GMOサイバーセキュリティ byイエラエ株式会社 三村 聡志 専門コース│A4『ローレイヤーから見るファイルシステムの理解』 開発コース│X1『リバースエンジニアリングゼミ』 Q：全国大会の講師を終えての感想 三村今年も昨年に引き続き、専門コースで1講義と開発コースのひとつを担当しました。「ローレイヤーから見るファイルシステムの理解」は、昨年や他のミニキャンプでも行っている内容で、xxd コマンドと grep と電卓だけで FAT32 を読み進めるという講義になります。慣れるまでがとてもハードな内容とはなりますが、今年は終わったあとに「とても楽しかった」という感想をもらう事も出来、私の方もとても楽しかったです。また「リバースエンジニアリングゼミ」は本業で行っている IoT ペネトレーションテストをそのまま一週間行うような講義になっています。全国大会の講師は昨年に引き続きとなりますが、参加者の知識や感性が異なるため、毎回新しい発見や刺激があってとても楽しいコースと感じています。来年も機会があれば引き続き担当出来たらと思っています。 Q：学生へのメッセージ 三村ものごとの仕組みを知る、基礎を知るというのはとても大事なことだと考えています。「USB端子に機器を接続すれば繋がる」ということは知っていても、機器が使えるようになるまでにどのような通信が行われているのか、機器が繋がったことをどうやって知るのか、などそこには通常知られていない様々な技術が隠れています。仕組みを深く知るためにはそれなりの時間や手間が掛かりますが、知ることができればそこから新たな世界が見え、新たな活用方法・攻撃手法の発見に繋がっていきます。是非学生のうちに、ものごとの仕組みや基礎の学習・調査を進め、ワクワクがあふれ出るエンジニアに皆さんがなられることを願っています。 GMOサイバーセキュリティ byイエラエ株式会社 緑川 志穂 開発コース│L1『暗号化通信ゼミ』 Q：全国大会の講師を終えての感想 緑川講師を拝命するのも6回目になりますけれども、受講生の方々のバイタリティには毎年驚かされるばかりです。そして久々のオフライン開催はオンライン指導との違いを改めて感じさせてくれました。開発コースではしばしば事前学習期間に極めて高い比重を置きますし、私の担当したゼミも事前学習期間が寧ろメインの指導期間となっていました。それでもオフラインで開催された5日間は事前学習よりもひときわ濃い印象を残したと感じます。叶うなら来年も是非オフラインで参加したいところです。 Q：学生へのメッセージ 緑川閉講式で言われたことを覚えておられるかもしれませんが、キャンプ修了後に重要なのはモチベーションの維持です。でも本記事の投稿の頃にはそろそろ一度息切れする頃かとも思います。五線譜に描かれる休符に無駄なものが無いように、休むこともまたモチベーションへと寄与します。キャンプ以降幾星霜が経過しても能力を発揮し続けられるよう、頭に留めてもらえると幸いです。 GMOサイバーセキュリティ byイエラエ株式会社 西谷 完太 / 山崎 啓太郎 専門コース│B6『ソースコード解析によるWebアプリケーションの脆弱性調査』 Q：全国大会の講師を終えての感想 西谷去年講義を行った「マイクロサービス／分散モノリス的アーキテクチャへの攻撃手法」では、近年普及が進んでいるクラウドサービスやマイクロサービスアーキテクチャを題材にした各サービス連携時に発生する脆弱性を使った攻撃手法を取り扱いました。今年の講義は「ソースコード解析によるWebアプリケーションの脆弱性調査」ということで、よりアプリケーション単体のロジックにフォーカスし、ソースコードの静的解析による脆弱性調査の楽しさや開発者自身が原因の特定などに役立ててもらうための内容を盛り込んだ内容となっています。また、CodeQLなどWebセキュリティの中でも比較的新しいトピックを講義内容に盛り込んでいるので学生だけでなくエンジニアが興味を持って取り込める内容だと思いますので、興味があれば今後公開予定の資料を覗いて取り組んでもらえると幸いです。 山崎講義は手動でのソースコード解析とツールによる自動化という内容で行いましたが、比較的実践的な内容になったかと思います。専門Bコースでは本講義の他にもWebプロダクトのセキュリティーやその周辺に関連した講義から構成されており、どれも社会人にとっても面白い講義だったのが印象的でした。 Q：学生へのメッセージ 西谷各プログラミング言語やソースコードリーディングだけでなく、様々な知識を必要とする講義で取り組むのが非常に大変だったと思います。ただ、その中でソースコードの静的解析による脆弱性調査の楽しさや開発者自身が原因の特定など、あなた自身のやりたいこと、やっていることに少しでも役立てていただければ幸いです。 山崎今回の講義の後半ではソースコード解析ツールを利用してクエリを書いてもらいましたが、実際には開発者の意図や状況を想定して人間がソースコードや設計書を読み、動作を検証しなければ見つかりづらい脆弱性がまだまだ多く存在しますし、今後も必要とされるスキルだと思います。ソースコードを読んでバグを探す時には様々な知識や経験が役に立つので、本講義が自身の興味を広げたり新しい知識を得る一助になっていると嬉しいです。 ▼講義資料はこちらhttps://gmo-cybersecurity.com/news/security_camp_presentation_slide_20230912/ さいごに セキュリティ・キャンプ全国大会2023にご参加された学生の皆さま、5日間の勉強合宿、大変お疲れさまでした！！皆さんの今後の頑張り・活躍を応援し期待しております！

GMOインターネットグループは、2023年6月26日（月）～28日（水）に幕張メッセで開催された、日本国内最大のドローン・eVTOL（空飛ぶクルマ）展示会「Japan Drone 2023」にプラチナスポンサーとして協賛しました。国際コンファレンスでは「ドローン・空飛ぶクルマ、国内外の制度整備・技術開発から考える空の安全」と題したパネルディスカッションを開催しました。国内外の制度整備の状況、必要な制度や技術など、幅広い観点でディスカッションが行われました。その模様をお届けします。 登壇者 経済産業省​　製造産業局　航空機武器宇宙産業課　次世代空モビリティ政策室　企画調整官山本 健一　氏国土交通省​　航空局　無人航空機安全課保坂 達也　氏株式会社SClabAir​　代表取締役各務 博之　氏GMOグローバルサイン株式会社　CTO室　室長浅野 昌和GMOサイバーセキュリティ by イエラエ株式会社　代表取締役牧田​ 誠 ドローンと空飛ぶクルマを巡る制度整備の現状 まずは最初に、ドローン・空飛ぶクルマの制度整備の状況について、国土交通省の保坂氏が説明をします。 ドローンに関しては小型無人機に係る環境整備に向けた官民協議会の下にワーキンググループなどを設置して検討が進められています。そこで「空の産業革命に向けたロードマップ2022」と呼ばれる工程表がまとめられ、制度整備としては「有人地帯での補助者なしの目視外飛行、いわゆるレベル4と呼ばれる飛行の実現に向けての制度整備を行ってきました」と言います。 具体的には、機体認証、操縦ライセンス、機体の登録といった制度を整えられてきました。2022年12月5日には、レベル4飛行が可能となる改正航空法も施行されています。 図 1　空の産業革命に向けたロードマップ2022。様々な制度整備、技術開発などの工程表がまとめられています さらに2023年および2024年度以降の制度整備としては、ドローンの運航管理システム（UTM）の検討が重要になってくると保坂氏は指摘。段階的な制度整備で導入していくために検討を進めているそうです。 図 2　UTMは段階的に導入し、ドローンなどが増えて混雑度が上がれば必須になる見込み 現状は空域の混雑度が低い、密度が薄い状態なのでUTMの利用は「推奨」という段階ですが、ステップ2、ステップ3と混雑度が増していく中でUTMの重要性は増していきます。そこで国土交通省が認定したUTMを利用することで、高密度の運航にも耐えられるようになる、と保坂氏は話します。 そもそもレベル4の飛行はリスクが高く、そのためには安全に機体を飛ばして十分な技量を持った人の操縦が必要です。それに加え、重要なのが機体認証制度です。保坂氏は、機体の安全性について、「航空の世界では3つの観点がある」と説明します。 （1）設計段階の安全性（2）製造過程の安全性（3）現状の確認 設計レベルで安全でも飛行させる時点で安全でなければならず、逆に、現状（飛行時点）で、しっかりとしたものが出来上がっていても、設計段階できちんと安全性が確保されていなければならない、という考え方です。 図 3　機体認証制度。図の左側で型式、右側で機体認証に関して説明されています こうした制度整備を踏まえて、今年3月24日にはレベル4の初飛行が行われています。ACSLの第一種認証を受けた機体を使用して、一等の操縦ライセンスを保有する操縦士が操縦し、日本郵便の荷物を配送しました。飛行時間は約9分、距離にして約4.5kmでした。 図 4　レベル4の初飛行は日本郵便が飛行の許可・承認を取得して実施された 現状の課題認識として保坂氏は、「運航規模の拡大が重要になってくる」と指摘。それを実現するUTMも、海外でもどういったシステム、仕組みを構築していけばいいのかも決まっていないそうです。↩欧州とアメリカと行った国や地域でも違いがあるため、日本でどのようなUTMを作るか、民間の意向も取り入れつつ検討していく必要があると保坂氏は話します。 もう一つのテーマである「空飛ぶクルマ」に関しては、2025年の大阪・関西万博に向けて注目が高まっており、国土交通省でもロードマップを作成して検討を進めていると言います。 ドローンと同様に、ロードマップを作成して、道筋を示しながら進められており、大阪万博で飛行を実現させた上で、以降は運航を拡大していきたい考えだとしています。 図 5　空の移動革命に向けたロードマップで、空飛ぶクルマなどの新しい空の移動手段について検討されている 空の移動革命に向けた官民協議会が制度整備や技術開発に関して取りまとめたロードマップがあり、「特に機体の安全基準、技能証明（ライセンス）、運航、事業制度、離着陸場などについて、個別の専門的な検討を進めています」とのこと。 制度整備については、2022年度までに制度整備の方向性が示されています。2023年度はそれを踏まえた具体的な制度改正を行っていく計画で、「順調に進めば、2024年度には事業者の準備が行える」と言います。ターゲットは2025年の大阪万博で、そこで運航が開始できるよう進めていきたい考えです。 技術開発やセキュリティ対策の進捗 技術面に関する現状はどういった状況でしょうか。こうした問いに回答したのは経済産業省の山本氏。経済産業省はロボットやドローンなどの技術開発に関して民間との取り組みを継続しています。 2016年から始まった「ロボット・ドローンが活躍する省エネルギー社会の実現プロジェクト（DRESS）では、4つのテーマで技術開発の推進が行われてきました。 図 6　DRESSにおける4つのプロジェクト。特に安全安心に関わるドローンのセキュリティガイドラインの策定も重要 ここでは例えば機体の性能を統一的に評価できる手法やセキュリティ対策の開発を行っており、特にセキュリティ対策は「見えない部分ですが、ドローンを支える安全安心にはセキュリティも大事なので、ガイドラインも定めました」と山本氏。 運航管理は、ドローンや空飛ぶクルマだけでなく、ヘリコプターや航空機なども空域には存在するようになるため、今後人力で管理するのは難しくなり、自動化、自律化を支える技術が必要になります。「将来的に、ドローンや空飛ぶクルマが飛び回ることを見据えて開発しています」（山本氏）。 こうした取り組みにおける成果もあります。政府機関における警護や監視、インフラ点検でドローンのニーズが拡大したときに、情報漏えいやハッキングなどの攻撃への対応が必要で、さらに災害現場でのドローンの情報をセキュアに届けることも必要になります。 その観点から2019年に16.1億円の予算で開発された成果の1つがACSLのドローン「蒼天」です（21年12月発売）。セキュリティを確保したドローンとして、ISO/IEC 15408のセキュリティ評価基準に準拠しており、海外での販売時もISO取得をアピールできるようにしていました。 図 7　セキュリティ面も重視して開発されたドローン「蒼天」 他の成果としては「性能評価基準」や「無人航空機 サイバーセキュリティガイドライン Ver1.0」も策定されています。 図 8　性能評価基準は、どういった性能でどう証明するかといったスペックの策定に関する研究開発が行われています 図 9　サイバーセキュリティガイドラインはドローン、地上のコントローラー、クラウドなど、幅広い観点でのセキュリティのガイドラインになっています セキュリティガイドラインでは、セキュリティレベルに応じて運用時だけでなく、ドローンの製造時、ドローンの廃棄時も含めて、情報漏えいなどにどこまで配慮すべきか、といった観点でも対策がまとめられています。 運航管理システムの開発では、ドローン向けに2017年から研究開発に取りかかり、2020～21年度には全国13地域での実証実験も行われました。これをさらに進化させるために、2022年度からスタートした「次世代空モビリティの社会実装に向けた実現プロジェクト」（ReAMo）において、ドローンに加えて空飛ぶクルマを含めた運航管理技術の開発に向けた取り組みが行われています。 図 10　DRESSで開発が行われていた運航管理システム このReAMoでは、ドローンや空飛ぶクルマの安全性能を評価する手法の開発や操縦者1人が多数のドローンを操縦するシステムの技術開発なども行われる予定です。 図 11　5カ年計画で実施されるReAMo 海外でも議論の真っ最中 続いて海外の動向について説明したのがSClabAir​の各務氏。各務氏によれば、海外でもドローンや空飛ぶクルマを含めた次世代空モビリティに対する技術的なディスカッションが行われています。 図 12　欧米でドローンなどの安全基準などの標準化を進めている団体は数多い 各務氏は、こうしたグローバルな標準化の取り組みに参加していく必要があると指摘しています。 例えば各務氏が参加しているSAE Internationalの「G-34」。これは航空機へのAIの搭載において、どう安全性を担保するかを議論しているそうです。同じく各務氏が参加するRTCAのSC-240は、空モビリティにソフトウェアの基準をどのように適用するか、安全にソフトウェアを開発するためにはどうしたらいいかといった議論をしているといいます。 各務氏は、「AIは民間航空機よりもドローンや次世代空モビリティに搭載される方が早い」という見込みで、ドローンや空飛ぶクルマにおける先進的な取り組みの必要性があるという認識を示します。 そのAIを扱うG-34ですが、「どちらかというとAIはヨーロッパの方が進んでいる」と各務氏。すでにEASAのコンセプトペーパーと連携して議論が進められているそうです。 図 13　G-34では、W-shapedプロセスを使って安全性を担保する仕組みが検討されているそうです SC-240では、民間航空機にソフトウェアを搭載する際に従わなければならないガイドラインとして「DO-178C」がありますが、民間航空機ほどの厳密さが必要かどうかという議論もあり、グレードを下げたガイドラインの議論が進んでいるといいます。 特に機体のセキュリティに関しては、RTCA DO-326A、DO-356Aというガイドラインがすでにあり、これをドローンや次世代空モビリティについても適用することが良いのではないかと議論されているそうです。 そうした議論を踏まえて各務氏は、「セキュリティアセスメントのプロセスとセキュリティ対策の両輪でやっていく必要がある」と説明します。 GMOインターネットグループのセキュリティに期待することは？ パネルディスカッションにはGMOサイバーセキュリティ by イエラエの牧田とGMOグローバルサインの浅野も参加しており、例えばイエラエではペネトレーションテストを提供し、攻撃者の立場からその技術が安全かを可視化するようなサービスを提供。 GMOグローバルサインは暗号セキュリティや認証サービスを提供しています。「ドローンや空飛ぶクルマはインターネットに繋がるデバイスが空を飛んでいるイメージ」（浅野）であり、そういったデバイスに対しては認証や暗号化が必要になってくるという考えだということです。 こうしたセキュリティを担うGMOインターネットグループの2社に対して、ドローンや空飛ぶクルマの制度整備や技術開発に携わる登壇者の面々から期待感が語られました。 経済産業省の山本氏は、「利便性とセキュリティのトレードオフは必ずついて回る」という認識を示しつつ、リスクをゼロにすることはできず、「リスクがゼロでなければならないならドローンを飛ばさない選択しかない」と指摘。 そこで、いかにリスクを低減させられるかという点が重要で、その点で山本氏は、 ドローンにおけるセキュリティ対策の重要性を強調し、政府、民間が一体となってセキュアで、安心安全な次世代空モビリティの実現に期待を寄せていました。 国土交通省の保坂氏は、現状の空飛ぶクルマでは操縦士の存在が前提となっていますが、将来的には自律的に飛ぶようになるという予測を示し、そうであればさらにセキュリティ対策が重要になってくるとの考え。その点で、民間の知見を取り入れながら国際的な議論作りに取り組んでいきたい考えを示していました。 SClabAir​の各務氏は、海外の議論でもソフトウェアの分野でセキュリティとの連携が大切だという話になっていると指摘。「新しいガイドラインにもセキュリティとソフトウェアのコラボレーションをちゃんと考えなきゃいけないという文言が入る話になっている」そうで、ソフトウェアにおけるセキュリティ対策の重要性が認識されているようです。

2023年6月26日（月）～28日（水）に幕張メッセにて開催された日本国内最大級のドローン・eVTOL（空飛ぶクルマ）展示会「Japan Drone 2023」を、入社1年目の新卒がレポートいたします。 はじめに こんにちは！GMOインターネットグループ株式会社の内野です。今年の春に新卒として入社いたしました。よろしくお願いいたします。さて、今回はGMOインターネットグループがプラチナスポンサーとして協賛させていただいた「Japan Drone 2023」について、レポートさせていただきます！ 出展概要 「JapanDrone2023」は、6月26日から28日までの3日間、幕張メッセにて開催された、ドローン本体や周辺機器、ドローンに関する取り組みや研究などについての展示会です。メーカーや自治体、省庁や研究・教育機関など、多数の団体が出展していました。実際に様々なドローンを動かしてのデモンストレーションや、ドローンにまつわるトピックスのセミナーなど、3日間通して大盛況でした。GMOインターネットグループは、この「JapanDrone2023」にトップ協賛しているプラチナスポンサーであり、入口すぐに大規模な展示を行っていました。大盛況の展示には、3日間で3500名以上の方にご来場いただきました！ この展示が評価され、最終日のJapanDroneAward表彰式にて審査員特別賞をいただきました！ GMOインターネットグループは、グループ全体として「ドローン」や「空の交通」に強い関心を寄せています。 サイバーセキュリティと暗号セキュリティについて展示 今回GMOインターネットグループが協賛、そして出展した理由は、「すべての空にセキュリティを」というキャッチを広めるため。そして、ドローンを始めとした「空の安全」という概念を広く理解していただくことを目的としています。というのも、私たちGMOインターネットグループは、ドローンのように通信を利用する「すべて」のサービスに、高度なセキュリティを提供することができるのです！例えば、日本最強のホワイトハッカー集団を擁する、「GMOサイバーセキュリティ byイエラエ」は、ドローンの脆弱性を判定し、そのフィードバックを企業に提供することができます。また、世界中のウェブサイトの通信を安全にしてきた「GMO GlobalSign」は、ドローンの通信を暗号化したり、認証技術を用いたりすることで、ドローンとサーバー間のデータの盗聴や改ざん、ドローンのなりすまし被害から守ることができます。これら2社の基準を満たすドローンは、安全性を証明する認証マークが利用できます。 他にもドローンやドローンスクールに関するメディアを展開する、「コエテコドローン」の展示もしていました。どうやら、隣のブースのスクールも紹介しているようです！ さて、ここからは毎日多くの方にご来場いただいた展示内容について、2つ紹介させていただきます。 ホワイトハッカーによるドローンハッキングデモ まずは、毎日500名以上の方にご覧いただいた「GMOサイバーセキュリティ byイエラエ」の三村さん による、「ホワイトハッカーによるドローンハッキングLIVE！」。これは、実際に販売されているドローンにハッキングを仕掛け、その操作を奪ってしまう・・・、というデモンストレーションです。操作を奪ったり、ドローンの映している映像を差し替えたり、様々な攻撃をいとも簡単に仕掛けます。 これでは、操作中のドローンは簡単に墜落させられてしまいますし、ドローンが撮影中の映像も盗まれてしまいます。大きな機体の墜落は大変な事故に繋がりますし、国や企業の重要な施設の点検中に機密情報が抜かれてしまうと・・・、と考えるとゾっとします。開発者の方も気づかないような脆弱性にを発見することができる、「GMOサイバーセキュリティ byイエラエ」の力で、「すべての空にセキュリティを」が推進されていくことの重要性を、個人としても強く認識しました。 （この機会に、ドローンだけでなく、パスワードの使いまわしなど、身の回りの全てのセキュリティリスクを確認したいですね・・・！） 空飛ぶクルマの試乗・VR体験 そして、3日間続いて大盛況だったのが、「空飛ぶクルマ」の試乗体験・シミュレーション体験です。このLIFT社作成の空飛ぶクルマ「HEXA」の展示機体は、3月の実証実験で、GMOインターネットグループ代表の熊谷が実際に乗って飛んだ機体です！ この空飛ぶクルマに乗車しようと、毎日長蛇の列が・・・！3日間で350名以上の方に体験していただきました！ 残念ながら、実際に機体に乗って飛んでもらうことは出来ませんでしたが、機体のプロペラを回すと、並んでいらっしゃるご来場の皆様から感嘆の声が漏れていたのが印象的でした。 この展示が、イベント全体を大いに盛り上げたとして審査員特別賞をいただきました！本当にありがとうございます。 また、VRゴーグルをつけて行う空飛ぶクルマの運転シミュレーションも大人気でした・・・！ こちらは合計で130名以上の方にご体験していただきました。実際に他の新卒のメンバーが体験させてもらい、「爽快感」に感動していました。一方で、操作が難しいというような声も・・・。これを機に、空の安全を身近に考える人が増えると良いですね！ 出展企業のブース展示 さて、せっかくのイベントレポートなので、ここからは他のブースで気になった展示や、新卒の目線で「真似したい！」と思った展示などについて書いていきたいと思います。 水上ドローン かわいらしいジンベイザメをモチーフにした水上ドローンは、水上のごみを集める用途で使われるそう。 テーマにあった可愛い見た目で集客も印象付けもバッチリ。炎重工業株式会社の技術とアイデアの賜物ですね。 アスカ しばらく近くを歩いていると、どこかで聞いたことがある声が・・・。なんと、エヴァンゲリオンのアスカの声優さん、宮村優子さんの声でした！日本鯨類研究所は、「飛鳥改五」の名前にちなんで、「アスカ」の起用を決めたようです。（サインの実物も展示されています。） ガジェットや新しい技術が好きなロマンある人たちに刺さりそうな取り組み！勉強になります・・・！ 会場内では、他にも多くの展示で、実際の機体をうまく動線に配置することで詳しい説明を読んでもらったり、近未来的なライティングを行うことで来場された方々の興味を引いたり、と様々工夫を凝らしてお客様を集めているブースを見かけました。今後のGMOインターネットグループのブース展示でも、他の素晴らしい展示を参考に、動線やパネルの配置、カラーリングなどをもっともっと改善して、多くの人に空のセキュリティの必要性を伝えられると良いですね。ハッキング中は、照明を真っ赤で点滅させてもいいかも・・・？（目に優しくないか・・・！） さいごに さて、今回は6月26日から3日間に渡って行われた、「JapanDrone2023」についてのレポートでした！3日間通じて多くの方が来場されていました！GMOインターネットグループのブースにも何千人もの方に訪れていただきました。本当にありがとうございました。個人としては、ドローンに対する期待やワクワクは、今後もっと大きくなっていくのでは？、という感想を抱いています。グループとしても、そして個人としても更に注目していきたいですね！ 空のセキュリティ対策の重要性が、より一層伝われば幸いです。空のセキュリティにお困りの際は、是非GMOインターネットグループにお気軽にご相談ください！今後もGMOインターネットグループは、空の安全のために邁進してまいります。 すべての空にセキュリティを

GMOインターネットグループは、2023年6月26日（月）～28日（水）に幕張メッセにて開催される、日本国内最大のドローン・eVTOL（空飛ぶクルマ）展示会「Japan Drone 2023」にプラチナスポンサーとして協賛し、最大規模で出展します！ JapanDroneとは？ 「Japan Drone」は、一般社団法人日本UAS産業振興協議会が主催する、日本国内最大のドローン・eVTOL国際展示会です。ドローンやeVTOL（空飛ぶクルマ）をはじめとする空の移動に関する国内外のサービスが展示され、会期中は官民有識者によるパネルディスカッションやセミナー等も開催されます。 イベント開催概要 日　時：2023年6月26日（月）～28日（水）10:00～17:00会　場：幕張メッセ（展示ホール5・6）千葉県千葉市美浜区中瀬2-1　　　　GMOインターネットグループブース：AF-3主　催：一般社団法人日本UAS産業振興協議会（JUIDA）協　賛：株式会社コングレ参加方法：https://eventregist.com/e/6LPyXDhn0sC2?_fsi=KYEHVaUy　　　　　※事前登録者は入場無料公式HP：https://ssl.japan-drone.com/index.html詳　細：https://www.gmo.jp/news/article/8424/ 会期中、ブースではGMOサイバーセキュリティ byイエラエ株式会社に所属する、国内随一のホワイトハッカーによるドローンへのサイバー攻撃実演・解説デモンストレーションや、IoT機器の脆弱性検証・通信セキュリティに関する技術の展示を行います。 また、経済産業省／国土交通省／空飛ぶクルマ認証技術研究者／ホワイトハッカーによるパネルディスカッションや、GMOインターネットグループで空の移動のセキュリティを担う企業の紹介等のステージイベントも行う予定です。 空の移動に関する産業や、サイバーセキュリティの最新動向にご興味をお持ちの方はぜひお越しください。 ブース展示の見どころ 国内随一のホワイトハッカーがサイバー攻撃手口・手法を再現！ドローン実機を用いたサイバー攻撃手法デモを実施 国内外のハッキングコンテスト（CTF）で優勝・入賞実績を持つ社員を多数抱えるGMOサイバーセキュリティ byイエラエに所属するホワイトハッカーがドローンへのサイバー攻撃手法を実演・解説するデモンストレーションを実施します。 ホワイトハッカーによるドローンハッキングLIVE ! 映像編ホワイトハッカーによるドローンハッキングLIVE ! コントローラー操縦編※各日それぞれ２、３回開催予定 登壇者 GMOサイバーセキュリティ byイエラエ株式会社 高度解析課課長三村 聡志 LIFT AIRCRAFT社製eVTOL「HEXA」を展示 ブースには、米国LIFT AIRCRAFT社製のeVTOL「HEXA」を展示いたします。2023年3月14日（火）・15日（水）に大阪城公園にて、日本で初めて国の許可が必要な屋外スペースでパイロットが乗り組み有人飛行した機体です。3月14日の飛行では、GMOインターネットグループのグループ代表・熊谷正寿がパイロットを務めました。 「HEXA」の実証飛行（2023年3月14日・大阪城公園） 機体乗車体験＆VRシミュレーター体験 GMOインターネットグループブースにて、空飛ぶクルマに乗車し記念撮影をしていただけるコンテンツをご用意しております。また、Lift社でトレーニングとしても実用されているVRシミュレーターも体験いただけます。貴重なこの機会にぜひお試しください！ ミニセッション 米国LIFT AIRCRAFT社のCEO Matt Chasenが登場し「空飛ぶクルマ実証実験におけるセキュリティと今後の展望」と題して26日（月）の13時よりミニセッションを行います。 パネルディスカッション（国際コンファレンス） 「ドローン・空飛ぶクルマ、国内外の制度整備・技術開発から考える空の安全」と題し、空飛ぶクルマ、ドローンの国内外の制度設備の現状と、今後の社会実装のために必要となる制度や技術を、経産省、国交省、航空コンサルタント、セキュリティ企業、それぞれの見地からディスカッションします。 登壇者 経済産業省​　製造産業局　航空機武器宇宙産業課　次世代空モビリティ政策室　企画調整官山本 健一氏 国土交通省​　航空局 無人航空機安全課保坂 達也​ 株式会社SClabAir​代表取締役各務博之 GMOグローバルサイン株式会社 CTO室 室長浅野昌和 GMOサイバーセキュリティ by イエラエ株式会社　代表取締役牧田​誠 ブース詳細スケジュール 会期3日間、充実したコンテンツとなっております。詳細はこちらをご覧ください。 さいごに 事前登録していただければ、どなたでも入場無料で参加することができます。空の移動に関する産業や、サイバーセキュリティの最新動向にご興味をお持ちの方はぜひGMOインターネットグループブースへお越しください。 参加方法はこちら 皆さまのご参加をお待ちしております！

GMOインターネットグループでは、2022年12月6日（火）～7日（水）の2日間、開発者向けテックカンファレンス「GMO Developers Day 2022」を開催しました。「GMO Developers Day」は、GMOインターネットグループの最新技術を活用した新しい挑戦や、世の中が抱える課題解決への取り組みを、事例を交えて紹介するテック（技術）カンファレンスです。開催3回目となる今年は「Add on 技術の拡張で、新たな世界へ」をコンセプトに、初のオフラインとオンラインのハイブリッド開催で、全34セッションをお届けしました。GMO Developersではそんな大盛況を収めた同イベントのセッションを紹介していきます。今回は1日目にリアル会場で開催された「クリエイティブリードの実践、クリエイターが活躍する組織とは？」をご紹介します。 登壇者/スピーカー スピーカー 宇都宮 賢二GMOサイバーセキュリティ byイエラエ株式会社プロジェクトマネジメント部 / 執行役員小久保 浩大郎GMOペパボ株式会社執行役員CDO兼デザイン部部長 モデレーター 岡本 くる美GMOメディア株式会社サービスデザイン部部長 （左から）GMOメディア 岡本、GMOサイバーセキュリティ byイエラエ 宇都宮、GMOペパボ 小久保 GMOインターネットグループでクリエイティブ業務を先導する立場にあって、社内でクリエイター活躍の場を考える3人が参加したこのセッション。クリエイティブリードの取り組みや考え方などを紐解いていきます。 本イベントの「GMO Developers Day」は、名前の通りどちらかというとエンジニア向けという色の濃いイベントです。ただ、今回はキーワードとして「クリエイティブ」が掲げられており、クリエイティブにも注力していく姿勢を示しています。そのキーワードに沿ったセッションとして設けられたのが、この「クリエイティブリードセッション」です。 クリエイティブリードとは？　その役割に迫る そもそも、「クリエイティブリード」とはなんでしょうか。小久保は、一口にクリエイティブリードといっても、組織によって役割は変わってくると話します。「一般化して言えるのは、クリエイティブの投資と効果、その方向性をリードしていくことです」（小久保）。 GMOペパボ 小久保 GMOペパボは複数のブランド、複数のサービスを運営しており、そうしたブランドやサービスをまとめる立場にあるのが小久保です。「全社的なリソースを何に、どのように投資して、どういったリターンを導くかという設計、実現のための組織体制の構築、デザインのプロセスの改善」などが小久保の仕事だと言います。 GMOサイバーセキュリティ byイエラエでは、宇都宮の下にデザインだけでなくプロデューサー的な役割を担うチームも存在しているとのことで、クリエイティブリードに加えてプロジェクトリードも兼ねているそうです。 GMOサイバーセキュリティ byイエラエ 宇都宮 小久保が費用対効果について言及したように、宇都宮も「今のクリエイティブは、単純にいいデザインを出すだけでは不十分になっています」と指摘します。そのため、事業に対してどの程度インパクトがあるか、論理的に説明できることがクライアントからも求められています。 「クリエイティブとして大きな指針を出すこと、それは事業に対してどのくらいアラインしているのか、どういう着地になるのか、プロジェクト全体を俯瞰して見る、その両方をしています」と宇都宮は自分の立場を説明。ただ、マネジメントスタイルとしては「放牧タイプ」とのことで、「デザイナーが道に迷ったり、狼に食べられそうになったり、そういうことがなければ丸投げしています」と宇都宮は話します。 2人の回答を受けて岡本は、「クリエイティブ」というのは、見た目が良い、かっこいいデザインのバナーLP（ランディングページ）を作る、などといった華やかなイメージのものではなく、「なぜ作るのか」「費用対効果はどうか」「プロジェクトをどう進めていくのか」といった点まで考慮が必要な、チーム全体に関わる大事なことだと指摘します。 GMOメディア 岡本 とはいえ、人材を配置して必要な設備を揃えるなどといった費用に対する効果をどのように測定するかは難しいポイントです。それを岡本が問いかけると、小久保は「色んな人に分かる形で示すのが本当に難しいと常々感じています」と正直な心情を吐露します。「今年（2022年）の半分ぐらいは、それに頭を悩ませていたら時が過ぎていたような感じがあります」（小久保）。 それだけデザインやクリエイティブの効果を定量化することは難しいのです。「デザインやクリエイティブという分野では、アウトプットの作用する対象が人間や社会である」というのが小久保の考え。一人一人で異なる個人がまとまって社会という形になると、それぞれが色々なものに影響を受けながら受容態度を変えていく。それに対してある形を伴ったアウトプットの影響を、定量的に測定するのは極めて難しい、と小久保は話します。 そのため小久保は「地球エミュレーターが欲しい」と笑います。1つの施策に対して、社会が、個人が、どのようにそれを受け取ってどのように変化するか、ひとつひとつテストができる、そんな架空のエミュレーターが必要になるほど、効果測定の定量化が難しいと小久保は頭を悩ませているようです。 それでも、「施策を要素還元して細分化してそれが何かを明らかにして、そうした要素の関連性を理解していくことで、アウトプットがもたらす結果を推測して、投資と効果がだいたいこんな感じじゃないかと考えて、周りと共有しようとしています」と小久保は説明。 小久保はこうした「大枠の物の見方」を提示するのが自身の役割の1つだとしています。アウトプットに対しては現場により近いデザイナーの肌感や判断を生かしつつ、「現在のユーザーはこういう状態なのではないか」というアドバイスをすることがあると言います。 ユーザーがどんな人か、どんな困難を持っているか、どんな欲望を持っているのか、何を知っていて何を知らないか、どういったコンテキストの中にいるのか。そういった要素を掛け合わせていくと、ユーザーにとってバリューとなるものが立ち上がってくる。こういった考えを提示することでより具体的にデザイナーに考えてもらう、という役割をしているそうです。 宇都宮もそうした考え方に賛同。宇都宮は、クリエイティブリードの役割を「方向性を出していくこと」と表現します。 それは仕事において大局を見ることで、ディテールにこだわるのでなく俯瞰して見るというのは「特に経験が浅いと難しい」（宇都宮）。そのため、自身はあえてディテールにこだわるのではなく大局を見て、デザイナーやチームメンバーがディテールを見るという明確な役割分担をすることで、その下で働くパートナーの仕事のやりやすさも変わってくるというのが、宇都宮の考えです。 過去には、宇都宮も「マイクロマネージメント」だった頃があったそうで、「デザイナーが上げてきたフォントのマージンは自分で調整する、今となっては嫌な上司でした」と笑います。現在はデザイナーに任せて大局を見る、そういった距離感が自分なりに見つけられたと宇都宮は話します。 小久保は、「細かいところも大切にしていてデザイナーと一緒に考える仲間」だということを示すために、あえて細かい点も指摘することがあるそうです。 こうした回答に対して岡本は、デザイナーやクリエイターに問いかけをし続けたり、新しい視点を投げかけたり、といった役割がクリエイティブリードにはあるとまとめました。 クリエイターをどう動かして、どう組織するか 現状の課題や取り組みを尋ねてみると、宇都宮は「いかに違うスキルを持った人たちを、1チームで1プロジェクトのために動かしていくか」という観点で回答します。パートナーを含めたメンバー同士が相互のリスペクトを持っているかどうか、「そういった受容性が求められます」と宇都宮。 1つのプロジェクトはバックエンドを含めたエンジニアも含めて様々なスキルの人で成り立っているので、違うスキルの人とどれだけ1チームを作っていけるかが、デザインに限らず組織上も重要なポイントで、それには相互のリスペクトが必要というのが宇都宮の考えです。 デザイナーのモチベーションという課題もあります。「デザイナーはややもすると、誰もやったことがないような新しいデザインをやりたいという思いが強い」と宇都宮。宇都宮自身もその気持ちは分かるそうですが、ビジネスとしては、クライアントと一緒に淡々とサービスのバージョンアップしていくような、ドラスティックではないけれどビジネス的には大きな事業もあります。 デザイナーも新しいことだけをやっていけるわけではないものの、そうした仕事はデザイナーのモチベーションとしてなかなか繋がらない。そのバランスを取ることが組織上は重要だといいます。 「逆の見方がある」と言うのは小久保です。GMOペパボには40人ぐらいのデザイナーがいるとのことで、4～5つの事業部に分かれてサービスを運営し、それを横断する形でデザイン部が存在していると小久保は説明。 事業部で分かれているため、その中で目標達成していくという考えになり、日々の課題解決や次の達成目標に取り組むことを、事業部のみんなでやるというマインドセットになりがちだといいます。 そうなると「ややもすると大きな新しいこと、パッとしたことを大胆にやろうという発想に行きにくくなってしまう」という状態になることがあると小久保は指摘します。その背景には、GMOペパボが自社サービスメインで、少なくとも年単位のスコープで自社サービスを成長させることにフォーカスしている点があり、クライアントとのビジネスが中心のイエラエ社との違いではないかと小久保は推測。 組織によって属しているデザイナーのマインドセットは変わってくるものの、どちらか一方に偏りすぎないようにバランスを取ることも、クリエイティブリードの役割の1つだと小久保は言います。 「シニアデザイナー」の役割の言語化 小久保は、2019年にGMOペパボ入社した際に取り組んだ施策があるそうです。GMOペパボには人事制度として等級制度があり、各等級には求められる能力があるとのことですが、その中のシニアデザイナーに対する要求を改めて言語化したそうです。 「シニアデザイナー」と聞くと、立ち居振る舞い、言動などのレベルがその会社を表しているといってもいいレベルが期待されるとして、小久保は「GMOペパボのシニアデザイナー」のあり方を定義したいと考えたとのこと。当時のシニアデザイナーが持っていた「シニアデザイナー観」と、小久保の考えている定義との間にギャップがあったのだといいます。 入社間もない小久保の言葉に、当時のシニアデザイナーたちも理解を示して求める姿になろうというアクションをして、短期間でキャッチアップしたそうです。 イエラエ社では、デザイナーのクラス分けはあるものの、体系化された「シニアデザイナー観」のようなものはないそうで、小久保に対して「資料をいただこうと思いました」と笑いました。 生産性を高めて遊びの時間を作ることも大事 続いての岡本の質問は、クリエイティブリードとして大事にしていること、意識していることは何か、というものです。 宇都宮はまず、「GMOの場合、デザインやクリエイティブはデザイン分野がメインになるので、デザインの良し悪しがクリック数や購買など、結構目に見える形で評価されてしまう」と指摘。 そのため、デザインにどれほど魂を込めても、お客様が反応してくれなかったということが、数字で明確に表れてしまいます。デザイナーは、「なぜこのデザインになったのか」ということを言語化できることが必要だというのが宇都宮の考えで、「論理的にきちんと説明できることが今のクリエイターには求められている」として、そういう感覚を持つようにデザイナーやパートナーに話しているそうです。 加えて宇都宮は「虫の目、鳥の目、魚の目」を大事にしていると言います。ディテールはチェックしつつ俯瞰して見て、全体のマーケットの流れ、今後の時代の流れを見る、という意味で、すべてのビジネスで当てはまる言葉だと宇都宮は説明。特にクリエイティブのようなトレンドが早い分野では重要という認識で、宇都宮自身は「特にこの目を意識して仕事をしている」そうです。 小久保は、「納得感」というキーワードを大事にしていると言います。これは、「デザイナーが自分の仕事に対して持つ納得感」と、「デザイナーと一緒に働く他の職種や経営者から見て、そのデザインのアウトプットが、その組織に対して良い働きをするものであるという納得感」という2つの意味があり、「両方向の納得感を作ることを意識している」と話します。 「組織としての成果を出す、そのための取り組みを凄く大事にしています」と小久保。これは、全員でサッカーボールを追いかけるような子供のサッカーではなく、役割や立ち位置を考えた上で全体としての効果を最大化することを意識しているといいます。 加えて、デジタルツールによってデザイナーの生産性も向上していますが、既存のツールをただ使っているだけでいいのか？という問いかけを小久保はします。「求められているアウトプットに対して、どういう道具があったらより生産性を高められるか」という考え方を大事にしていると小久保は強調。 GMOペパボでのデザイン部のような横断組織を作る、デザインのガイドライン作り、共有アセットの作成など、組織だからこそできるような様々な道具を作ることで生産性を上げる、そんなことを大切にしているそうです。 この「生産性を高める」のはなぜかといえば、小久保は「遊ぶ時間を作るため」と告げます。「遊びと仕事」の間にある違いを小久保は、「確たる目的を持つか持たないか」と表現。遊びという無目的の中で取り組むことで得られる知見や発見が大事で、遊ぶ時間を作ることであたらしいものに触れる、トライする、そういったものが必要だという考えです。 その遊びの中から、ビジネスとしての投資につなげるかどうかを判断するのもクリエイティブリードの役割だと小久保。その判断の理由もドライな言葉ではなく、ウェットなコミュニケーションを取る、そうした言語化も大事だと小久保は話します。 クリエイターが活躍する企業グループとは 続いての質問である「クリエイターが活躍する企業グループ」を実現するために必要な考え方として、宇都宮は「リスペクト」を挙げます。今までビジネスサイドが中心だった企業やテック中心の企業などが、クリエイティブを新たに取り入れようとしても、「違う文化を持っている人たちと対等にやるのはハードルが高い」との考えを示します。 その時に「相手に対するリスペクトをどれだけ持てるかどうか」という点が一番重要だと宇都宮。それによって、ユニークなチームを作ることができるのだと話します。自分とは異なるスキルを持つ人に対してリスペクトを持って、受容性を高めていけるか。それが、クリエイターが活躍する企業グループになるためのキーになるというのが宇都宮の回答です。 これを受けて岡本は、「GMOインターネットグループには7,000人ほどのパートナーがいて、各社にクリエイターがいて、それぞれ得意としている分野も異なりますが、そういう中でお互いをリスペクトして（グループで）シナジーを作っていく、それが来年（2023年）に取り組みたいことなのかと感じました」と感想を述べます。 今回のセッションでは「言語化」という言葉が1つのキーワードとなっていましたが、小久保は「クリエイティブリードの役割は言語化が必要だとは思いますが、同時に言語化しきれない、できない、未分化な部分の価値を感じ取って理解して、それを育むことと両立しなければならない」という考えを披露。 ただ言語化をやりきればいいというのは、クリエイティブリードの領域においては役割の半分で、一方で「雑な言葉で言えば"エモい"といったことを肌感としてちゃんと分かること、それを重要視して育んでいくこととの両立が大事」だと小久保は言います。 クリエイターが活躍する企業グループは、こうした未分化な領域や言語化しきれていないものに対しても「勇気を持ってベットできる組織」であり、こうした"ベット"ができるような組織に持っていくことがクリエイティブリードの仕事の1つと言います。 さいごに セッションの終盤では、参加者から寄せられた「シニアデザイナーの役割の言語化」「取得しているスキルセットでは見えないような領域での生産性を向上させる言語化を教えて欲しい」という質問に対しての回答が示されました。 小久保は、シニアデザイナークラスの人に求めるものとしてスキルに加えて「理想が描けること」を挙げます。これは、物事に不満があってこうあるべきだという考えがあって、そのために必要なアクションができる、ということで、「別の言い方で言えば問題定義とか問題設定」と小久保は説明します。 小久保は、こうした設定ができた上でちゃんとアクションに結びつけていくことを担ってくれる人をシニアデザイナーと呼びたいという考えを示します。そして、「我々も言語化を頑張るので、シニアデザイナーであれば一緒に言語化を手伝ってほしい」と小久保は笑い、それを受けた岡本は「"エモい"を言語化するところから始めていきたいと思います」と意気込んでいました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://youtu.be/jG_vrkAentc

GMOインターネットグループが、12月6日（火）～7日（水）の2日間にわたり開催した「GMO Developers Day 2022」。東京・渋谷フクラスにおけるリアル登壇とオンライン配信のセッションを組み合わせたハイブリッドで開催された今回のイベントでは、Web3、AI、セキュリティ、クリエイティブといった「技術の拡張（Add on）」を、スペシャリストたちが紹介しました。今回はその中から、「プライバシー保護連合学習技術と活用方法について」と題したオンラインセッションをお届けします。登場するのはGMOサイバーセキュリティ byイエラエ株式会社から、AI開発部スペシャリストの伊藤一明です。 登壇者 伊藤 一明GMOサイバーセキュリティ by イエラエ株式会社AI開発部 スペシャリスト 連合学習に暗号技術を「Add on」したDeepProtect インターネット技術の中でもサイバーセキュリティなどに関する事業を展開するGMOサイバーセキュリティ byイエラエ。「誰もが犠牲にならない社会を創る～デジタルネイティブの時代を生きるすべての人が安全に暮らせる社会作りに貢献します～」をミッション＆バリューとして掲げています。 現代の課題の1つとして、伊藤は「複数の組織がデータを持ち寄って分析しないと解決できない課題に対して、データを共有したり開示したりできないという二律背反がある」と指摘します。 これを解決するための技術としてイエラエ社が社会実証・ビジネス化を進めているのが、連合学習と呼ばれる機械学習の手法に、暗号化したまま計算できる特性を持つ準同型暗号を「アドオン」したプライバシー保護連合学習技術である「DeepProtect」です。複数の組織が持つデータセットを互いに秘匿し、プライバシーや機密性を保ったまま共同で機械学習を行える、独自のプライバシー保護連合学習技術となります。 では、そのDeepProtectとはどんな技術でしょうか。 鍵となる技術である「連合学習」は、2017年にGoogleが提唱した機械学習モデルの手法です。Googleでは、キーボードアプリである「Gboard」の予測変換の精度向上に活用しています。 この技術は、機械学習に必要な学習用データを、1つの拠点やサーバに集約せずに作成できるという点が最大の特徴です。散在した学習用データを使っても、作成されたモデルは集約した場合と同等の性能があるとされています。 例えばGboardでは、各スマートフォン上で入力されたテキストデータと入力サジェストのクリック状況等から学習データを生成するのですが、キーボードで入力された文字列やクリック状況は機密性の高いデータになります。この学習データから機械学習を実行し更新モデルを作成するのですが、ここまではGboardをインストールしたスマートフォン内で行われ、学習データはローカルにとどまっています。 その後、更新モデルの差分情報のみがクラウドに送信され、他のユーザーの更新モデルと平均化されて、すべてのユーザーで共有する共有モデルを作成、改善されたモデルを再び共有します。これが個々のスマートフォンにダウンロードされて、再びローカルでの改善、更新モデルの作成に活用されます。これが繰り返されることで、キーボード入力の予測精度が向上する、というのがGboardの連合学習です。学習データ自体はスマートフォン内にとどまり、サーバに集約する必要がありません。 Gboardにおける連合学習の概念図。ローカル内で学習、改善、更新モデルの作成というサイクルを回しつつ、差分情報だけをクラウドに集約して、共有するためのモデルを作成、改善していきます。google資料「Federated Learning: Collaborative Machine Learning without Centralized Training Data」より抜粋 このように、学習モデルを作成する際には個人情報を含むデータの送信が行われず、学習によって得られた差分パラメータ（勾配情報）のみを送信することで、個人情報などの機密データを開示することなく学習モデルを構築できるのが連合学習です。 送信されるのは、プライバシーに関わるような個人情報などではなく、学習モデルの差分パラメータ（勾配情報）のみになります これに「アドオン」する準同型暗号は、その名の通り代数学で知られる「準同型（homomorphic）」の性質を持った暗号方式です。暗号化されたデータに対して加算や乗算といった演算を行った場合、復号した結果が、暗号化しない場合と同じデータ演算結果になる暗号方式です。 例えばEnc(m_1)とEnc(m_2)という暗号化されたデータがあった場合、復号をしない状態でEnc(m_1+m_2)、Enc(m_1×m_2)といった計算が可能で、復号した結果は、もともとの暗号化されていないデータの演算結果と同じとなっています。こうした特性から、暗号化した状態で中身を隠したままデータ処理ができるわけです。 連合学習技術と準同型暗号を組み合わせると、学習モデルの勾配情報を暗号化したまま計算して、その結果を集約して更新するため、データの漏えいを防ぐことができます。送信されるのが勾配情報に限られる上にそのデータは暗号化されているので、中身を見ることができないからです。 勾配情報を暗号化したまま計算する準同型暗号。計算式は図のようになります 厳格なセキュリティ、プライバシー保護によって、組織を横断したデータの利活用が妨げられるという課題に対して、プライバシー保護連合学習技術の「DeepProtect」であれば、個人情報などの機密性の高いデータを開示しなくても、組織を横断したデータ利活用が可能になります。 金融機関における不正取引検知で利用に期待 実例を見てみましょう。JST CRESTでの実証実験として、金融機関における不正取引検知でDeepProtectが活用されました。複数の銀行のデータを使って不正検知の学習モデルを作成するには、これまでは各銀行のデータを集約する必要がありました。口座情報や取引履歴などが含まれるため、通常は外部に出せない情報です。 DeepProtectでは、各銀行内で学習したモデルの勾配情報のみを暗号化し、中央サーバへアップロードします。中央サーバでは集約された勾配情報を、準同型暗号によって暗号化されたまま統合し、集約された勾配情報として更新をします。 各銀行では、この更新された学習モデルをダウンロードして、それぞれの学習モデルをまた更新します。このサイクルを繰り返すことで、精度の高い学習モデルが共同で構築できます。1つの銀行のデータだけではなく、複数の銀行のデータによる連合学習モデルを構築することで、より精度の高い不正取引検知ができるというわけです。 DeepProtectの実例として、金融機関の不正取引検知での概念図。それぞれの銀行の学習モデルの差分パラメータのみを暗号化、中央サーバにアップロードし、集約した差分パラメータを使って学習モデルを更新 実データ自体は外部に送信されず、あくまで差分パラメータという勾配情報のみが、しかも暗号化されたまま処理されるため、データの機密性やプライバシーが確保されているというのがメリットです。 実証実験の結果は、各銀行での被害取引の検知率で比較されています。1つの銀行のデータだけを用いた個別学習モデルと、DeepProtectの連合学習モデルを使った検知精度の比較では、検知率が個別の84％に対して85.3％と、1.3ポイントの向上が見られました。個別学習モデルでは検知できなかった不正取引が検知された事例も確認されました。 実証実験での結果。連合学習モデルの方が高い結果を得られました 銀行における不正取引の被害額は、把握されているものだけで約300億円程度とみられており、1ポイントの向上で3億円程度の不正が防げるということになります。表に出ている被害額は氷山の一角とも言われていますので、実際はもっと被害額を減らせる効果があると考えられます。 実証実験で示されたDeepProtectの高いポテンシャル 不正取得された口座が振り込め詐欺などの金融犯罪に使われる、といった加害取引検知の実証実験では、個別学習モデル単独と、個別学習モデルと連合学習モデルを組み合わせたハイブリッドモデルで検証。加害取引が検知されるとその口座を凍結するのですが、その口座凍結が個別学習モデルと比べて20～50週程度、早く検知できていたそうです。検知率も個別学習モデルで78.9％が、ハイブリッドモデルだと94.7％で15.8ポイントの向上。実証実験によって、DeepProtectの高いポテンシャルが証明されました。 加害取引検知の実験では、ハイブリッドモデルで大幅な性能向上が確認されました 金融機関に対する攻撃は複雑化、巧妙化しています。マネーロンダリングや不正送金、振り込め詐欺などが相次ぐ中、単独のデータだけでは不正対策が間に合わなくなっています。複数の金融機関にまたがってデータの解析を行うことで、不正の検知率が向上すれば、犯罪を未然に防ぐ可能性が高まります。 そのほかにも様々な分野での応用が期待されます。例えば医療・ライフサイエンスの分野では、ウェアラブルデバイスの普及で計測できるバイタルデータが急拡大。電子カルテシステムなどの環境整備も進み、大量のデータが収集されています。こうした極めて機密性の高いデータでも、セキュアに複数の機関やデバイスをまたいだ統合分析が可能になり、医療やライフサイエンスの進歩に貢献できる、と伊藤は話します。 マーケティング分野では、単独企業だけでなくグループ企業や業界内を横断した豊富なデータをベースにした学習モデルを構築。詳細なインサイトやターゲットの発見といった精度の高い分析の実現が期待できる、としています。 製造現場でも貢献できそうです。IoTの導入が進んだ製造現場では、AIを使ったデータ分析も始まっています。これによって、設備などの故障予知、部品の品質管理、製品の異常検知などの分野で活用が期待されています。こうした分析には、1社、1工場のデータだけでは不十分なので、複数企業の工場データを活用できるDeepProtectが「課題解決を支援します」と伊藤は言います。 サービスの分野にも応用できます。電力やガスなどの公益サービスでの需給バランスの最適化、自動翻訳、スパムメールの検出、カスタマーサービスのチャットボット、バーチャルアシスタントサービス、自律走行を制御する車両運行システムなど、伊藤は様々なサービスでの利用を例に挙げ、広く活用が期待できるとアピールします。 さいごに もともと今回の技術「DeepProtect」は、発明した情報通信研究機構（NICT）から技術移転された（ニュースリリース：https://www.nict.go.jp/press/2022/03/17-1.html）もので、サイバーセキュリティや暗号技術、機械学習に関して高い技術力を持つことからイエラエ社が移転先として選ばれました。社会実証やビジネス化を進めていますが、伊藤は、幅広い分野の多くの課題を解決できる可能性がある技術として、「今後に是非とも期待して欲しい」と締めくくりました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://www.youtube.com/watch?v=kx7V6_jNU7U

本イベントは、世界トップクラスのサイバーセキュリティ専門家による国際会議として、10月27～28日の2日間、東京・渋谷パルコDGビル 18階 カンファレンスホール “Dragon Gate”にて開催されました。欧米の著名研究者が参加して研究成果を共有するとともに、日本の若手研究者の研究も発信する場としても知られています。GMOインターネットグループからは、GMOサイバーセキュリティ byイエラエ社がトップスポンサーとして協賛し、セッションやワークショップへの出展などで参加しました。CODE BLUE 2022 協賛レポート［前編］記事に引き続いて、今回は［後編］として、ワークショップ・ブースの様子をお届けします。 CODE BLUE 2022 協賛レポート［前編］ https://developers.gmo.jp/26813/ ワークショップ ワークショップ会場では「Webハッキング体験 forビギナーズ」と題したコンテストを実施していました。これは、Webサイトに仕込まれた脆弱性を使ってシステムへの侵入にチャレンジするという企画。貸し出された、または自前のPCを使って参加するというもので、全問正解者先着10名には、イエラエ社のエンジニアが執筆した書籍がプレゼントされていました。 Webハッキング体験 forビギナーズを実施していたワークショップのイエラエ社ブース ブースの担当者が「大盛況」と言うとおり、いつブースを覗いても参加者がいるという状況でした。実は、すでにGMOインターネットグループ内で行ったHacking Nightで使われた問題と同じものが使われていたそうですが、取材時で満点の人が5人ほど。「腕に覚えのある方だとすぐに（満点を）取っていく」という説明でしたが、人によっては2時間ぐらいかけて頑張って解いている、という感じだったそうです。 いつ見ても貸出PCは埋まっていました ビギナーズと題していますが、オフィスのパソコンを管理している情報システム部門と、Webの開発はしているけれどもセキュリティには手を出したことがないという人をターゲットにしていたそうです。ハッキングでどんなことが行われているかピンと来ないような人が、実際に攻撃してみて、どう守るかを理解してもらうことが目的だと言います。 トップ10の結果。横軸が回答時間、縦軸が点数。一定まではすぐに解ける人も、後半のセクションで時間がかかった例が多いようです。トップの人は短時間でクリアしており、腕に覚えがある人だったと見受けられます 内容的には、全部で3セクション12問が用意されており、1セクション目にある9問は簡単ですが、体系的に学びを得られる内容で、続く2、3セクションで学んだことをそのまま使ってみる、という構成になっています。 ただし、2セクション目以降は、そのまま学んだことを使うだけでは解けずに、一工夫が必要な仕組みになっています。実際、1～9問目まではすぐに解けていた挑戦者も、それ以降の回答に時間がかかった例もあって、教材としても優れた作りになっていることが伺えました。 グループ内では過去に使われたこのハッキング体験ですが、今回のCODE BLUE会場でも大好評！ブース担当者は、具体的な話があるわけではないと前置きしつつ、外部にも何らかの提供があってもいいのかもしれないと話していました。 景品として用意されていたイエラエ社のエンジニアが執筆した書籍 企業ブース 企業ブースでは、イエラエ社の製品を紹介していました。製品はアタックサーフェース可視化サービス「metisys」と、デジタルフォレンジックの「レッドチーム演習」です。 企業ブースで紹介されていたmetisys metisysは、攻撃の入口となるドメインやIPアドレス、企業の漏えい情報を具体的、包括的に可視化してくれるサービスです。IPアドレスを登録すると定期的にスキャンして、問題点が上がると赤く表示されます。ドメインも同様にチェックできます。 社内の資産を列挙し、IPアドレスやドメイン情報をスキャンして、脆弱性があれば指摘してくれます スキャンした結果、脆弱性情報があれば赤色で警告を表示 漏えい情報では、メールアドレスとその流出元が表示されます。こうした情報は、特に大きな会社だと、工場や支社、支店なども含めると管理しきれなくなり、サプライチェーン全体で管理したいというニーズに対応するための製品だと言います。 実は、現時点ではインターネットクローリングをかけているだけですが、来年に向けてアクティブなスキャンをするエンジンも開発しているそうで、それが実装されれば、深いところまでチェックできる製品になると説明していました。 紹介されていたもう1つの製品である「レッドチーム演習」。目標となるゴールに対して実際の攻撃者と同じ条件で攻撃を実施して、組織全体のサイバー攻撃に対する体制の評価などを実施します。 レッドチーム演習、デジタルフォレンジックに関する紹介も ブース担当者の説明では、従来はアンケートや脆弱性診断などを実施していたのですが、調べることが広範になってしまうそうです。レッドチーム演習の有用性が高いのは、一番攻撃されやすいところが判明することです。 「サイバーセキュリティキルチェーンと言われるが、攻撃はたいてい1つの入口から連鎖している」とのこと。その入口さえふさげば攻撃は連鎖しないわけで、それを可視化するのが今回のサービスで、クオリティの高いエンジニアがホワイトハッカーとして攻撃を実施します。 このレッドチーム演習に対して、ブルーチームによるフォレンジックや支援サービスも提供。ハッカーに侵入されたときにどこに侵入されて、どういう感染経路で、どういう攻撃手法だったのか、といったことを調査。PC、サーバー、カーナビ、IoT、クラウド環境といった幅広い調査ができることが特徴だと言います。 「演習」というのがポイントで、従来の手法だとリアリティがないと担当者。経済産業省がサイバーセキュリティ経営ガイドラインでもインシデント発生に備えて演習をするよう求めるなど、演習に対するニーズが高まっている点も追い風のようです。 「レッドチーム演習」サービスについて、詳しくはこちらから さいごに CODE BLUEは、歴史あるセキュリティイベントとして多くの来場者が集まっており、「Web3セキュリティ解体新書」講演にもたくさんの聴講者がいて、やはりWeb3の注目度の高さを感じさせました。 そうした中でもワークショップにおけるハッキングコンテストの人気も、もともと来場者のセキュリティ意識は高いのでしょうが、様々なキャリアの人がトライしていた様子だったのも注目ポイントです。 セキュリティ対策においては技術力の強化だけでなく、日々の情報収集能力も重要で、レッドチーム演習の担当者も、イエラエ社の強みとして最新情報の情報収集力を挙げていました。CODE BLUEのようなイベントは、最新情報を得られる格好の場であり、イエラエ社も最新の情報を提供し、さらに攻撃と防御に対する認知度を高めるという貢献を担っていたのではないでしょうか。

本イベントは、世界トップクラスのサイバーセキュリティ専門家による国際会議として、10月27～28日の2日間、東京・渋谷パルコDGビル 18階 カンファレンスホール “Dragon Gate”にて開催されました。欧米の著名研究者が参加して研究成果を共有するとともに、日本の若手研究者の研究も発信する場としても知られています。GMOインターネットグループからは、GMOサイバーセキュリティ byイエラエ社がトップスポンサーとして協賛し、セッションやワークショップへの出展などで参加しました。 イベント概要 日　時：2022年10月27日（木）～ 28日（金）会　場：渋谷パルコDGビル 18階 カンファレンスホール “Dragon Gate” + オンライン配信主　催：CODE BLUE実行委員会公式HP：https://codeblue.jp/2022/ 10回目の開催となったCODE BLUE CODE BLUEとは CODE BLUEはセキュリティに関する国際会議で、2013年の第1回開催以来、今回で10回目の開催となりました。初回には米国BlackHat創設者で、DEFCONも主催するジェフ・モス氏が登壇。2020年には台湾のデジタル担当大臣オードリー・タン氏を招聘するなど、幅広い著名講師陣を招いての講演も魅力。今年の基調講演は長年BlackHatなどで活動しているセキュリティ専門家のニール・R・ワイラー氏でした。日本語と英語合わせて、2日間で40近いセッションもあり、イベントの密度は高い。 イエラエ社は、企業ブースの出展に加え、ワークショップ会場ではWebハッキング体験 for ビギナーズを開催。トークセッションでは「Web3セキュリティ解体新書」と題したプレゼンも実施しました。 盛況なワークショップ会場 登壇セッション「Web3セキュリティ解体新書」 GMOサイバーセキュリティ byイエラエ社は、1日目のトークセッションの1コマとして、同社高度解析部高度解析課の緑川志穂、名古屋謙彦、浅野泰輝の3人が「Web3セキュリティ解体新書」と題した講演を行いました。 トークセッションにおける「Web3セキュリティ解体新書」 「Web3はソフトウェアやソリューションとしてはかなり充実してきた頃合いですが、Web3に対するセキュリティの観点ではまだまだ手探り状態にあります」。緑川はそう話し、その要因として、そもそも「Web3ソリューションそのものの構造」がモデル化できないと指摘。Web3自体の定義・分解手法があやふやというのも大きな理由で、Web3のセキュリティ対策も体系化できないと言います。そうした出発点からスタートした緑川らの研究では、次の3つの研究課題に据えました。 Web3の理想。Web3とはもともと何をしたかったのか？Web3の現実。実際のWeb3ソリューションがどのようなものか。私たちの考えるWeb3セキュリティ。 1のWeb3の理想では、まずその概念の提唱時までさかのぼります。最初に言及されたのは、元NSA（米国家安全保障局）局員だったエドワード・スノーデンによるリーク事件。これは「米国が、世間が想像していた以上に監視社会であることを知らしめた」（緑川）のですが、それに対する反応として「監視されたくない」「プライバシーを守りたい」「自分の情報は自分で設定したい」といった個人主義的な考え方に落ち着いてきたと緑川は言います。そして「これを実現する方法はないだろうか？というのが最初の（Web3の）モチベーションと」と緑川。これらを踏まえたWeb3の言葉の定義として、最初に「Web 3.0」という言葉を提唱したGavin Woodを取り上げます。Woodは「Web 3.0または"ポストスノーデン"Webと呼ばれるもの」と概説。それは、プライバシーが国や組織によって脅かされないネットワーク、という定義になっています。ちなみに、こうした考え方は1988年にすでに存在し、Timothy C. Mayによる「The Crypt Anarchist Manifesto」においては「暗号無政府主義」として「暗号技術を用いて、誰からの監視もなく、なおかつ何らか特定の信頼を置く必要もない社会」が提唱され、続く1993年にEric Hughesが「A Cypherpunk's Manifesto」で「サイファーパンク」という考え方を提唱しました。サイファーパンクの系譜を受け継ぐコミュニティにおいて発生したというのがBitcoinで、緑川は「ブロックチェーン技術自体がWeb3と無関係というわけではない状態」と説明しました。前述のWoodによる「DApp（Decentralized Application）」という概念についても説明され、ポストスノーデンWeb上でソフトウェアがどのように動くべきか、どう振る舞うべきかを定めたものとのこと。重要なのが「zero-trust interaction system」で、「すべての名前は仮名によって行われなければならない」「それらは全てセキュアに実行されなければならない」「ほとんどのサービスはtrustlessでなければならない」というのがDAppの条件とされています。仮にこのDAppが存在した場合、その実行基盤にはどういう条件が必要なのか。Woodはこれを次の4カ条にまとめているそうです。 static content publicationdynamic messagetrustless transactionsintegrated user-interface 「これらが揃っている基盤こそがWeb3（Web 3.0）と呼べる」というのがWoodの考えで、ここまで説明したのが「Web3の理想」だと緑川は言います。では現在、現実にWeb3として考えられているものに何があるか。デジタル庁が開催したWeb3.0研究会第1回資料を引いて、NFT、DeFi、暗号資産取引所、NFTマーケットプレイスといった例を挙げます。「研究の元々のモチベーションは、Web3アプリケーションを一般化して、もっと普遍的にWeb3セキュリティ自体を議論したいというもの」で、上記のようなアプリケーションなどを解体して、普遍的な成分だけを取り出すというのもひとつのやり方ではあるとしつつ、定まったやり方があるわけではない、と緑川は言います。すでに様々な研究論文や分解方法が提案されており、緑川らが採用したのは、2022年8月に発表されたQin Wangらによる「Exploring Web3 From the View of Blockchain」という論文。ブロックチェーンの立場からWeb3全体を概説したサーベイ論文だとしています。論文では、Open、Trustless、Permissionless、Anonymous、High availabilityという5つの要件が挙げられていますが、Web3アプリケーションの分解モデルも提示されており、緑川らはこのモデルを採用しているとのこと。Web3アプリケーションは、Date Access、Data Computation、Data Storageという3レイヤーによるアーキテクチャ・モデルで説明可能としており、12のパターンで分解できるというのがこの論文の説明で「少々荒っぽいパターン分けでしかない」としつつ、セキュリティ側として重視したいのはデータフローとそのプライバシーで、その観点でこの分解方法は利便性が高いとしています。 Web3アプリは3レイヤーによるアーキテクチャ・モデルで説明可能、とする立場の論文 緑川は、こうしたモデリングが可能なブロックチェーン関連のアプリケーションは「基本的に（前述の）5カ条を目指していると言える」と指摘。ただ、理想的なWeb3をブロックチェーン以外で実現しているものは「他に存在しない」と話し、「結果として"現実的なWeb3"を特徴付けているのがこの5カ条」だとしています。 加えて緑川は、「Web3とはブロックチェーンであるという議論は、短期的には真であるが、長期的には必ずしも真ではない」と話し、長期的には交換可能性も検討しなければならないと指摘。 「もし今後、Web3に本気で取り組むのであれば、ブロックチェーンに依存しないデータモデリングを考える必要がある」とまとめました。 Web3セキュリティとは何か 続いて登壇した名古屋は、Web3でも従来のソフトウェアセキュリティに近い部分が存在しているとしつつ、それだけではないという部分に言及します。それが、Web3の理想、現実の双方から検討した結果、「信頼という観念が不要な契約」（Trustless）という点が共通しているという点です。 イエラエ社高度解析部高度解析課・名古屋謙彦 現実のWeb3では、ブロックチェーンとその外部との接続が必ず発生し、そのインタフェースを「ウォレット」と表現しています。Web3アプリの認証・認可では秘密鍵を使っており、ウォレットとの認証操作が、そのまま認証・認可のトリガーとなると名古屋は説明します。「しかし今、私たちがWeb3の内部と外部を接続するインタフェースとしてのセキュリティアセスメントは足りているのでしょうか？」と名古屋は問いかけます。そこで「分権性」「Web3における認証・認可」「スマートコントラクト」という3点に重点を置いた検討を行ったとします。 分権性は、英語のdecentralization（非中央集権）ということで、権利が中央に集中しているのではなく、権利、権能が複数の場所に分かれているという意味で分権性と表現しているそうです。これは、ブロックチェーンネットワークの分権性と、DAppの分権性という2つの観点があり、前者はコンセンサスアルゴリズムの分権性に依拠していると言います。例えば対象となるDAppがHybrid Storageにあたる場合、オフチェーンのストレージが存在するため、中央集権の部分もあり、「セキュリティの観点から見た場合、分権性と中央集権が混在し、権能が偏っているのは結構重要な意味を持っている」と名古屋。ブロックチェーンにおいては、権能の大きさと攻撃を受けた場合の影響範囲が近似となります。現時点では「誰が、どの権能を、どのぐらい持っているのか」という点をDAppのWeb3活用において検討することを推奨する、と名古屋は話します。 認証・認可においては、ブロックチェーンにアクセスするためのインタフェースとなるウォレットが重要になると言います。問題はオフチェーンの場合で、通常のWebサイトへのログイン、APIの利用、モバイルアプリの利用といった場合に、どのような手段で正しく認証するのが問題になると名古屋。手法としてはデジタル証明書があり、Ethereumでも使われるEIP-712と呼ばれる、署名に決まった型とデータを使って署名するという手法があります。ただ、現状では「ユーザーに確認の責任を負わせている状態にある」と指摘します。現状の通常のWeb（Web2）にはFIDO認証があり、これもフィッシング耐性のある認証手法とされていますが、これはブラウザやOSがサイトのオリジンを保証して認証することでフィッシングなどを防止しますが、ブラウザやOSを信頼する形になるため、Web3で参考にするには分権性の問題が出てくるので検討が必要になります。「オフチェーンでの確認には限界があるということを踏まえて設計する必要がある」と名古屋は強調します。 スマートコントラクト スマートコントラクトに関しては浅野が担当。EthereumとSolidityを想定して説明がされました。こうした環境では、Web3特有としてチェーン上にすべてのデータを公開する性質やアドレスに対する権限の管理といった、「スマートコントラクトのオリジナルの視点が必要になってくる」と浅野。 イエラエ社高度解析部高度解析課の浅野泰輝 そのため、Web3以外のWebで使われるようなCWEといった指標はそのまま使えない。「言うなれば、スマートコントラクト専用のCWEのようなものが必要になる」というのが浅野の説明です。 Ethereumでは、それをEIP-1470でSWCとして定義されています。専用解析ツールMythrilで、ある程度のSWCに抵触しているかどうかを判断できるそうですが、SWC自体は更新・メンテナンスが止まってしまっています。それでもSolidityのコードを書く上で陥りやすいミスなどはある程度カバーできるそうです。「スマートコントラクトに対するセキュリティの虎の巻みたいなものは存在していない」と浅野。スマートコントラクトにおけるセキュリティが発展途上ということではあるのですが、その中でも重要なトピックとして浅野氏が挙げるのは「Reentrancy」と「selfdestruct」の2点です。Reentrancyでは、JavaのConcurrentModificationExceptionという例外を例に、シングルスレッドでも「並行制御を考慮しなければならないと言っても過言ではない」（浅野）として、スマートコントラクト開発でも並行制御の視点は広く浸透していくべき、というのが浅野の考えです。スマートコントラクトではゼロトラストという性質があり、権限の管理が非常に重要になってきます。過去には、selfdestruct命令の権限が適切に設定されていなかった事例があり、自己削除できるselfdestructを実行するにあたっては権限の設定に不備がないかを慎重にチェックする必要があります。イエラエ社がスマートコントラクトの診断を実施したところ、Reentrancyに関する問題点は発見されたものの、selfdestructにもとづく問題点はまだ存在していなかったそうです。浅野は「セキュリティとしてまだ土台が固まっていないスマートコントラクト、Web3の開発においては、常にどこかで脆弱性が見つかり、安全だと思っていたものはすぐにレガシーになってしまう危険性をはらんでいる」と強調。そうした状況を放置するのではなく、selfdestructなどを使ってうまくいなして共存できるようになる、と主張します。 最後に再び登壇した緑川は、「2つの標語を提案したい」と言います。 Web3は誰でもが参加できて、誰もが権能を持つコントラクトの人生は完全に管理しろ 加えて緑川は、自動車やIoTにおけるセキュリティが同じような考え方になっていると説明。すでにこの方面ではある程度の知見がたまっているので、そのまま流用はできないまでもアーキテクチャリングやモデリングに関しては有用という判断をしているそうです。緑川は、そうした他分野との相互作用ができることを期待し、将来的な取り組みとして今後も研究を重ねていきたいと話しました。 →後編へ続きます

9/21（水）にGMO Developers Night#36 「 経済産業省×GMOサイバーセキュリティbyイエラエ「開発段階におけるIoT機器の脆弱性検証促進事業」について 」をオンラインにて開催。IoTにおけるセキュリティ対策の必要性や有無、また、経済産業省が行う取り組みについて、お話いたしました。 ▻イベント告知：https://developers.gmo.jp/20150/今回Vol.03では、 座談会・Q&Aコンテンツ の書き起こしをお届けします。 Q.WebとIoTの脆弱性で大きな違いがあれば教えてください 今回のセミナーに申し込む時に使用している申し込みサイトがWebですが、IoTは装置。脆弱性の大きな違いは、Webの方であれば大きなパソコンを使って、サーバーなどでいろいろやっていますが、それらに実際に診断を行った時にサーバーの上で何か動かす、例えばマイニングであったりとか変なものを動かされたりとか、そういったものがあります。IoTですと、Webと似たようなところで個人情報などが装置から抜かれてしまう可能性があるというのもありますが、もう1つ、IoTはサイズが小さい。小さい機器で動かさなくてはいけないというところで、脆弱性の対策とかセキュリティ対策をたくさんやると、イメージとしてはパソコンにウイルス対策製品を入れると重くなりますが、同じような感じでただでさえパワーが弱いIoT機器にそんな製品を入れられない。でも対策しなければいけない、ということで、結構大きめの穴が開いたままで動いているIoT機器があるとか、あとは皆さんがいろいろカスタマイズしているので、既知の脆弱性ではないけれども、ちょっとコードを読むことですでにいろいろと攻撃されている脆弱性の変化球があるということも分かります。まとめると、そこまで大きな違いはないが、それぞれの事情から細かいところを見ると脆弱性の違いはあります。IoTは特有の脆弱性があり、Webは特有の脆弱性があり、Webの方はよく調べられているけど、IoTの方はあまり調べられていないからまずい、というところはあります。三村 Q.IoT利用者目線で、簡単にできるセキュリティ対策があれば教えてくだ 一番最初に、パスワードをちゃんと変更してくださいというものがあります。また、最近だとRaspberry Piのような小さい装置がありますが、OSがデフォルトのままで入れた状態だと、何の対策もされていないOSに、パスワードがデフォルトの状態でやられ放題になってしまう。そういう機器であれば、ファイアウォールを設定しましょう、パスワードを変更しましょう、といったことになります。また、アップデートがあればしていきましょうというところが重要なところになってくると思います。ほかの機器でもアップデートが出ていれば実施するし、ベンダーさんからこの機器はもうサポートしませんと言われているのであれば機器を交換する。パソコンに近い形の対策が利用者目線だと一番重要でかつ簡単にできる対策だと思います。三村 Q.IoTの持つセンサーへの攻撃などは評価していないのでしょうか？ もちろん、センサーへの診断は行っています。センサーへの攻撃はどういうふうに評価を解釈するかになりますが、脆弱性に何か攻撃される穴があったり攻撃されたりということがあるかといえば、当然YESです。分かりやすい例ですと、池があったとしましょう。そこに水温を測るセンサーがあったとして、これがIoT機器です。水温が高ければ水を入れて温度を下げる、低ければヒーターを動かすといった"IoTの池"があったとすると、攻撃は水温センサーの値を変な値で返してあげる、サーバーとクライアント（センサー）との通信をいじって、その池は本来ならば二十何℃が正常なのに5℃です、という情報をサーバーにあげる。するとヒーターが動いて池の水温が上がって、池の鯉が死んでしまうかもしれない。こういった攻撃は当然ありますので、その対策や、脆弱性診断は当然重要ですし、我々としてもそういうところの診断依頼は当然来ておりますしやっております。三村 Q.各種脆弱性診断を定期的に行うタイミングなど、指標があれば教えてください。 まず、セキュリティ・バイ・デザインのところから考えると、まずソースコードや、その前の設計段階、基本設計のところだと、例えば通信を暗号化すると、その暗号の方式はちゃんと安全なものですか？と。一例を挙げますとDESとかSSLの暗号でも例えば128ビットとかは最近は使っている例はないですけど、そういうものを仕様書で使いましょうと書いてあれば、そのタイミングで相談いただければ、これは確実に危ないです、これを使っていたら危険ですというものはできますし、基礎のタイミングのところから安全にしていくことはもちろんできると思います。もちろん、設計がしっかりしていて、開発もしっかりしていたとしても、その後のところで診断をした時にここのタイミングで何が見つかるかという話になりますと、例えば設計して実際にシステムを作りました、そこのところで例えば仕様書に書いていないような設定がありましたと、SSHやVPNをしゃべるようなソフトを入れますと、これのデフォルト設定については仕様が特にありませんでした、なのでそのままにしています、という時にここのところで発見というのはあるでしょうし、また実際に組み上がった時にチップやボードで何かこちらから指示はしていない、向こうの方で同じようにここのところは特にケアしなくて渡してしまえばよいといった形で、誰もケアしなかった脆弱性の穴があるということになれば、最後のところで当然発見という形になります。なので、診断は両方とも当然やった方がいいですし、可能であれば当然早いタイミングで行うことができれば、後段で見つかるものは小さいものになりますし、手戻りが少なくなるので当然スムーズにすべてが進むようになるので、早いタイミングからの相談をもし可能であればお願いしております。三村 伊藤各社のつまずくところは、実は各社毎では個別のノウハウですが、我々診断会社はみんなから吸収しているので、共有値というか、ナレッジのデータベースみたいなものだと思うので、開発に着手する時にも、我々みたいな診断会社を特に失敗のナレッジデータベースの感じで使っていただくと、同じような失敗をせずに物事がうまく進むと思っていますので、こういったところをうまく使っていただければと思います。 Q.サービスの穴をついてくることと防ぐことはいたちごっこのような気がしているのですが、継続的に対策できるサービスはお考えですか？ サービスの穴、一般的には守るのは全体を守らなければいけないけれど、攻撃はそのうち1個でも突破できればよいということで、いたちごっこという話はよく出ています。継続的に対策できるというところで1つあるのは、ソフトウェアのアップデートをしっかり管理したうえで行える状態にするということ。また、製造ベンダー側であれば新機能が追加される時にはちゃんとその機能がどういうものかをしっかり管理をしていく。作って終了ではなくて、どんどんアップデートとか、外から脆弱性の話があった時にちゃんと対応できる体制を作っていくというものが、まず基礎として大事になってくると思っております。もちろんその回し方に関するところは、やはり各社のやり方に絡んでくると思いますので、そこは伊藤さんにサービスという形で少し絡めて説明いただければと思います。三村 伊藤基本的には、やはり外部の攻撃はインターネットに繋がった外側のところだと思います。外側のところを我々のホワイトハッカーの考え方でアタックサーフェスといいますが、どこから侵入するのかというところを常に見ていくわけです。これで自分の知らないアタックサーフェスとかインターネット経由の入口があると、そこが盲点になってしまいます。逆にアタックサーフェスなので、こんな入口しか空いてないのにここを重厚長大に騒ぐのは費用対効果が悪かったりするので、こういった観点でアタックサーフェスをドメインとかIPアドレスからあぶり出して管理できるようなサービスとか、ホワイトハッカー視点でここが侵入口でここが重要なところですよ、入口が開いているといっても人間が通れる穴なのかネズミしか通れないのか、希釈化するとみんな入口が開いていますと言われてしまうので、こういったところのプライオリティ付けが自動でスキャンできるサービスを今GMOサイバーセキュリティ byイエラエの中でも検討していて、それをヘルスチェックの形でお出してきるような取組も進んでいる状況でありますので、ぜひご期待をいただければと思っています。 ご視聴・ご参加いただいた皆様、誠にありがとうございました。映像はアーカイブ公開しておりますので、以下より是非ご視聴ください。 https://www.youtube.com/watch?v=SDT0zu9_T8U 連載記事はこちら https://developers.gmo.jp/25025/ https://developers.gmo.jp/25547/