# しゅうへい公式サイトはこちら。 こんにちは。フリーランスの学校の周平です。ということで、AI 開発をしているとセキュリティの問題にぶち当たると思うんですが、 今日は日本有数のセキュリティエンジニアがどんな回答をしたのかということを紹介しつつ、 周平が具体的に自分の今の事業で、どういうふうに、いわゆる個人情報とかパスワードとか決済とか、 そういったものを取り扱っているのかということを、現場のリアルな情報でお届けしたいと思います。 先に簡単に僕の経歴を言っておくと、もちろん非エンジニアプログラミング未経験でございます。 クロードコードがあって、それでいろんなウェブアプリを開発したり、ウェブアプリからの収益が、 大体月に10から20万円ぐらいあります。簡単に学習サイトなので動画を販売しているんですけど、 一応フルスタックのプロダクトエンジニアみたいなイメージですかね。 今日はたまたま個別面談を毎月やっているんですけど、そこに元某ペイペイですね。 決済サービスの某ペイペイ。ペイペイの事業責任者かな、そのポジションを経験された方が来ていただいて、 そこで逆に僕は聞くことをいっぱい聞いちゃって、すごい良い話を聞けたので、それについてまずは前半紹介しながら、 後半、具体的に本当にどういうふうに使っていたらいいかというのを話していきたいなと思います。 結構今日は有料級の話かもしれない。まず前提にあるのが、要するにフロントエンド、バックエンドって開発ありますよね。 ウェブサイトがどういうふうに見えるか、デザインがどうするかっていうのをUI、UXはフロントエンド。 僕らがよく使う、ポチポチ押すような関係性があること。その裏で動いているのは、例えばペイペイもそうですけど、 QRが出てきた、決済します。お店に支払われます。お店に入金利益が行けます。 これはいわゆるバックエンドですよね。データベースとかサーバーとか、あとは決済情報とか、決済のやり取りだったりとか、 そういったものがバックエンドっていうものです。僕ももちろんフロントエンド未経験、バックエンド未経験ですよ。 だけども、AIが今フロントエンドもバックエンドもできるという状況です。 ただ、こういうふうに非エンジニアとかが、こんなアプリ作れたとか、決済までできたとか、 言うと何が突っ込まれるかというと、バックエンドも全然勉強せずに、セキュリティも勉強せずに、 AI任せ、マジ危ないみたいなコメントがめっちゃくるんですよ。 TikTokでも、そういうアプリが作れた、決済までできたって言ったら、 マジでバックエンド勉強せずに、ここまでやってる怖すぎ、みたいなことを言ってくるんだけど、 それに対して、ポッドキャストで反論するっていうね。全然話し合いにはならないんだけど。 そこで、来られた方が言われてたのが、その方自身、ペイペイの事業のプロダクトマネージャーとかかな、 をやられていって、その方のお知り合いが日本有数のセキュリティエンジニアということらしいんですよ。 めっちゃ説得力あるよね。そういうところにいらっしゃった方が、いろんな繋がりがありますから。 聞いたら、なんと、僕とやってることは一緒でした。そういうと若干偉そうですけど、 でも、基本は同じです。レベルの違いはあるので。何かというと、結局、クロードコードとコーデックスに セキュリティの穴、セキュリティホールを見つけてもらって、それで分析して対策してもらうっていうものでした。 ある種、拍子抜けしちゃうような回答ですけど、説得力はないですか。 だって、日本有数のセキュリティエンジニアですよ。多分、20年ぐらい経験がある方かな。 いろんな企業とか、大規模なサービスとか、システムとかを見て、バックエンドメインだと思いますけど、 そこでメールアドレスの漏れがないか、個人情報が漏れないようになってるかとか、 全部見てきて、そういうふうに自分でコードも書いて直してきた人が、今、セキュリティは クロードコードに全部任せてるっていうことでした。細かい話をすると、例えばネットワーク構成とかを出させて、 それを元に分析をさせて、穴を見つけてもらうとのことでした。 どうですか、アンチども。アンチってわけじゃないんだけどさ。 いちいちそういうふうに、非エンジニアとかが作ったものを、確かにそうだよ。 実際、エンジニア経験ない人が、自分のパスワードとか、顧客の情報をGitHubに上げちゃってたとか、あるよ。 でも、そんなことを言い始めたら、いろんな企業が今まで個人情報を流出してきたわけじゃないですか。 要するに、エンジニア雇って、プロの人がやっても流出してた。そういったことが今まであって、 人気に任せたら絶対大丈夫なのか。そうでもないわけよ、土俵としては。 ここに来て、クロードコードが、例えばクロードのモデルで言うとMITOSですよね。 いわゆる何十年も見つかってなかったバグを見つけてしまったということで、 これヤバいモデルだねって言ったら、アメリカも輸出を禁止したわけじゃないですか。 それをもうちょっと一般化したいですが、フェイブルファイブというものです。 それを使えるんですよ、僕らは。それを使えば、一般的なその辺のエンジニアがもちろん能力高いわけです。 見れる高度の行数だって、どう考えても勝てないんだから、人間が。 そうした時に、自分でバックエンドの勉強をしろ、セキュリティの勉強をしろっていうのは、 僕はね、車とか新幹線があるのに、もっと速く走れる準備をしておけ、 飛脚になる練習をしろみたいな。お前ら何の新幹線の仕組みもわからないまま、 マラソンも42キロ間奏できないのに、新幹線に乗ってどうやるんだよみたいなことを言ってるのとほぼ一緒ですよ。 話は全然違うかもしれないけどね。そんなことを言って突っ込んできてるわけです。 もう消えていくでしょうね、その人たちはね。確かに自分で分かっておく、ある程度勉強していくってことは僕も同意。 勉強せざるを得ないよ。こっちだって、クロードコードが出してきたものに対して、どういうことだろうってなるから、 こういうことやってんだなっていう勉強はめちゃめちゃ必要ですとか、勉強することがめっちゃ増えてる。 例えば僕はパスキーとかを導入してますね。要するにメールアドレスを預からないようにする。 ちょっと後半の話にもつながりますけど。何が言いたいかというと、まず前半のまとめで言うと、 日本有数のセキュリティエンジニアでさえクロードコードとコーデックスに全部セキュリティのチェックをさせてると。 それは僕も一緒。だってもうクロードコードとコーデックスで作ってるわけですから。 クロードコードが出してきたやつをコーデックスに監修させたりとかね。そういうふうにダブルチェックとかしてます。 僕が実際に実装しているその学習アプリ、動画学習サイトはどういうふうに個人情報というか、 そのセキュリティを見てるかというと、後はクロードコードで作ってもらってるんだけど、 まずほとんど個人情報を預かりません。要するにもういつでも漏れてもいいという前提で作ってるんです。 これがめっちゃ大事。これは僕も当初の開発理念なんですよ。 もう偉そうに言いますけど、ちょっと待てよと。とはいえ僕も絶対いつかミスるし、 クロードコードも適当なことをやっちゃう可能性があるってことは、 自分のほうで個人情報を預からないような設計をしたらいいじゃないかというふうに分かったわけです。 これは本当に自分でもナイスな判断だったなと思います。どうしてるかというと、 まず決済はストライプです。ストライプを使うと何が起こるかというと、 別に決済情報を僕が預かるわけではなくて、ストライプが持ってるわけです。 ということはストライプのデータベース上にあるだけ。 それを僕らがAPIとかで必要な部分を読み出しに行けばいいだけ。 逆に言うと、このAPIキーさえちゃんと守っておけば、大量に個人情報を預かって、 それがメールアドレス、住所、決済情報、カード番号、カードの3桁の番号と 一緒に僕がそれを大量にどこかに預かってるなんてことは起こらないわけです。 僕は必要な情報をAPIで見に行けばいいだけっていうふうになってるんですね。 あとメールアドレスもそうですね。一応メールアドレス自体は登録は受けます。 データベースD1、クラウドフレアのD1のテーブルには乗っかりますけど、 それ自体をパスワードが紐づいてるわけじゃないです。 決済情報と紐づいてるわけじゃないです。 だから正直こんなこと言うと雑な内容になるかもしれないけど、 最悪はメールアドレスはもちろんクラウドフレアがハッキングされたりとか、 僕が変な設定したら漏れる可能性はある。 でもどうですか皆さん。 メールアドレスが漏れましたと、 顧客の名前とメールアドレスとパスワードが漏れました。 これ全然違うニュースですよね。 メールアドレスだってそもそも公開してる人だっているし、 僕も会社のメールアドレスとか別に公開してますよ。 メールアドレス自体あっても何も言うたらできないわけですね。 もちろんそれをうまく使えばハッキングとかできるけど、 そんなこと言い始めたらメールアドレスはどこにも書けないわけですよ。 だから何が言いたいかというと、 メールアドレスを預けるからパスワードを預からないということができるわけ。 このパスワードを預からない方法はどういうふうにしてるかというと、 まずディスコードでログインという形にしてます。 これ一番当初の開発のやつですね。 ディスコードでログインする。 ということは別に僕ディスコードのロールがどうなってるか、 何がついてるかしか見に行かないので、 情報を全く預からなくていいんですよね。 まずこれ一つ目。 ディスコードを使わない人もいるので、 途中から導入したのがパスキーです。 パスキーはですね、 みんなよく顔認証とか指紋とかで使われてる方も多いかもしれませんが、 あれ自体別に顔認証とか指紋認証が付いてないで使えないわけじゃなくて、 パスキーっていうのは公開鍵と秘密鍵の方式で本人と認証してるわけですね。 これ非常に画期的な開発で、 要するに今までだったらメールアドレスを入れてもらって、 その人が本当かどうかをパスワードで確認してたわけです。 このパスワードが本当かどうかは、 パスワードをデータベースに保存しないといけないわけです。 ということはメールアドレスとパスワードがセットで保存されることになるんですね。 これが流出すると、 さっきの個人情報、 名前と紐づいてパスワードまで一緒に行くと。 これ怖いわけです。 なぜならばパスワードを流用してる可能性があるから、 他のサイトも行けちゃうかもしれないのね。 楽天だったりとか銀行系に行って引き出すみたいなこともできるかもしれない。 だから怖いわけです。 でもうちの学習サイトはパスワードを作らせません。 要するに指紋認証だろうが何でもいいですけど、 ローカルの端末で、 その人のパソコンとかスマホで、 まずその人かどうかっていうのをチェックしてもらいます。 そのチェックができたら、 チェックできたときのみ署名ができるようになっていて、 その署名で秘密カギ、公開カギを、 秘密カギはその人の中にありますね。 パソコンの中、PCの中、スマホの中。 その秘密カギがあるっていうことが分かればあったら、 署名できるんですよ。 その署名が飛ぶってだけです。 飛んで、こっちの公開カギと紐付けて、 この人は本物だねっていうことが分かるわけです。 っていう仕組みにしてます。 じゃあパスキーどうやって作ったの? これもクロードコードに作ってもらいました。 何が言いたいか分かりますか? 僕は要するに、 漏れてもさほどダメージのないものしか集めてないってことです。 だからさっきも言ったけど、 メールアドレスも漏らそうと思ってるわけじゃないよ。 最悪なんかあって漏れたとしても、 メールアドレスのみです。 基本的にはね。 なので、さっきも言ったパスキーとかを使って、 要するにパスワード自体を預からない方式で、 しかも楽だね、 パスキーって指紋とかで覚えなくていいからね。 パスワード忘れました。再発行させてください。 あのやりとり、 あれはエンジニアさん本当に大変だったと思うよ。 いろんなところで作ったと思うけど。 本当にきついよね、ああいうのね。 だから今どんどんパスキーに導入が変わってるわけですよ。 そういったものが個人でも使えるので、 どんどんパスキーを使えばいいと思います。 僕も個人の管理者ダッシュボードがパスキーにしてますよ。 めっちゃ楽。 Macだと指紋だけで行けますしね。 iPhoneだと顔認証で行けますので、 そのものが別に個人で作れます。 こういったものがいわゆるウェブアプリというものなんですよ。 ウェブアプリ。 この可能性を感じますか。 大企業と同じようなことができるわけです。 このウェブアプリの作り方を、 本当に0から1から10まで全部教えますよっていうのが、 9月に開催されるフロードコードで ウェブアプリ制作講座っていうものを 周平が講師でやります。 実際別のサブ講師として、 ちげさんって火曜日担当のちげさんも入っていただいて、 ちげさんもウェブアプリを数百万円で 企業に導入した経歴があったりとか実績がありますので、 それじゃちげさんにもいつでも質問ができる環境になってますし、 僕もどんどん答えていきますので、 残り枠が18枠ぐらいになってるかな。 50名精鋭でやっていきますので、 8月31日23時59分、 今日の23時59分まででございますので、 ぜひ49,000で入れる、 数で言うと残り18枠以下になってるかな。 ぜひご参加していただけたらいいかなと思います。 詳しいのは今日概要欄にリンク載せておきますので、 そこから見てみてください。 今日も聞いただきありがとうございました。 この後も心地いい時間を過ごしてください。 バイバイ。