ログインするのにJSが必要だから、ノーJSのユーザー名回復フローにはあんまり価値がないね。

すべてのレガシーページを維持するのは本当に大変だろうね。2024年に3500億ドルの収益があっても、全然足りないみたいだね…

すべてのレガシーページを維持するのは本当に大変だろうね。Facebookの「ポーク」機能を誰が維持してるのか、いつも気になるよ。

だからこそ、企業は古い製品やサービスをどんどん廃止していくんだよ。「なんでそのままにしておけないの？」って思うかもしれないけど、そういうサービスは結局セキュリティホールになっちゃうから。安全なコードは、コードがないことなんだ。

バグバウンティプログラムは効率的な支出だと思う。数千ドルで、無給の人たちが極端なケースを探して問題を浮き彫りにしてくれるんだから。これを社員にやらせるともっとお金がかかるよ。

すべてのレガシーページを維持するのは大変な仕事だろうね。長年続いているサイトが維持しなきゃいけない、あるいは維持することを選ぶ古い情報の量は驚くほど多いし、それらを組み合わせてテストするのは不可能だよ。私が働いていた会社では、インターンや新入社員を使ってた。インターンプールに最初に与えられたタスクの一つは、ウェブサイトを見て古い情報や現在のブランドブックに合わないものを探すことだった。そのリストはどこかに送られて、ページが更新されたり削除されたりしてた。このやり方の大きな利点は、新しい人たちに私たちが何をしているのか、なぜそれをしているのか、そして製品の歴史の一端を見せることができることだった。

最終的には、2004年のオリジナルのGmailの見た目を使ったポップアップにたどり着くよ。実際、最近古い（2013年頃の）Catullのロゴが表示されたGoogleのページに遭遇したんだ。

リスクは何なの？メールが公開されること？それとも電話番号？

さらに怖いのは、これらのサービスの管理者にアクセスできる人が、マスクされていないデータを簡単に調べられるってこと！サービスごとにユニークな番号やアドレスを使った方がいいね。

今では、そんな情報を見つけるためのTelegramボットもあるよ。このブルートフォースが明らかになったことは、多くのユーザーをイライラさせたかもしれないね（悪名高い「EoG」ボットみたいに）。

過去には、サポートを受けるためにある会社にカードの下4桁を聞いて、それを別の会社で使うっていうソーシャルエンジニアリングの話がいくつかあったよね。

もし気が楽になるなら（多分ならないけど）、何百、何千ものサービスが年々あなたの電話番号を集めてきたよ（2FAや他の理由で）、同意があろうとなかろうとね。そして、その中のかなりの数がデータ漏洩を経験してる。だから、あなたの名前・メール・電話番号の組み合わせは、もう100%公開データダンプに載ってるよ。

大学にいたとき、クレジットカードについてのセキュリティ研究者の講演を聞いたことがあるんだけど、実際にそういうことがあったんだ。

こういうサービスは自動でやってくれるのがあって、結構前からあるよね。メールや電話番号、その他いろいろ。許可なしに（または相手が本当にその人だと信じられる場合以外）与えられた情報は、いろんなソースから効率よくまとめられちゃう。インセンティブがたくさんあるから、世界中で何十億人も使ってるサービスを狙ってる人がいるし、結局漏れちゃうんだよね。

バグバウンティに参加するのは誰も強制されてないよ。報酬が気に入らなかったら、やらなきゃいいだけ。こういうプログラムには、財政的な限界があるからね。

あなたは、このソフトウェアのデモに参加するようにGCPの担当者にしつこく迫られなかったのは幸運だね。

自家製の製品じゃないよ。Lookerはデータ分析とビジュアライゼーションのための結構人気なツールで、昔にGoogleに買収されたんだ。

いや、そうじゃないよ。信頼できる人にだけ渡すもので、基本的にはその人たちがインターネットで公開するなんて期待してないよ。

うーん…これってそんなに衝撃的な意見じゃないよね。昔はみんなの電話番号や住所が載った本が出版されてて、番号を載せたくないならお金を払わなきゃいけなかったんだから。今って電話帳の概念が理解できない人がいるってこと？

だから、信頼できないサイトやサービスにはFirefox Relayのメールや電話のマスキングを使ってるんだ。もし無料の代替案を知ってる人がいたら教えてほしいな。電話のマスクはプレミアムプランが必要だから、友達や家族にはちょっと厳しいかも。

Googleのプロフィール写真や他のGoogleアプリにも似たような穴があるよ。例えば、Googleマップでジョン・スミスのレビューを見たときに、Googleハングアウトでメールアドレスを追加して、johnsmith@gmail.comやsmithjohn@gmail.comみたいなバリエーションをいくつか試して、プロフィール写真を見比べるって感じかな。

もしユーザーが1つのアドレスしか持ってなかったら、どうやって2つを分けるの？大きなブロック（プロバイダー）がブロック単位や単一アドレスで配布してるなら、共有する必要がありそうだね…

ほとんどの人が /64 でブロックすると思ってたんだけど。多分、/64ごとに異なる悪用やノイズのIPv6をカウントして、閾値に達したらブロックやスロットルするのが一番安全だと思う。/64からのIPv6ごとの悪用トラフィックの比率も、いい閾値になるかもしれないね。

アラームが鳴った可能性もあるけど、その後すぐに行動が止まったから、警告レベルのページングには至らなかったのかもね。もしくは、たとえアラームが鳴ったとしても、ノートパソコンを開いてパスワードやOTPを入力して、リンクをたどってグラフを参照してる間に、リソースが数分で元に戻ったのかもしれない。ステータス更新が作成される前に、もうすでに落ち着いてきてるし。40kqpsって、FocusやGoogleのAPIの規模からすると、そんなに大したことないよね。ここで注目すべきは監視じゃなくて、以前のjs有効フローから借りたトークンを使ったjs_disabledフローのゼロレート制限だね。