SecHack365 2024 作品一覧Works of Trainees 2024

無線通信において、汎用性という側面から他の追随を許さないSDR。しかし、その扱いづらさから使いこなすことが困難でした。
RFRaptorは拡張可能な攻撃プラットフォームをコンセプトに、高速な信号処理ライブラリやリッチなUI、Rustによるインタフェースを提供しました。
実際のデモでは、Bluetooth通信をリアルタイムで盗聴、監視、攻撃をする様子をお見せします。また、これらの操作は非常に簡単かつ直感的に行うことができます。

パスキーやOAuthの登場にもかかわらず、ID/パスワード（PW）による認証は最もメジャーな認証方法である。しかし、PWを使い回すな。十分長いランダムなPWを設定せよ。といった要請に、記憶力では対応できない。クラウドで同期が行えるPWマネージャーが解決策として普及しているが、追加のソフトウェアが必要、またはCLI/ログイン前の環境では利用できないことも多い。代替手段として、USBやBluetoothのHIDとして利用者が保存したIDやPWを半自動で入力できるデバイスを制作した。使用したESP32S3のセキュアブートやフラッシュ暗号化といった機能で、盗難時のPW流出リスクも抑えることができた。

SSHの公開鍵認証はセキュアであると思われがちですが、クライアント自体が侵害された場合には秘密鍵のファイルを窃取することができるのでかなり脆弱となります。そこで今回は現在広まりつつあるPasskeyというパスワードレスで強固な認証方式を用いてSSH接続をできるようにすることで、利便性と強固なセキュリティの両方を実現しました。また、認証サーバーという形で認証部分を集中管理することで退職時の無効化処理等が簡単にできるモデルとなっています。

GSLB（Global Server Load Balancing）とは分散配置されたエッジサーバ群からなるシステムに対して、権威DNSサーバを制御点としてヘルスチェック、負荷状況、レイテンシや地理的近接性に基づきDNSのレスポンスを制御することでトラフィックを動的に振り分ける負荷分散システムです。現状個人がGSLBを自前で構築するのは難易度が高く、折角の素晴らしい負荷分散システムがとても勿体ない状況に置かれていると考え「よりGSLBを自由に味わえるソフトウェア」を目指して「fubuki」を開発しました。「fubuki」を用いることでGSLBをより柔軟かつ自由に運用することが可能になります。

近年ではマイクロサービスをはじめとした分散アーキテクチャが主流となっている。そのような環境においても、ユーザーの入力値を検証し、処理の安全性を向上させるデータバリデーションの重要性は変わらない。しかし、分散アーキテクチャにおいてデータバリデーションを行うためには、同一のバリデーションを各レイヤーで実装しなくてはならない。そのような場合、一部のロジックに誤りが生じ、セキュリティホールが生じることがある。
Open-VEではそのような問題を防ぐために、バリデーションロジックを一元的に管理し、APIを通じて各レイヤーからデータバリデーションを行うことで、一貫したデータバリデーションを提供する。

本研究では、MQTTブローカーを対象とした未知の攻撃も検知可能な2段階の侵入検知モデルを提案します。まず、第1段階では教師なし学習による1クラス分類を適用し、既知の通信パターンから大きく逸脱するものを未知の攻撃として検知します。その後、第2段階で教師あり学習によるマルチクラス分類を適用し、第1段階で既知の通信と判定された通信の中から、正常の通信と具体的な既知の攻撃の種類を識別します。この仕組みにより、正常の通信と既知の攻撃を識別するだけでなく、学習データに含まれない未知の攻撃も検知できることを実験的に明らかにしました。

「ボクプレ」は、「ボクのプレゼンテーション家庭教師」を省略した名称で、プレゼン準備から本番までを総合的にサポートするサービスです。特に初心者向けに、心理的負担なく何度でもフィードバックを受けられる環境を提供し、自分のプレゼンスタイルを確立できるよう支援します。
本サービスでは、良いプレゼンの定義が多様であることを踏まえ、フォントサイズの揺らぎやストーリー構成の分析、発話内容がスライドの単純な読み上げになっていないかの判定を実装。さらに、理想とするスライドと自身の資料を比較分析する機能も搭載し、より実践的な学習を可能にしました。

スピードが重視される現代のテキストコミュニケーション。便利になった反面、通知や既読機能・義務的な返信に追われ、穏やかなコミュニケーションが取りにくくなっている方も多いはず。そこに「あえて、遅い（＝能動的に遅いコミュニケーションをとること）」の選択肢を与えるべく、手紙をベースにした非即時・非同期の新しいSNSアプリを提案します。主な機能は「手紙送信後、特定の歩数を歩くまで相手に届かない仕組み」「手紙に含まれる動作・体験を感じさせるUIUX」です。これにより、焦り・空気読みの概念がないテキストコミュニケーションの場を実現します。

SNS炎上検知エンジン「えんじょっぷ」は、投稿前にSNSの内容を解析し、炎上のリスクを事前に提示することで、炎上の発生を防ぐサービスです。「えんじょっぷ」は「炎上をStop」という意味を込めています。動画や画像、テキストの内容を解析し、法律や倫理的に抵触する可能性のある箇所を検出する技術を活用しています。主な対象は学生であり、感情に任せた一時的な投稿が炎上を招くケースが多い現状を踏まえ、学生が将来に悪影響を及ぼすデジタルタトゥーを残さないためのサポートを目的としています。投稿内容のリスクを確認することで、自分でも気付かない危険性を認識し、慎重な投稿判断を行うことができます。

パケットの暗号化転送は様々な手法で実現可能です。私は、通信プロトコルの選択に制限はなく、必要な要件を満たせば良いと考えています。
この観点から、従来の常識にとらわれない新しいアプローチとして、世界初のリレーショナルデータベース（RDB）を中核に据えたL2パケット転送ソフトウェア「StegRDB」を開発しました。
StegRDBの最大の特徴は、名前の通りRDBを介してパケットを転送する点です。
RDBへの接続が確立できる環境であれば動作し、RDBを経由して全パケットを永続化する為、リアルタイムでのステートフル解析や転送パケットの完全な記録と保証が可能となります。

マルウェア作成者はディフェンダー回避のため、マルウェアに様々な難読化を施す。その一つがステガノグラフィーであり、ステガノグラフィーを施したマルウェアをStegWareという。StegWareは従来のディフェンダーやAI利用ディフェンダーでも検知が難しい。そのようなStegWareを特定の範囲内で高精度で検知できるAI（学習モデル）、SWDAIを作成した。SWDAIは、マルウェアが難読化された状態（画像形式）でマルウェアを検知できる点が特徴。このSWDAIを利用すると、手順を簡略化し、マルウェアの実行前検知が可能。また、利用方法を工夫すると、定期スクリーニングや画像ダウンロード前検知等が可能。

学校に行きにくい人のためのソフトウェア「Masa Chat」は、学校に行きにくい人と学級を結ぶソフトウェアです。チャット、掲示板、ビデオ通話、アーカイブ配信を用いて、学校を休んだ生徒や別室登校している生徒も学級の様子がわかるようにしました。学級の様子がわかることで、学級に行くためのハードルを下げることが目的のサービスです。このソフトウェアは小学生、中学生を対象にしているので、一つのソフトウェアで完結するようにしました。

量子暗号通信プロトコル、BB84の高速かつ軽量なエミュレータです。ゲーム等に量子暗号通信システムを追加する際に内部実装として使用されることを想定しています。従来の現実世界の正確な表現であることに重きを置くエミュレータとは対照的に、なるべく軽く・早く・かつユーザにBB84を通して量子回路というアイデアを理解してもらうことを目指して実装しました。またパケットの形も定義したため、このモジュールを用いて作ったパケットを送受信することで実際にあなたのコンピュータで模擬的な量子暗号通信を行うことができます。

USBメモリを端末に挿してる間に、外部からファイル内容を変更したいと思ったことはありませんか？
例えばカラオケの背景映像をUSBメモリで持ち込める機能で、通常は選曲に応じた動画を再生するには1曲毎に抜き差しして動画を替える必要がありますが、このUSBメモリなら、選曲毎に外部から自動で動画を変更し再生できます！他にも書き込みに応じて自動でウイルススキャンをするUSBメモリなどの活用例もあります。
実態は組み込みLinuxで動作する汎用ライブラリで、yocto用レシピも提供中。端末側のキャッシュ等の制約を回避する専用ツールや、読み書きのSCSI命令をトリガーにしての内容を変更できる機能もあります。

近年、ロボットの適用範囲は産業分野から医療福祉や飲食業などのサービス分野へ拡大し、様々な環境や場面でのロボットの活用が期待されてる。ロボットの業界では ROSが標準的なミドルウェアシステムとして普及しており、 2017 年に ROS2 が公開されてノード間の認証や通信の暗号化に関する機能が追加された。しかしながら、セキュリティの強度はノードごとの機能や目的に対応して設定されていないため、ロボットの行動制御で重要な実時間性を損なう可能性がある。本研究では、ROS2のNode間通信を暗号化した際の通信時間の測定や、通信遅延がロボットの動作に与える影響の検証を行った。

「セキュリティを学べるゲーム」です。
セキュリティの基本的な知識や学習があれば防げるはずの事故が、今なお発生し続けています。そこで、セキュリティに興味がない人でも楽しく学べるように、ゲームを通じてセキュリティを学べる仕組みを作りました。

Palce は、NVC（非暴力コミュニケーション）に着目してテキストコミュニケーションを学ぶSNSライクな学習用アプリです。テキストコミュニケーションでは、意図が誤解されやすく、特にSNSでは軽率な発言がトラブルを招くこともあります。Palceの『SNS機能』では、強い表現を検知すると、“ニーズ”や“感情”を適切に伝えられるような言い換えを選択できます。さらに、『感情日記』や『クイズ』機能により、気持ちを表す言葉や相手に寄り添う語彙を楽しく学べます。ユーザに相手の感じ方や言葉選びを考える習慣を育み、心の余裕を持たせることで、心理的に安全なテキストコミュニケーション環境を提供します。

プライバシーと利便性の両立を目指す推薦システム「Presearph」を開発中です。ユーザーを追跡せずにパーソナライズを実現する仕組みにより、従来各種サービスが行っていたトラッキングによる情報の収集・保管の最小化を目指しています。現在はWordPressプラグインや書籍マッチングアプリなどの試作に取り組み、クライアントサイドにおける推薦の実行や導入フローの簡便化を検討中。今後は協調フィルタリングなどを導入し、高精度かつ誰でも使えるライブラリを目指します。

ゲーム開発者は、「どうギミックを作るか」「どうすれば面白くなるか」「〇〇の部分にこだわりたい」など、ゲーム作りのことしか考えていません。
チート対策を考える時間があるなら、少しでもゲームを面白くすることに時間を使いたいと考えています。
自作言語のNaughtiness（ナギ）では、クライアントサイドのチート対策を開発者の見えない部分で自動的に組み込むため、ゲーム開発者はゲーム作りに専念するだけで、チート対策済みのゲームを作成できます。

競技プログラミング向けの言語です。
競技プログラミングにおいては、「実行が高速」とか「標準ライブラリが充実している」などの理由によりC++の人気が高いですが、競技プログラミング独特のコーディングスタイルにより、お決まり（#include <bits/stdc++.h>, using namespace std 等）みたいになっている要素があったり、コンテストに用いる自作のライブラリやマクロが何千行にもわたって記述されコードが非常に長くなってしまうことがあります。C++だけでは綺麗に書くのが難しい処理を簡潔に書けるようになります。

機械学習フレームワークにおいて、実行するためのランタイムの大きさと移植性の低さがアプリケーションやエッジデバイスへの組み込みの際に課題であった。そこで、移植性の高いプログラミング言語を用いてライブラリ全体を記述することで、ランタイムフリーかつある程度高速な機械学習ライブラリを自作することを目指した。また、プリプロセッサマクロを用いてコンパイル時に代数的な処理の最適化を行う実装も行った。

AIセキュリティを自作VPL（ビジュアルプログラミング言語）と自作のアニメーションエンジン（Manimのようなもの）で直感的に効率よく学習できるWebアプリ。3DでAIのアルゴリズムやプログラムを直接操作したり、実際のAIチャットツールのようなシステムを触ってプログラミングしながら、AIセキュリティに触れることができる。AIの基礎数学から、敵対的攻撃やプロンプトインジェクションなどのような有名なAIセキュリティについて学ぶことができる、唯一無二のWebアプリとなった。

昨今のテキストコミュニケーションにおいてSNSは日々の記録や人間関係の蓄積として非常に有用ですが、サービス終了やアカウント凍結など、ユーザーが意図していない形でコンテンツにアクセスできなくなってしまうリスクがあります。
YojoHanはデータの永続性を意識し、個人での運用を踏まえた上で自分の欲しい機能を盛り込んだ分散型SNSです。既存のSNSの枠組みにとらわれず、より柔軟なテキストコミュニケーションを求めて、複数の分散型SNSプロトコルへの対応や短文SNS・長文Blogのゆるやかなつながりといった、YojoHanだけの機能を実装しました。

「GingaUI」はAIを活用しウェブサイトのデザインテーマを自動で生成する機能を備えたUIコンポーネントライブラリです。Web開発では全体で一貫したデザインを効率的に実装するためにUIコンポーネントライブラリが活用されますが、本ライブラリを利用すれば、ReactやNext.jsのプロジェクトにアクセシブルなコンポーネントを簡単に導入することができます。さらに、他のライブラリにはない最大の特徴である「テーマ生成機能」を記事投稿サイトや個人ブログ等で利用することで、各ページでそのコンテンツにふさわしい配色やフォントをLLMに決定させ、サイトを訪れる閲覧者へ新たな体験を届けることができます。

WebAssemblyとWeb Componentsを手軽に活用して安全なWebアプリを構築できるフレームワーク。
これらは光る機能を持ちながら欠点もあり開発環境が未整備で普及が進んでいない技術です。zframeではZig言語を活用して欠点を改善し、一貫の開発環境を提供するために開発しました。通常のHTML要素とWebAssembly、Web Componentsの差異を隠蔽する独自のコンポーネントシステムによりこれらの知識がなくともWeb開発に活用することができます。実験的な実装でなく誰かに使ってもらえるようなフレームワークを目指し、性能・実用性・導入コストの観点から開発・評価しました。

性別マネージャーは、不条理がある世界で、不条理に苦しみ続けるわけでも不条理に慣れて忘れてしまうわけでもなく、その不条理に屈することなく生きていくために作成した、性別の入力を支援するChrome拡張機能です。パスワードマネージャーがパスワードの入力欄を前にした時に、パスワードを生成したり、過去の入力の履歴を参照したりして自動で入力するように、性別マネージャーは性別の入力欄を自動で入力します。

日常で、もしこうだったらどうなるんだろう？とアイデアを思いついたのに、実現できず熱が冷めてしまうこと、ありませんか。『zousui』は、そんな“もしも”をLLMで体現する実験場です。複数のLLMが互いに干渉し合い、誰も予測しない文化や歴史を生成する仮想社会を構築します。誤情報やプロンプトハックの影響も取り入れ、“意外性”をリアルに楽しむのが狙いです。煮込むほど元の形が分からなくなる“雑炊”のように、アイデアとAI、そして人間が混ざり合う新しい体験を提案します。

突然、友人とSNSや電話で連絡が取れなくなり、不安を感じたことはありませんか？また、自分自身が精神的に辛くなり、返信ができなくなった経験はないでしょうか？私は Nyctilum（ニクティラム）の開発を通じて、こうした連絡の断絶について考えました。このシステムでは、スマホの使用状況と歩数を共有し合うことで、特に大きな問題なく過ごしていることをお互いに伝えることができます。メッセージを送る余裕がない時でも、活動の気配を届けることで、安心感を生み出します。これによって完全に音信不通になる前に、小さなサインを見逃さず、無理なく友人や仲間とのつながりを保ち続けることを目標としています。

大学や社会のような多様な人がかかわる大きな集団では、各人の極めて複雑なリソーススケジューリングのもとに、広くて浅いコミュニケーションが展開されています。そのため、誰かとある程度深い人間関係を作るには、長期的な取り組みが必要です。また、相手にとっての自分の好感度の高さを正確に把握することはとても難しく、関係を強制することになってしまう不安がつねにあると考えます。これらを助けるために、私は、「連絡先の交換」に着目し、友達とコラボレーションできる連絡先管理アプリのSACCIMを開発しました。これを利用することで、一つのSNSや連絡手段に依存せずに、柔らかい繋がりを持つことができると考えています。

Reclaim meは、「自分がわからない」「自分を見つめたい」人とともに伴走する自分を見つめるツールです。日々の出来事や感情をあらゆる形で“発散”し、それを再度”収束”して振り返ることで、自分の軸を見つけ直す仕組みを提供します。現在は、NLPやグラフ技術を活用してキーワードをサジェストし、アウトプットを可視化する機能を試作中です。ユーザーに思想を押し付けるのではなく、伴走者として自分らしさを守りながら成長を促すことを目指しています。

感情予報とは、未来に抱く感情を天気予報のように予報することで心の備えに役立てるツールです。情報セキュリティの3要素と同様に「心の」セキュリティを考えた時、心の可用性が損なわれると思考だけでなく行動のパフォーマンスまで低下し、例えば職場や学校に行きたくなくなるといった影響が考えられます。そこで、心の可用性を維持するために「感情予報」を用いることで心の備えができます。感情予報は、自分の今日の行動や感情及び明日の予定を入力する事で、明日抱く感情を明日視点の日記として出力します。この感情予報の結果を見ながら、あらかじめ明日その感情を抱く場面をイメージすることで心の備えができます。

DetectiveEyeは、機械学習と画像認識技術を組み合わせ、日常のライフログを効率的かつ安全に検索し、紛失物を検索するシステムである。本システムは、「THINKLET」と呼ばれるウェアラブルデバイスから取得する画像データを活用し、Image-to-Text&Object Detectionを行うことで、紛失物と思われる画像を検索する。具体的には、Zero-ShotベースのモデルであるOWL-ViTを用いた物体検知を中核とし、プライバシ保護やセキュリティを意識しながら、日常の映像や写真を自動的に取得・分析し、自然言語によるあいまいなクエリでも効率的に検索可能な仕組みを探究した。

量子コンピュータへの対策が急がれている中で、ブロックチェーンでもその対策が急がれている。そこで、wallet機能や送信機能などの基本的なコンポーネントと機能を備えた基本レイヤーの基盤を1から作成し、wallet機能やtransaction機能を耐量子化した。そこで生じたトランザクションサイズの肥大化という問題にも触れ、解決方法を示した。最終的に、取引サイズを22%削減することができた。このブロックチェーンの特徴として、量子安全なだけでなく、取引速度の高速化や、ノード参加への簡略化へ挑戦した。最終的には、安全性を確保しつつ、Solanaに負けないような取引速度を目指していきたい。

機械学習によるSQLインジェクション検出精度向上のために、有効な特徴量の探索を行いました。SQLインジェクションは規則的な構文を持つため、通常のHTTPクエリ文字列よりエントロピーが高い傾向があります。本研究ではエントロピーに加え、文字列長や閉じ括弧などの特徴量をエンジニアリングし、3種類のデータセットで評価を実施しました。その結果、特に閉じ括弧を特徴量とするモデルが90%の高精度を達成しました。本手法はシンプルかつ効率的で、WAFの補完や誤検知の低減に寄与します。