ツール集
OSINT ツール集
誰かに調べられる前に、自分自身の露出を確認するために使っている公開情報（OSINT）ツールです。
ここで動いているツールはありません。どれも外部サービスで、各カードからそのサービスのサイトが開きます。私はまず自分のドメインに使っています。そうして気づいたのが、自分のサブドメインのうち2つがどの公開レジストリにも載っていないのに、自分で公開した1つのページがそれらを明かしてしまっていたことです。
-
crt.sh (外部サイトが新しいタブで開きます)
証明書の透明性ログ。認証局が署名したサブドメインがわかります。目立たないと思っていたものまで含めて。
-
Shodan (外部サイトが新しいタブで開きます)
インターネットに公開されている機器の検索エンジン。ここで見つかる情報はすでに公開されているものです。先に知っておくほうが得策です。
-
Have I Been Pwned (外部サイトが新しいタブで開きます)
メールアドレスやドメインごとに、既知のデータ漏えいを確認できます。パスワードを変更する前の出発点です。
-
Wayback Machine (外部サイトが新しいタブで開きます)
ウェブのアーカイブ。修正前のページに何が書かれていたかは、いまも読めます。情報を消しても、なくなるとは限りません。
-
Hardenize (外部サイトが新しいタブで開きます)
ドメインの TLS、DNS、セキュリティヘッダーの設定を項目ごとに評価します。堅牢化を思い込みではなく確認するのに役立ちます。
-
Mozilla Observatory (外部サイトが新しいタブで開きます)
HTTP セキュリティヘッダーを監査し、減点のたびに理由を示します。自前の点検を補うのに最適です。
-
OsirisAI Live (外部サイトが新しいタブで開きます)
航空・海上交通、衛星、海底ケーブル、公開カメラ、世界の出来事をまとめたリアルタイム地図。報道元を探す前に、出来事の場所をつかむのに役立ちます。
自作のツールをここに置いていない理由
作る計画はありました。これらのサービスが手作業でしていること、つまり公開された情報源から、ある人物について見つかる情報を集める作業を自動化するという構想です。技術的には、越えられない壁はありませんでした。計画を止めたのはリスク分析で、それも予想外のところからでした。
最大のリスクは技術ではなく、法律でした。本人以外から個人データを集めると、GDPR 第14条が適用されます。どのデータを、何のために、どの法的根拠で、どれだけの期間扱うのかを本人に知らせなければなりません。公開情報源で見つけた見知らぬ人に対して、この義務は守るのが難しいどころか、不可能です。しかも、過大な労力を要する場合の例外は、まさにそれを目的とするツールには当てはまりません。
そこで、その形のプロジェクトは中止し、第三者の個人データを扱わない形で作り直しました。同じ技術を、自分自身の露出に向けたのです。対象は私自身なので第14条は適用されず、ツールとしても役に立ちます。こうして生まれたのが、オブザーバトリーとこのページです。
実現可能性ではなくコンプライアンスを理由に止めた唯一のプロジェクトで、いちばん話したくなるプロジェクトでもあります。作れるのに作らないと判断できることも、ひとつのスキルだと考えています。
この判断に至った分析は公開しています。リスク分析と GDPR 処理記録をご覧ください（フランス語）。 EBIOS RM · GDPR
大切なのは、これらのツールを知っていることではなく、まず自分に向けて使うことです。知らないうちに公開してしまったサービスは、すでにどれかに載っています。