[B! パスワード] asonasのブックマーク

パスワード保存とソルトの話

先日、twitterへのハッキング行為が発見された、という発表がなされました。一部のユーザのデータが漏洩したということです。この件について個人的に懸念を感じたため、それをこちらに書いておきました。原文では encrypted/salted password と呼ばれていたものが、日本語の公式ブログでは「暗号化されたパスワード」となり、これが朝日新聞では「パスワード」と表記されているという問題です。専門知識があれば、ここにどういう違いがあるかはわかるのですが、そうでなければわからないのも無理はありません。しかし、わからないからといって省略して良いわけでもありません。パスワードと encrypted/salted password は大きく異なります。ではどう違うのか？　この話について、ひと通りの解説をしてみるのも良いのではないかな、と思ったのでしてみます。「パスワード」は保存されない

asonas 2013/02/05

リンク

パスワードの判定にstrcmpを使うべきでない理由

strcmpを使ってパスワードを判定すると、タイミング攻撃 (timing attack) にやられる危険性があることの説明 (約20分)。まとめ: パスワードなどの文字列を strcmp関数 (およびそれに類する関数) を使って判定すると、その判定にかかる時間を測定することで、パスワードが推測できてしまう場合がある。これをタイミング攻撃 (timing attack) という。この例では、36種類の文字を使った8文字分のパスワードを推測するのに、通常のしらみつぶしな方法 (bruteforce attack) … 368 = 2821109907456回の試行が必要なのに対して、タイミング攻撃を使った方法 … 10000×8 = 80000回しかかからない。タイミング攻撃を成功させてしまうと、重要な情報が漏洩してしまう危険性がある。これを防ぐためには、なるべく実行時間

asonas 2012/07/14

リンク

はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知

はてなグループの終了日を2020年1月31日(金)に決定しました以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記はてなグループ日記のエクスポートデータは2020年2月28

asonas 2012/07/04

リンク

Shibuya.XSS アウトラインメモ

Shibuya.XSS テクニカルトーク#1 : ATND に参加してきたので、その時のメモ。 Shibuya.XSS Shibuya.XSSまとめ – Togetter DOM Based XSSの傾向と対策 – mala Shibuya.XSSで発表してきました – 金利0無利息キャッシング – キャッシングできます – subtech 機械的なスキャンで見つけづらいXSS location.hash経由で発火が多い、サーバ側にアクセスログが残りづらいビーコンでlocation.hashを記録する事も可能だけど、実行順序で潰される事がある location.hashでの問題 XHR2 どんな時に見つけにくいパラメーターをパースして利用してる場合ソースを読まないと見つけにくい。難読化されてるとしんどいレガシーコードどうするのがいいのだろうかバリデーション? バリデーション

asonas 2012/04/06

リンク

パスワードを暗号化して格納 - nyaago69のブログ

railsでユーザ認証を行うためのモデルを実装してみました。データベース上では、パスワードは平文ではなく、MD5で暗号化したかたちで格納されるよう実装しました。モデルの生成 railsのgenerateスクリプトでUserモデルを生成します。 % ruby script/generate model User テーブル定義と生成生成されたmigrationのソースにテーブルの定義を行います。入力される平文パスワードのカラムは用意せず、暗号化したパスワードのカラムとsaltのカラムを用意します。 class CreateUsers < ActiveRecord::Migration def self.up create_table :users do |t| t.column :name, :string, :limit => 32, :null => false t.column :c