ユーザー アカウント、認証、パスワード管理に関する 13 のベスト プラクティス2021 年版 | Google Cloud 公式ブログ
※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベスト プラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベスト プラクティスが含まれています。 アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータ セキュリティやユーザー エクスペリエンスを提供できていないケースがよくあります。 幸い、Google Cloud には、ユーザー アカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、
ユーザー アカウント、承認、パスワード管理に効く 12 のベスト プラクティス | Google Cloud 公式ブログ
アカウント管理、承認、パスワード管理をうまくこなすにはコツが必要です。多くの開発者にとってアカウント管理は、十分な注意が払われていない “ダーク コーナー” になっています。製品マネジャーやお客様の中には、期待を裏切られるようなアカウント管理の経験がある方も少なくないでしょう。 幸い、Google Cloud Platform（GCP）には、ユーザー アカウント（本稿では、お客様であれ社内ユーザーであれ、システムに対して自分の身元を証明したうえでアクセスする人々を指します）の作成、セキュアな処理、そして適切な認証に役立つツールが用意されています。 この投稿記事では、Google Kubernetes Engine にホストされているウェブ サイト、Apigee の API、Firebase を使うアプリケーションなど、認証されたユーザーを扱うサービスを開発している人々のために、アカウント認
2018年のパスワードハッシュ - Qiita
数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもはや"悪"です。 まずログイン認証と称してmd5とかsha1とか書いてあるソースはゴミなので投げ捨てましょう。 hashやcryptは上記に比べればずっとマシですが、使い方によっては簡単に脆弱になりえます。 あと『パスワードを暗号化する』って表現してるところも見なくていいです。 PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。 というか、これ以外を使ってはいけません。 以下はフレームワークを使わずに実装する際の例示です。 フレームワークを使っている場合は当然その流儀に従っておきましょう。 ハッシュの実装 データベース ユーザ情報を保存するテーブルを作成します。 パスワードカラムの文字数は、システム上のパスワ
MySQLで幸せになれるヤツの続き-パスワードを隠蔽する方法 - なからなLife
パスワードをゴニョゴニョする前に atsuizo.hatenadiary.jp で パスワードを生テキストで書くなって人はゴニョゴニョしてください。 って書いた話の件ですが、なんでこんな話になるの、ってところをまず押さえましょう。 mysqlクライアントでのログイン方法あれこれ 普通は、以下のように指定してログインを行うと、パスワードについてプロンプトがきて、そこで入力します。入力内容は見えないやつです。 （サンプル古くてすみません。5.6.23です。） $ mysql -u ユーザ -p -h 接続先 Enter passowrd: パスワードを入力してEnter Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 480 Server version: 5.6.23-l
ハッシュと暗号は違うぞ！ / Do not confuse hashes and ciphers.
PHP勉強会#110での発表資料です。
パスワードリセット・リンクが漏れていませんか？ | POSTD
セルフサービス・パスワードリセットは、多くのWebアプリケーションで共通部分になっています。通例、パスワードリセット・リンクはユーザにEメールで送られ、そこには、何らかの方法でユーザを識別する一意のトークンが含まれています。ユーザがリンクをクリックすることによって、そのユーザがそのアカウントに関連するEメールをアクセスできることが証明され、次にユーザは二段階認証を行います。この時点で、ユーザは新しいパスワードを入力するよう求められます。 もしも、ある攻撃者がそのパスワードリセット・リンクにアクセスできたなら、その攻撃者は、そのユーザとして認証を受けて新しいパスワードを入力することができるので、そのユーザのアカウントに自由にアクセスできるようになります。多くの場合、攻撃者はユーザのEメールへのアクセスを手に入れることによってこれを行いますが、最近私は 多くのアプリケーションがうかつにもパスワ
横柄なパスワード – パスワード認証に関する改善策 | POSTD
パスワードにはうんざり。改善しましょう。 誰もが経験するあの瞬間。新しいサービスに登録し、パスワードを選んで入力する。でも、入れません。選んだパスワードは十分安全なはずなのに、使いたいサービスが独善的にそれを拒むのです。 記号、数字、大文字、小文字を少なくとも１つずつ使用しなければなりません。 小文字の長いパスワードの方がドルマークだらけの短いパスワードより安全だということを証明する、 XKCDの有名なコミック のことは忘れましょう。まず、あなたの主力パスワードが $$ICECREAM$$ だとします。アイスクリームは、恐ろしい人生の希望の灯火とも呼べるほどの大好物なので簡単に思い出せます。そして、このパスワードにはブートのための特殊文字が入っています。 残念なことに、 $$ICECREAM$$ には小文字と数字がないので、客観的に見れば安全ではありません。そこで、このサービスのためのパス
若者のウェブアプリ離れ - NZ MoyaSystem
どうも、海外就活生のはっしーです。 自称プログラマとして、たまにはIT系のネタを。 現在、現役の大学生たちと一緒に、プライベートでウェブアプリを開発運営しています。大学生向けに、不要な本を無料で譲渡しあえるプラットフォームとしてのサービスです。 テクスチェンジ 先日、この広報および運営を担当してくれているメンバーが、こんな報告をしてきました。 「はっしーさん、Facebook ログインと Twitter ログインが使えません！」 くだんのウェブサービスには、SNSのアカウントと連携してユーザ登録できるボタンを用意しています。なんでも、大学構内で新規ユーザ登録を呼びかけたところ、この機能がうまく使えなかったそうなのです。 「なにかバグがあるってこと？」 「いえ、Facebook や Twitter の アカウントをもっていても、パスワードを覚えてなくてログインできないんです」 ｴｯ!? (
最近気になっているGoogle Play Servicesの機能 - こやまカニ大好き
Google Play Services7.5、7.8で素敵な新機能がいっぱい追加されたけど全然追いつけていないのでメモだけ…。 Nearby Nearbyは近くにあるAndroid/iOS端末同士でやりとりすることができる機能です。 メールやSMS、QRコードなどを介することなく接続できるので、アカウントを知る必要も別にアプリを入れる必要もなくやりとりすることができます。 Trelloというタスク管理アプリではNearbyを使って簡単にボード(タスクリストのようなもの)が共有できるようになってました。 以下はTrelloでNearby接続を開始した時に表示される確認ダイアログです。 耳に聞こえないペア設定コードと表現されていますが、端末によってはわりと大きめの音でジジジジ…と鳴り不快でした…。 Smart Lock for Passwords on Android Smart Lock
IIJ SmartKey｜スライド認証・ワンタイムパスワード管理
IDとパスワードによる認証だけではなく、IIJ SmartKeyで認証することで、両方の認証が成功した場合にログインできます。 万が一、パスワードが流出してしまっても、あなたのスマートフォンを持っていない限り、第三者はログインすることができません。 利用するWebサイトごとにワンタイムパスワードトークンを持つ必要はありません。あなたのスマートフォンがすべてのWebサイトのたった1つの “鍵” になります。 第三者があなたのスマートフォンを操作しようとしても、Touch IDやパスコードによるアプリロックを設定しておけば、IIJ SmartKeyを起動できません。 意図しない誤操作や不正操作を防ぐ、安心機能です。 スマートフォンを機種変更するときに、サービスの登録をやりなおす作業は面倒です。 IIJ SmartKeyなら、設定をQRコードでエクスポートできるので、それを新機種からスキャンする
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
PHP5.5.0 から導入されたパスワードハッシュ関数を使ってみた - mikanmarusanのブログ
概要 パスワードのハッシュ パスワードハッシュ API は crypt() を手軽に使えるようにしたラッパーで、 パスワードの作成や管理を安全な方法で行えます。 crypt() を利用すればパスワードハッシュの生成は可能なんだけど、経験上煩雑なコードになりやすい気がして（自分がPHPを書くのが下手なだけかもしれないけど）ちょっと勉強してみた。 環境構築 vagrantでUbuntu(raring)を用意し、php5.5.7をLaunchpadのPersonal Package Archiveでインストール。 $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 13.04 Release: 13.04 Codename: raring $ php -v PHP 5.
パスワード攻撃に対抗するWebサイト側セキュリティ強化策
Webサイトのパスワード認証を狙った攻撃が大きな脅威になっています。 Tサイト（プレスリリース） goo（プレスリリース） フレッツ光メンバーズクラブ（プレスリリース） eBook Japan（プレスリリース） My JR-EAST（プレスリリース） これらの事例のうちいくつか（あるいは全て）は、別のサイトで漏洩したIDとパスワードの一覧表を用いた「パスワードリスト攻撃（後述）」であると考えられています。パスワードリスト攻撃を含めて、パスワードを狙った攻撃が成立してしまう原因は、利用者のパスワード管理に問題がある場合が多く、攻撃を受けたWebサイト側には、直接の責任はないケースが多いと考えられます。 しかしながら、 大半の利用者はパスワード管理に興味がない パスワード認証を採用している理由は、コスト上の理由、すなわちサイト側の経済的な事情 インターネットが「とても危険なもの」となるとネット
連載記事 「Linux管理者への道」
パスワードの管理と運用を考える 連載：Linux管理者への道（1） 管理者として避けて通れないのが、一般ユーザーも含めたパスワードの管理と運用である。管理者として何をすべきなのかを再検討してみよう
パスワードがわからなくてもMacにログインする方法（と対策） | ライフハッカー・ジャパン
あなたが悪意ある侵入者ではないとしても、パスワードなしでマシンにログインしたい場面があるかもしれません。パスワードなしでログインできるかって？ Macではとても簡単なことです。この記事では、Macでのログイン方法とその防ぎ方をご紹介します。 Macへのログイン方法は数多くありますが、基本はどれも同じです。ここでは代表的な2つの方法を採り上げます。 また、『John the Ripper』や『THC-Hydra』などのクラッキングツールもありますが、操作が複雑だったり高価だったりします。今回はこれらのツールは使わないでおきましょう。■Mac OS XのインストールCDを使う方法 Mac OS XのインストールCDがあれば、管理者アカウントのパスワードを簡単に変更できてしまいます。CDを挿入して、キーボードの「C」を長押ししながらMacを起動してください。しばらくするとMac OS Xのインス
パスワードがわからなくてもWindowsにログインする方法（と対策） | ライフハッカー・ジャパン
パスワードを知らなくてもWindowsマシンにログインできるのをご存じですか？ ログインする方法はいくつかあり、それぞれ強みと弱みがあります。ここでは3つの代表的な方法とその対策をご紹介します（ちなみに、Macでも方法はあります）。■ 「Linux Live CD」を使う OS自体にはアクセスせずに、ハードディスクドライブからファイルを移すだけなら極めて簡単です。「Linux Live CD」を使ってマシンを起動、お目当てのファイルをUSBフラッシュドライブへドラッグ＆ドロップするだけです。 方法：どのバージョンでもいいので「Linux Live CD」のISOファイルをダウンロードしてCDに焼きます（Ubuntuが人気ですね）。ログインしたいWindowsマシンにCDを挿入、そこから起動します。最初のメニューで「Try Ubuntu」を選択。デスクトップ環境が表示されたら、メニューバーの
無料でWindowsのパスワードをリセットするUSBメモリを作る方法 - GIGAZINE
「Trinity Rescue Kit」を使うと何らかの都合でパスワードの分からなくなったWindowsのパスワードをリセットできるブートCDの作成が可能なのですが、CDドライブがない場合には作成できません。そこでできるだけ簡単にWindows上からブータブルUSBメモリを作成し、Windowsのパスワードをリセットする手順をまとめてみました。 ◆手順1：「Trinity Rescue Kit」のISOイメージをダウンロード まずは下記公式サイトにアクセスします。 Trinity Rescue Kit: Download - Trinityhome https://trinityhome.org/trinity_rescue_kit_download/ アクセスしたら3つあるリンクの内どれでもいいのでクリックしてISOイメージをダウンロードします。約150MBほどあります。 この「Trin
本当は怖いパスワードの話 ハッシュとソルト、ストレッチングを正しく理解する － ＠IT
PSN侵入の件から始めよう 今年のセキュリティの話題の中でも特に注目されたものとして、4月20日に起こったPSN侵入事件があります。5月1日にソニーが記者会見をネット中継したことから、ゴールデンウィーク中にもかかわらず多くの方がネット中継を視聴し、感想をTwitterに流しました。もちろん、筆者もその1人です。 このときの様子は、「セキュリティクラスタまとめのまとめ」を連載している山本洋介山さんが、Togetterでまとめています。 Togetterのまとめを読むと、漏えいしたパスワードがどのように保護されていたかが非常に注目されていることが分かります。Togetterのタイムラインで、14:48ごろにいったん「パスワードは平文保存されていた」と発表されると、「そんな馬鹿な」という、呆れたり、驚いたりのつぶやきが非常に多数流れます。 しかし、15:03ごろに「パスワードは暗号化されてなかっ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webアプリケーションにおけるパスワードの管理について
http://www.egrappler.com/jquery-strong-password-plugin-power-pwchecker/