基本から理解するJWTとJWT認証の仕組み | 豆蔵デベロッパーサイト
これは、豆蔵デベロッパーサイトアドベントカレンダー2022第8日目の記事です。 JSON Web Token(JWT)の単語を目にすることがよくあると思いますが、それと一緒に認証と認可や、RSAの署名や暗号化、そしてOpenIDConnectやOAuth2.0までと難しそうな用語とセットで説明されることも多いため、JWTって難しいなぁと思われがちです。しかし、JWT自体はシンプルで分かりやすいものです。そこで今回は素のJWTの説明からJWS、そしてJWT(JWS)を使った認証を段階的に説明していきます。 おな、この記事はJWT全体の仕組みや使い方の理解を目的としているため、以下の説明は行いません。 RSAやHMACなど暗号化やアルゴリズムの細かい説明 JWTを暗号化するJWEとJSONの暗号鍵表現のJWKについて OpenIDConnectとOAuth2.0について 記事は上記のような内容
フィッシング耐性の高いMFA実装の解説 | ドクセル
CISAによるMFAのガイダンス CISAが多要素認証(MFA)に関する報告書2種類を公開 フィッシング耐性の高いMFA実装 IT管理者、ネットワーク管理者向けに多要素認証を使う上での脅威 を理解してもらうためのガイダンス。それぞれの実装方式にどのよ うな脅威があるかを解説 MFAアプリケーションでの番号照合の実装 フィッシング耐性の高いMFA実装を導入できない場合の次善策と なる番号照合型MFAの導入を促すためのガイダンス CISA Releases Guidance on Phishing-Resistant and Numbers Matching Multifactor Authentication | CISA https://www.cisa.gov/uscert/ncas/current-activity/2022/10/31/cisa-releases-guida
セキュア LDAP サービスについて - Google Workspace 管理者 ヘルプ
この機能に対応しているエディション: Frontline Standard、Business Plus、Enterprise Standard、Enterprise Plus、Education Fundamentals、Education Standard、Teaching and Learning Upgrade、Education Plus、Enterprise Essentials Plus。エディションの比較 セキュア LDAP は、LDAP ベースのアプリケーションとサービスを Cloud Identity または Google Workspace に簡単かつ安全に接続するための機能です。 セキュア LDAP を使用すると、Cloud Directory をクラウドベースの LDAP サーバーとして利用して認証、承認、ディレクトリ検索を行うことができます。セキュア LDAP サ
制御システムセキュリティの標準化動向～IEC 62443の最新状況と認証制度の紹介～
© Hitachi, Ltd. 2020. All right reserved. 制御システムセキュリティの標準化動向 ～IEC 62443の最新状況と認証制度の紹介～ 2020年 2月14日 (株)日立製作所 研究開発グループ 藤田 淳也 JPCERT Coordination Center : JPCERT Coordination Center DN : c=JP, st=Tokyo, l=Chuo-ku, o=Japan Computer Emergency Response Team Coordination Center, cn=JPCERT Coordination Center, email=office@jpcert.or.jp : 2021.06.09 10:47:29 +09'00' © Hitachi, Ltd. 2020. All right reserved.
世界の電子認証基準が変わる：NIST SP800-63-3を読み解く
2017年6月に、米国政府機関であるアメリカ国立標準技術研究所（NIST）が「Electronic Authentication Guideline（電子的認証に関するガイドライン、以下『本ガイドライン』と略）」の最新版である「NIST SP 800-63-3」を発表しました。 本ガイドラインが世界の電子認証にどのような影響を及ぼすのか、特にパスワードと関連が多い部分に特化して解説します。 NIST SP800-63-3の位置づけ NISTは、アメリカ政府（商務省）傘下にある国営の研究所です。本ガイドラインは「現在の技術的動向を踏まえたうえで、アメリカ政府はこのような電子認証を取り入れるべき」というアメリカ政府向けの報告・提言という位置づけになります。この報告書を受けて、アメリカ政府はあらゆる電子認証に関するシステムを徐々に更新することで、不正アクセスや攻撃などの脅威から政府のデータを守り
ドコモ口座と唯一連携してないメガバン・三菱UFJ、なぜ？「PayPayのチャージすら許さない銀行」
まず前提：ドコモ口座と連携している銀行を使っているだけで被害に遭う可能性があるので注意 ※ドコモやドコモ口座を利用しているかどうかは関係ないよ Yahoo!ニュース @YahooNewsTopics 【不正引き出し ドコモ会見へ】 yahoo.jp/8GF5fB 「ドコモ口座」を通じて提携する銀行口座から不正に預金が引き出された問題で、ドコモは10日夕に記者会見を開く方向で調整に入った。ドコモは連携する35の銀行全てで新規のひも付けを停止。 2020-09-10 12:52:16 のり@PPCN @nori0404 ドコモ口座の件、こちらでも注意喚起。 ドコモの回線持っていなくても被害に合う可能性が十分ありえます。 添付画像の銀行を利用している人は一度記帳もしくはオンラインで残高照会することをおすすめします。 見に覚えのない「ドコモコウザ」の記載があったアウトです。 pic.twitter
Web口振受付と即時口振に頼らなければならない新型決済スキームの問題 - novtanの日常
ドコモ口座の問題はシステム的な部分でいうと「本人確認と認証が甘い」に尽きるんですが、それ以前の問題として、このビジネススキームが何を根拠に成立していて、その根拠に基づいた対応が行われていたか、ということがありますね。なにぶん、それなりに新しいことをやろうとしている話なので必ずしも法整備は十分ではないし、抜け道というか、既存の制度だったらこうすれば使えるよね、というスキームをひねり出して実施していくわけです。なので、根本的な法律や制度の問題とは別に、2者間で成立させるための個別の契約が必ずあるわけです。それがどのくらい今回の事態を想定していたかは定かではないですけれども、少なくともここについて一般に開示されることはないでしょう。でも、そこがキモってのがこの話の難しいところ。 とはいえ、銀行との資金移動に持っていく部分については口振契約ということは明らかですので、そのへんをちょっと考察してみま
弊社社員による個人的なソーシャルメディアの不適切な利用とされている件について - F-Secure
Bruno RodriguezChief Revenue Officer Rodriguez joined F‑Secure in 2024 to lead the global sales organization. With over two decades of experience in the technology and cyber security industries, Rodriguez previously had top management roles in cyber security companies, leading both sales and product teams globally. His commercial experience covers both B2C and B2B2C business models, especially wit
オンラインサービスにおける身元確認手法の整理に関する検討報告書を取りまとめました （METI/経済産業省）
経済産業省は、信頼性の高いオンラインサービスの普及・拡大促進のため、オンラインでの身元確認のあり方について、令和元年1月から「オンラインサービスにおける身元確認に関する研究会」において議論を行いました。この度、本研究会で議論された結果を報告書として取りまとめました。 1．本研究会開催の背景 インターネットの普及拡大に合わせて、オンライン上でも実在の個人を前提としたサービスが増加し、ユーザーの本人確認の重要性が増しています。本人確認には、IDパスワードや生体認証などの「当人認証」だけでなく、サービスの性質に応じてユーザーの実在性を確認する「身元確認」も同時に行うことが重要です。 こうした状況を踏まえ、有識者をメンバーとする「オンラインサービスにおける身元確認に関する研究会」において議論を行い、以下の三点を中心に報告書として取りまとめましたので、公表します。 （注）NEDO事業「Connect
マスクをしていてもiPhoneのFace IDで顔認証させるには - iPhone Mania
新型コロナウイルスの蔓延で外出時のマスク着用が必須となるに伴い、マスクをしているとiPhoneのFace IDで顔認証できないとの声が、多くの人々から上がっています。しかしちょっとした「トリック」で、マスクをした状態でもFace IDが使えるようになることがわかりました。 Tencentの研究所が編み出したテクニック Tencent Xuanwu Lab（腾讯玄武实验室）のセキュリティ研究者らが、iPhone11を使って、マスクを着用した顔でもFace IDで顔認証させる方法を編み出し、報告しています。手順は簡単で、同研究所によれば成功率は非常に高いとのことです。 以下、その方法を記します。 ステップ1：新品のマスクを半分に折りたたみ、折りたたんだ状態で片耳にのみゴムをかけます。つまり顔の4分の1はマスクで隠され、残りは露出した状態です。片方の手でマスクの下の方を抑えるようにします。 ここ
セキュリティ自由研究：この夏、グミ指を作ってみないか
セキュリティ自由研究：この夏、グミ指を作ってみないか：Security&Trust ウォッチ（48） 指紋は指先にある紋様で、人ごと、指ごとに異なる。指先から出る皮脂などによって、この紋様が何かに付着することを指紋が付くという。その特徴を生かして、指紋は個人を特定することにもよく用いられる。事件の証拠として利用したり、入室管理や携帯電話のロックなどの認証でも用いられている。 以前、指紋認証システムを食用のグミなどで作った指紋（グミ指）で突破することができるという記事を何かで見掛けて、一度試してみたいと思っていた。身近な材料で、最先端の技術が突破されるというギャップに驚きを感じた。今回は実際にこの目でグミのチカラを確認してみようというレポートである。 セキュリティ自由研究レポート ■採取した指紋からグミ指を作ろう 指紋はそこら中に付いている。指紋は皮脂なので一度付着すると取れにくいようだ。と
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景
【変更履歴 2018年2月15日】当初の記事タイトルは「いまなぜHTTPS化なのか？ 技術者が知っておきたいSEOよりずっと大切なこと ― TLSの歴史と技術背景」でしたが、現行のものに変更しました。現在GoogleではWebサイトのHTTPS対応と検索結果の関係を強調しておらず、本記事の趣旨の一つにも本来は独立した問題であるSEOとHTTPS化を関連付けるという根強い誤解を解くことがありますが、当初のタイトルではかえってSEOとHTTPSを関連付けて読まれるおそれがあり、また同様の指摘もいただいたことから変更いたしました。 HTTPとHTTPSは、共にTCP通信上で動作します。したがって、いずれもTCPハンドシェイクで通信を開始します。 HTTP通信の場合には、このTCPハンドシェイク直後に、HTTPリクエストとレスポンスのやり取りが始まります。このHTTPのやり取りは平文通信であり、途
WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 - エンジニアHub｜Webエンジニアのキャリアを考える！
WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 FIDO（Fast IDentity Online）とは、公開鍵認証方式を応用し、オンライン経由で認証を行う仕組みです。パスワード認証の安全性は限界が指摘されるなか、Webサイトにおいても生体認証などパスワードレスな仕組みを導入する企業が増えており、このFIDOやWebAuthnに注目が集まっています。Capy株式会社で情報セキュリティに関する研究開発や分析などに携わる、松本悦宜さんの解説です。 こんにちは、松本悦宜（@ym405nm）です。 FIDO（ふぁいど）に関しては、昨年（2018年）から多くのメディアや技術ブログで取り上げられ、導入するWebサイトも増えています。 FIDO2プロジェクトにおいて話題になったWebAuthn（Web Authentication API）についても、主なW
スマホとスマホと接続したら何が起きるの？ USB Type-CのDual-Role-Power – 認証試験.com
スマホとスマホと接続したら何が起きるの？ USB Type-CのDual-Role-Power 2018年4月26日 MCPC, USB 50,572 Views 概要 USB Type-Cが市場に普及してきました。充電器やノートPC、タブレット、スマホにType-Cが搭載され更に、PDが実装され急速充電にも対応する製品が増えています。今回このType-CのDual-Role-Power(以下、DRPと記す。)について実験を含めて調査します。 DRPとは USB Type-Cコネクタを搭載する製品は電力の観点から以下の3つに分けられます。 Source only : 電力をあげるだけの製品。例: 充電器。 Sink only : 電力をもらうだけの製品。例: USBメモリ。 DRP : SourceとSinkの両方の能力を持つ製品。例: スマホ、タブレット、ノートPC。 スマホはDRPであ
OpenSSH で全ユーザの公開鍵を1ファイルで管理する - meta‘s blog(2017-08-29)
筆者について FreeBSDを通じてOSSにささかな貢献を。 日本xrdpユーザ会発起人 xrdp developer FreeBSD developer OSS活動をご支援いただける方を募集しています https://github.com/sponsors/metalefty ■ OpenSSH で全ユーザの公開鍵を1ファイルで管理する この記事は、OpenSSH 6.6以上を使うことを前提とします。 OpenSSH ではユーザの公開鍵は通常 $HOME/.ssh/authorized_keys に置きますが、 各ユーザのホームディレクトリに置くので管理者権限で鍵を追加する際にオーナー＆パーミッションを意識するのが面倒 置き場がホームディレクトリだと予めホームディレクトリを作成しなければならないのを避けたい (mkhomedir) ホームディレクトリを持たないまたは揮発性のホームディレク
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Linux Authentication Using G-Suite Secure LDAP
oauth - 違い - ベアラートークン認証