Slackに不正アクセス、2段階認証適用を呼び掛け
米Slack Technologiesは3月27日（現地時間）、チーム向けコラボレーションツール「Slack」のユーザー情報データベースに不正アクセスがあったと発表し、謝罪した。 不正アクセスは2月の4日間に行われ、すでに遮断済みという。データベースには、ユーザー名、メールアドレス、ハッシュ化されたパスワードと、オプションで入力された電話番号とSkype IDが含まれている。決済情報などは流出していないという。 影響を受けた可能性のあるユーザーおよびチームはごくわずかで、そうしたチームには既に個別に連絡しており、同社から連絡を受けていないユーザーやチームのデータは流出していないとしている。（この発表と同時に全ユーザーにメールでの告知も行っている。） 同社はまた、新たに2段階認証機能を追加したことを発表し、全チームに適用を強く呼び掛けた。適用方法についてはヘルプページを参照のこと。iOSおよ
Windows 10も対応へ、パスワードなし認証「FIDO」が日本上陸
大量のパスワードを覚えるのはもう限界。パスワードのない、安全かつ便利な社会を作ろう――。指紋認証などを利用した業界共通の本人確認方式普及を目指す標準化団体「FIDO Alliance（ファイドアライアンス）」が2月16日、「FIDO Alliance 日本上陸記者発表会」を開催した。 FIDOは「パスワードからの解放」を目指す標準化団体 同発表会は、FIDO Allianceの日本担当マーケティングチームを務めるディー・ディー・エス（DDS）が主催したもの。DDSは、指紋認証や生体認証のプラットフォームソフトウェアなどを販売するベンチャー企業だ。発表会ではまず、DDS代表取締役社長の三吉野健滋氏が、FIDO Allianceについての説明を行った。 最近では“パスワード疲れ”という言葉もよく聞かれる。ECサイトやSNSなど、個人がオンラインサービスで利用するID／パスワードは増え続けており
第3回 OAuth Consumerの実装（応用 : smart.fm APIおよびGoogle Data APIsの利用） | gihyo.jp
ゼロから学ぶOAuth 第3回OAuth Consumerの実装（応用 : smart.fm APIおよびGoogle Data APIsの利用） 今回は、OAuth Consumerの実装の応用として、smart.fm APIとGoogle Data APIsの利用について解説します。 ruby-oauth の使い方 今後RubyでOAuth ConsumerおよびOAuth Service Providerを実装する場合は、ruby-oauthを利用することになるでしょう。第2回でruby-oauthのインストールは終わっているはずですが、まだインストールしていない人は以下を実行してください。 gem install oauth Ruby OAuth GEMのサイトにも利用方法が紹介されていますが、実際には各Service Providerが要求するパラメータがあったりするため、この通
devise をあまりオススメしない理由 - HsbtDiary(2015-01-20)
■ devise をあまりオススメしない理由 いまいち使うのに気が乗らない理由はこんな感じ コントローラレイヤ以降に作用する gem は inspect が物凄くやりにくい、params ないし、必要なコンテキストを全て揃えた上で、コントローラを new して action を呼んで、みたいなこと、考えただけでもだるい テストを書いていたとしても、環境要因、特にセッションとクッキーに影響して挙動が変わる箇所が多すぎるので、全ての環境で正しく再現することが難しい フルスタックすぎることから Rails よりも devise にロックインされることの方が多くなって負債化する そもそも devise で便利になることの多くは、自分で作ってもわけない物が多い 使うからには、devise のコードも全部読むし、PR も投げるしという前提かつ、上のようなことを全て乗り越えるつもりなら僕は止めません!
第20回 Javaアプリケーション向けの認証フレームワーク「Apache Shiro」 | gihyo.jp
使いやすい認証機構を実現する「Apache Shiro」 今回取り上げる「Apache Shiro」は、Javaアプリケーション向けに開発された認証と承認のためのオープンソースのフレームワークです。Shiroを使うことで、ログインなどの認証の仕組みや、アクセス管理、セッション管理などといった機構を、容易にアプリケーションに付け加えることができるようになります。 JDKにはJAAS（Java Authentication and Authorization Service）という認証・承認サービスが用意されていますが、JAASで提供されるAPIはあまり使い勝手が良くなく、わかりにくいという意見が大多数を占めていました。ShiroはJAASよりも理解しやすく、簡単に利用できる認証・承認の仕組みを提供する目的で開発されました。Shiroを利用するメリットとしては次のようなものが挙げられています。
Touch IDで使いやすくなるアプリ6選
指紋認証楽なんですよねぇ。 アップルのTouch IDのおかげで、面倒なパスワード入力をしなくとも、指紋で楽々iPhoneをアンロックすることができるようになりました。もちろんアプリがそれに対応してくるのも納得できるでしょう、ここではそんなTouch IDを利用しているアプリを6つ紹介します。 1. Dropbox 最近のアップデートにより、Dropboxも指紋認証で開けるようになりました。先週、パスワードの流出事件が起こってしまったため（このアップデートは、事件が起こった後に発表）、今がパスワードを変えるべきタイミングではないでしょうか？ ついでに指紋認証にしてみましょう。 2. Amazon Amazonで買い物をするときには、パスワードを入力しなければなりませんでした。しかし、Touch IDがあれば、Amazonのアプリ上で指を押し付けるだけで買い物ができてしまうんです。ついつい買
そろそろLDAPにしてみないか？：第7回 ApacheのBasic認証をLDAPで｜gihyo.jp … 技術評論社
Basic認証の危険性とLDAP化の概要 多くの読者の皆さんがご存じのように、パスワード認証を要求するWebページをApache上で作成するためには、通常は.htaccessと.htpasswdなどを用いたBasic認証を使用します。 たとえば、http://www.example.com/secret/以下にてパスワード認証を実現するには次のような設定を行うのが一般的でしょう。 リスト1 .htaccessやhttpd.confの設定（部分） AuthUserFile /home/passwd/.htpasswd AuthGroupFile /dev/null AuthName "Secret Area" AuthType Basic require valid-user リスト2 /home/passwd/.htpasswdの例 tanaka:vDVcobip.AMqE suzuki:
OpenIDMによるプロビジョニング、ライフサイクル管理
OpenIDMによるプロビジョニング、ライフサイクル管理：OSSによるアイデンティティ管理（5）（1/3 ページ） OpenIDMは、アイデンティティ情報のプロビジョニングとライフサイクル管理を実現するOSSです。オープンスタンダードな技術を採用し、高い柔軟性と拡張性を備えています。 連載目次 プロビジョニング、ライフサイクル管理とは 連載最終回の第5回は、最新版が2014年8月11日にリリースされた「OpenIDM 3.0」について紹介します。OpenIDMは、ForgeRockが提供するアイデンティティスタック（アイデンティ管理製品群）の中で、アイデンティティ情報のプロビジョニングやライフサイクル管理を担当します。 OpenIDMについて説明する前に、プロビジョニングとライフサイクル管理について簡単に解説します。 プロビジョニング（アイデンティティプロビジョニング） アイデンティティプ
OpenID
Our mission is to lead the global community in creating identity standards that are secure, interoperable and privacy-preserving. Founded in 2007, the OpenID Foundation (OIDF) is a global open standards body committed to helping people assert their identity wherever they choose. We are global vibrant community where identity peers and thought leaders convene to craft the identity ecosystems of tom
Basic認証とOAuth - Qiita
Basic認証とOAuthとその辺の情報について整理しておく。OAuthや認証・認可について説明しようとすると、1文字記述するたびに誤りが含まれてしまう可能性があるので、本当に緊張感を持って記述しなければならない。それでもなお、この文章にはたくさんの誤りが含まれている。 UsernameとPasswordを受け取って認証する形式の認証方法。UsernameにはEmailを使うこともある (要は全ユーザの中で一意なことが保証されていてかつ他の人がその値を知っていても特に問題がないという情報であればOK)。Passwordは本人しか知り得ない情報。 OAuthという仕様に則って提供される認可方法。古いOAuth 1.0と、OAuth 1.0の複雑なところなどを改善したOAuth 2.0がある。一般的にはOAuth 2.0を使うことが多いが、例えば幾つかのサービスの提供している認可方法はOAut
OAuth Community Site
An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications. Learn more about OAuth 2.0 » For app developers... If you're building... web applications desktop applications mobile applications JavaScript or browser-based apps OAuth is a way to get access to protected data from an application. It's safer and more secure than asking users t
ユーザー認証の手抜き - 方向
Webアプリ作っているといろんな局面でユーザー認証が必要になる局面がある。まじめにつくると果てしなく面倒だし、適当につくるとセキュリティ上問題になるので、要件に応じて適切に手抜きする必要がある。 適当なやつからしっかりしたやつまでなんとなくソートしていくとこんなかんじだと思う。 認証なし IPで弾く Basic認証（ソースコード、設定ファイルにパスワードベタ書き） Basic認証（DBにUserテーブルをつくってパスワードを保存。追加はcliとかで手動） login/logout画面作成。cookieなりmemcacheなりにセッションを保存 webからユーザーを追加できるように password変更機能 OAuth OpenID mailを送ってリンクをクリックさせてメールアドレスの所有確認 メールアドレス変更機能 メールを使ってのパスワードリセット機能 OAuthで作ったアプリへの後か
OpenIDが熱狂的に受け入れられる理由 ― ＠IT
2007/04/23 3月15日、米国の全国紙USA Todayの「Tech」セクションの紙面をOpenIDに関する記事が飾った。その記事では、さまざまなインターネットサービスが利用されるようになる中、増加の一方をたどる「IDとパスワード」を記憶する義務からユーザーを解放する新しい技術としてOpenIDが紹介されている。 OpenIDは、URLをIDとして利用する認証プロトコルである。ユーザーはOpenID認証サーバが提供するIDをコンシューマ（OpenIDによる認証に対応したサービスプロバイダのこと）でのログインに利用することができる。コンシューマはOpenIDをもとに認証サーバを発見し、自身で認証する代わりにサーバへ認証を依頼する。ユーザー認証はすべて認証サーバ上で行われるので、ユーザーはOpenIDを1つだけ覚えておけば複数のサービス（コンシューマ）へログインできるようになる。つまり
APIアクセス権を委譲するプロトコル、OAuthを知る ― ＠IT
クロスドメインでのデジタルアイデンティティを守る APIアクセス権を委譲するプロトコル、 OAuthを知る 作島 立樹 NRIパシフィック 2008/1/21 マッシュアップと呼ばれる仕組みで、既存のWebサービスが次々とつながり、新たなサービスが登場している。しかし、メールアドレスなど重要な個人情報が意図せずに「つながれてしまう」可能性もある。そこで登場したのがアクセス権の「委譲」を目的としたプロトコル、OAuthである。本記事ではOAuthの仕組みとともに、なぜそれが登場したのかという背景にも触れる（編集部） マッシュアップの犠牲になるユーザーのアイデンティティ GETなどのHTTPメソッドをもちいてURLへリクエストする、いわゆる「RESTful」【注1】なWeb APIを使ったアプリケーション同士の交流は、いままさに隆盛を極めている。「マッシュアップ」と呼ばれているこのサービス形態
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Share a secret - One Time
docomo IDについて | NTTドコモ