【セキュリティ ニュース】複数メールサービスプロバイダに送信ドメイン認証回避の脆弱性（1ページ目 / 全2ページ）：Security NEXT
複数のメール送信サービスにおいて、送信ドメイン認証技術を回避し、「なりすましメール」の送信が可能となる脆弱性が研究者によって報告された。 複数ドメインやテナントをホストするメール送信サービスの多くで、送信ドメイン認証技術である「SPF（Sender Policy Framework）」や「DKIM（Domain Key Identified Mail）」による検証や認証の信頼性を低下させる脆弱性が報告されたもの。 メール送信にホスティングプロバイダを利用することで、認証されたユーザーや信頼されたネットワークからの送信者として別の送信元を偽って「なりすましメール」を送信できるとし、CERT/CCがセキュリティアドバイザリを公開している。 共有のホスティング環境を提供しているメールサービスの多くは、メール送信前にユーザー認証を行うものの、ドメインとの関係を照合しておらず、共有インフラ上にある別
デジタル庁が発表した「デジタル認証アプリ」でできること ざっくり整理 - Qiita
2024年6月21日にデジタル庁からデジタル認証アプリの発表がありました。 このデジタル認証アプリで何ができるのか、ざっくり整理してみました。 この記事で対象としている方 デジタル認証アプリの概要についてざっくり理解したい方 デジタル認証アプリについて今北産業してほしい方 この記事では技術的な話はなるべく避け、全体像を整理していきます。 技術的な話を理解したい方は、参考リンクより他の方が書かれた記事を参照してみてください。 「デジタル認証アプリ」はどんなものか？ 「デジタル認証アプリ」は、マイナンバーカードを使った認証や署名を、安全に・簡単にするための、デジタル庁が提供するアプリです。 （デジタル認証アプリサービスサイトより引用） デジタル認証アプリは、デジタル庁が提供するデジタル認証アプリサービスAPIと組み合わせて1つのサービス（デジタル認証アプリサービス）を構成しています。デジタル認
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
おじいちゃんのスマホ操作を見ながら感じた認証のあり方について - freee Developers Hub
こんにちは。認証認可基盤エンジニアのてららです。 最近好きな言葉はコンフォートゾーンです。好きな食べ物はニンジンです。 猫派です。 経緯 週末、パートナーが祖父母の家に帰るということで付き添いをしてきました。 その1つの目的としてパートナーの祖父（以下、おじいちゃん）がスマートフォンを利用していたのに急にスマホアプリから認証を求められて困っている、とのことでそれの解決をしていました。 「なんとか出来ないかねぇ」ということでパートナーがおじいちゃんのスマホを触りながら操作方法を教えつつ、認証情報を探しておじいちゃんに手解きしている様子を眺めていました。 その時、“ログイン”や“ユーザーID”、知識認証情報を紙に記してその紙の管理をしていたところからこのアプリは何をしたかったのか、おじいちゃんが苦労せずにアプリを触るためにはどうあるべきなのかをずっと考えていました。認証認可基盤のエンジニアとし
徳丸氏が探る“認証”の今――サイバー攻撃の認証突破テクニック、フィッシング、そして対抗策とは
徳丸氏が探る“認証”の今――サイバー攻撃の認証突破テクニック、フィッシング、そして対抗策とは：ITmedia Security Week 2023 冬 2023年11月28日、アイティメディアが主催するセミナー「ITmedia Security Week 2023 冬」の「多要素認証から始めるID管理・統制」ゾーンで、イー・ガーディアングループCISO（最高情報セキュリティ責任者）兼 EGセキュアソリューションズ 取締役 CTO（最高技術責任者）の徳丸浩氏が「認証の常識が変わる――認証強化の落とし穴と今必要な施策」と題して講演した。「認証」をキーワードとし、これまでパスワードに頼り切りだった古典的な手法による認証システムが攻撃される中、新たな技術でどこまで人と情報を守れるのか。認証の現状と今必要な対策を語るセッションだ。本稿では、講演内容を要約する。
ドコモが「パスキー」を導入してフィッシング被害報告が0件に パスワードレス認証の効果
パスワードを使わないパスワードレス認証であるパスキーを推進するFIDO Allianceは会見を開き、既に70億を超えるオンラインアカウントがパスキー利用可能な状態になって、利用が拡大していることをアピールした。国内でも利用が拡大しており、新たにメルカリがボードメンバーに加盟し、住信SBIネット銀行がアライアンスに加盟した。 FIDO Allianceの1年の取り組みが紹介された。写真左からメルカリ執行役員CISO市原尚久氏、LINEヤフーLY会員サービス統括本部ID本部本部長伊藤雄哉氏、FIDO Japan WG座長でNTTドコモのチーフ・セキュリティ・アーキテクト森山光一氏、FIDO Allianceエグゼクティブディレクター兼最高マーケティング責任者のアンドリュー・シキア氏、FIDO Alliance FIDO2技術作業部会共同座長でGoogle ID&セキュリティプロダクトマネージ
Okta環境を狙うサイバー攻撃をセキュリティ企業2社はどう回避したか？
Okta環境を狙うサイバー攻撃をセキュリティ企業2社はどう回避したか？：Cybersecurity Dive BeyondTrustとCloudflareは2023年10月に発生した「Okta」環境に対する侵害について、サイバー攻撃者がシステムや顧客に損害を与える前に食い止めたという。 サイバーセキュリティサービスを営むBeyondTrustとCloudflareのセキュリティリーダーは2023年10月に発生した「Okta」環境に対する侵害について（注1）、サイバー攻撃者がシステムや顧客に損害を与える前に食い止めたと確信している。しかし、経営陣がこれらの攻撃について抱く懸念には未解決の部分が多く残っている。 BeyondTrustとCloudflareが、Oktaのサポートスタッフに送ったログファイルには、サイバー攻撃者がOktaのサポートシステムの管理者アカウントから盗んだセッショントー
巧妙化するフィッシング攻撃、多段階認証も3割突破 - 日本経済新聞
メールを通じて認証情報を盗むなどするフィッシング攻撃の脅威が増している。メールセキュリティーの世界最大手、米プルーフポイントによると、フィッシング被害者の3分の1以上は複数の認証を使う多要素認証を実装済みだった。攻撃者を支える仕組みが闇市場に登場していることが背景にある。同社のティム・チョイ副社長はIDの管理を厳格化することが重要と提唱する。――プルーフポイントが8月に公表したリポートでは、過
パスキーとは--パスワードに代わる認証方法の基礎
おそらく、読者の皆さんも多くのパスワードを使っているはずだ。 パスワードマネージャーの助けを借りたとしても、パスワードはほとんどの人にとって、ますます大きな負担になっている。 p455w0rd123のようなばかげたパスワードを設定して、使い回すことのできた時代は、とっくに終わっている。現在では、すべてのオンラインアカウントを、複雑で一意のパスワードによって保護する必要がある。 さらに、多数のパスワードの1つが侵害された場合に備えて、常に警戒しておかなければならない。 もっと良い解決策が必要だ。実は、パスワードよりも優れた解決策が存在する。 それはパスキーだ。 パスキーとはどんなものなのか パスキーは、ウェブサイトとアプリの認証手段である。Appleが2022年6月に「iOS」と「macOS」でパスキー（同社の独自規格ではなく、普通名詞である）のサポートを追加したことで、広く知られるようにな
「パスワードとIDの認証は破綻した仕組みだ」パスワードレスの未来はまだ遠い？
サイバーセキュリティには根本的な問題がある。パスワードによる認証は60年前に始まり、今日もアクセスコントロールに使われる最も一般的な方法だ。だが、これらは信頼性に欠ける。 サイバーセキュリティ事業を営むNetenrichのCISO（最高情報セキュリティ責任者）であるクリス・モラレス氏は「アクセスコントロールは古い技術から派生したものだ」と話し、パスワードを嫌っている。 「私たちは資金を投入してクールなビジネスに取り組んでいるにもかかわらず、セキュリティ全体がパスワードのせいで崩壊する。私たちが抱える問題は、認証に関して中間の状況がないことだ。全てにアクセスできるか、何にもアクセスできないかの二択だ。そして、ただパスワードを知っていればいいだけだ。パスワードを知っていれば信用できると見なされ、全てを手に入れられる」（モラレス氏） パスワードとIDによる認証は“破綻した仕組み” 「Cybers
フィッシングによる AWS ログインの MFA 認証の回避と事例 - blog of morioka12
1. 始めに こんにちは、morioka12 です。 本稿では、AWS マネジメントコンソールに焦点を当てたフィッシングによる MFA (Multi-Factor Authentication) 認証の回避や事例、セキュリティ対策について紹介します。 1. 始めに 免責事項 想定読者 2. AWS マネジメントコンソール MFA (Multi-Factor Authentication) 3. フィッシング (Phishing) MITRE ATT&CK 4. フィッシングによる AWS ログインの仮想 MFA デバイス認証の回避 5. フィッシングによる AWS ログインの SSO 認証の回避 6. AWS ログインをターゲットにしたフィッシングの事例 事例1 (Google 検索) 事例2 (メール) 事例3 (メール) 7. その他 Web アプリケーションにおける MFA 認証の回
今さら聞けない暗号技術＆認証・認可 ―Web系エンジニア必須のセキュリティ基礎力をUP
2023年3月6日紙版発売 2023年3月6日電子版発売 大竹章裕，瀬戸口聡，庄司勝哉，光成滋生，谷口元紀，くつなりょうすけ，栃沢直樹，渥美淳一，宮川晃一，富士榮尚寛，川﨑貴彦 著 B5判／160ページ 定価2,178円（本体1,980円＋税10%） ISBN 978-4-297-13354-2 Gihyo Direct Amazon 楽天ブックス ヨドバシ.com 電子版 Gihyo Digital Publishing Amazon Kindle ブックライブ 楽天kobo honto 本書のサポートページサンプルファイルのダウンロードや正誤表など この本の概要 本書は，Webシステムのセキュリティを支える技術を幅広く解説します。具体的には，公開鍵暗号，共通鍵暗号，ディジタル証明書，電子署名，認証・認可などの基礎技術の用語や理論の説明から，それらを応用したSSL/TLS，SSH，OAu
MS、「OAuth」を悪用した不正アプリによる「同意フィッシング」に警鐘
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは米国時間1月31日、「マイクロソフトクラウドパートナープログラム」（MCCP、旧称MPN）の不正なアカウントを用いたフィッシングキャンペーンについてMicrosoft Security Response Center（MSRC）で警鐘を鳴らした。このフィッシング攻撃は、偽のアプリによって標的をだまし、電子メールアカウントにアクセスするための権限を付与させるものだという。 サイバーセキュリティ企業Proofpointによると、攻撃者らは不正に取得したMCCPアカウントを用いて、「Single Sign On」（SSO）や「Meeting」といった、一見まともな名前を有し、「Zoom」の古いアイコンや、Zoomに似たUR
〈独自〉クレカ不正対策全容判明 ネット通販の本人認証厳しく
増加するクレジットカードによる不正利用対策を検討してきた経済産業省の有識者会議が取りまとめる報告書案の全容が１９日、分かった。インターネット通販が普及する中、非対面での不正利用が急増しており、全てのネット通販事業者に、より厳しい国際水準の本人認証システムの導入を義務化するなど当面の対策を列挙した。また、ネット通販事業者が実施しているセキュリティー対策の表示や、改善命令が行える制度の創設など今後の検討項目も示した。 近く有識者会議で取りまとめた上で、２月にも開く産業構造審議会に報告。当面の対策は、関係するガイドラインに反映させるなど順次、対応を進める。 報告書案では、犯罪者の手口も巧妙化していることなどから、決済に関わる全ての当事者の対策強化が不可欠と指摘。セキュリティー対策が不十分な事業者が多いネット通販事業者には、ＶＩＳＡ（ビザ）など大手決済カードの国際ブランドが推奨する本人認証システム
三菱UFJ、「手のひら静脈認証」終了へ 導入から20年弱
三菱UFJ銀行は11月1日、ATMや店頭での取引時に使ってきた本人確認技術「手のひら静脈認証」を終了すると改めて告知した。「これまでのご利用状況を鑑み」終了することにしたという。04年の導入から20年弱での終了となる。 終了は23年5月13日午後9時。22年8月1日から店頭での新規申し込み受け付けを終了していた。 手のひら静脈認証は、利用者の静脈パターンをキャッシュカードに記録しておき、ATMなど利用時に、専用のセンサーに手のひらをかざしてもらって静脈パターンを認証することで本人確認する。手のひら静脈は一人一人パターンが異なる上、血流があるかどうか検知して認証するため、なりすましによる利用を防げる。 関連記事 東京三菱銀、手のひら静脈認証キャッシュカードを発行 手のひらをかざして本人認証するキャッシュカードを10月から発行する。偽造カード撲滅の決定打になるか。 手のひら認証で決済、手ぶらで
報道発表資料 : dアカウントのログインにおける新たな認証手段（Web認証・パスキー）の提供を開始 | お知らせ | NTTドコモ
お客様の設定により、お客様情報が「非表示」となっております。お客様情報を表示するにはdアカウントでログインしてください。 お客様情報表示についてへ お客様情報表示についてへ Tweet dアカウントのログインにおける新たな認証手段（Web認証・パスキー）の提供を開始 -あんしん・安全なパスワードレス認証を、さらに簡単・便利に- ＜2022年10月17日＞ 株式会社NTTドコモ（以下、ドコモ）は、dアカウントのログインにおいて、お客さまがあんしん・安全な生体認証などのパスワードレス認証を、さらに簡単・便利にご利用いただけるよう、FIDOアライアンス※1とW3C※2が推進する最新の国際標準技術Web認証※3（Web Authentication）とパスキー※4（Passkeys）による新たな認証手段を、2023年2月（予定）から提供開始いたします。 現在、お客さまがdアカウントのログインにおい
パスワードレスな認証を実現する認証ミドルウェアのhanko | フューチャー技術ブログ
名前からすると日本の古き良き（悪名高い）デバイス認証方式のあれのように見えますが、パスワードレスな認証(passkey)を実現するOSSのプロダクトです。Go製でライセンスはAGPL3です。なかなか面白そうなので動かしてみました。 https://www.hanko.io/ このhankoのメンバーが運営しているpasskeys.ioというウェブサイトもあり、パスワードレスなログインを広めていこう！という啓蒙サイトになっています。 https://www.passkeys.io/ この↑のサイトの存在を知らなかったのですが、@takuan_oshoさんからタレコミをいただきました。ありがとうございます。 動かし方READMEに書いてある通りにdocker composeで一通り必要なものを起動します。 $ docker compose -f deploy/docker-compose/qu
ドコモメール、送信ドメイン認証「DMARC」「DKIM」導入 フィッシング防止
NTTドコモは8月23日、「ドコモメール」に、送信ドメインによる認証技術「DMARC」「DKIM」を導入した。なりすましメールなどをより高精度に判別し、フィッシング詐欺による被害などを低減する目的。 DMARCは、メールヘッダに含まれる送信ドメインを認証する技術。DKIMはDMARCの認証手段だ。これらの技術により、企業の公式アカウントから送信された正規メールと判定できたメールには、公式アカウントマークを表示する。 ドコモメールは2021年から、送信ドメイン認証技術「SPF」を採用。SPFにより公式アカウントから送信されたメールと判定できた場合に、公式アカウントマークを表示してきた。 ドコモメールの「迷惑メールおまかせブロック」「詐欺／ウイルスメール拒否」「ドコモメール公式アカウント」機能（それぞれ無料）を通じてユーザーに提供する。各サービスは、新規契約時に自動で適用されている。 関連記事
ランサムウェア攻撃、多要素認証に遭遇すると諦めるケースも
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ランサムウェア攻撃者が、狙っていた標的が多要素認証（MFA）を使っていたため、それを回避しようとしても無駄だと判断して、攻撃を諦めているケースがあることが明らかになった。 MFAは効果的な障壁になるため、アカウントやコンピューターネットワークをサイバー攻撃から守るために特に有効な手段の1つだ。欧州刑事警察機構（ユーロポール）は、ランサムウェア攻撃グループの捜査中に、MFAが実際に有効に機能していることを確認したという。 ユーロポールの欧州サイバー犯罪センター（EC3）で運営責任者を務めているMarijn Schuubiers氏は、ランサムウェア対策イニシアチブ「No More Ransom」の6周年に際し、同機関が捜査した非公開の事件に
「多要素認証」を破る大規模フィッシング、1万社以上のMicrosoft 365利用企業を襲う
米Microsoft（マイクロソフト）は2022年7月中旬、大規模なフィッシング攻撃（フィッシング詐欺）が展開されているとして注意を呼びかけた。対象はMicrosoft 365（旧称Office 365）を利用する企業や組織。2021年9月以降、1万を超える企業や組織に対して攻撃が行われているという。 この攻撃の特徴は、大規模なことに加えて多要素認証（MFA：Multi-Factor Authentication）を破ること。攻撃者は多要素認証を破り、正規ユーザーのメールアカウントなどを乗っ取る。一体、どのようにして破るのだろうか。 複数の認証要素で安全性を高めたはずが 社内のシステムとは異なり、クラウドサービスにはインターネット経由で誰でもアクセスできる。このため正規のユーザーかどうかを確認するユーザー認証がとても重要になる。 そこでメールなどのクラウドサービスを利用する企業の一部は、多
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
