bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点
宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用できるpassword_hash関数が非常に便利ですし、他の言語やアプリケーションフレームワークでも、それぞれ用意されているパスワード保護の機能を使うことはパスワード保護の第一選択肢となります。 なかでもbcryptは、PHPのpassword_hash関数のデフォルトアルゴリズムである他、他の言語でも安全なハッシュ保存機能として広く利用されていますが、パスワードが最大72文字で切り詰められるという実装上の特性があり、その点が気になる人もいるようです（この制限はDoS脆弱性回避が
あのパスワード規則、実は失敗作だった - WSJ
パスワードに記号や大文字や数字を盛り込み、定期的に変更するというルールは間違いだったと当事者が告白。
米Amazon、2段階認証を導入
米Amazonの通販サイトで2段階認証を有効にすると、ログオンの際にパスワードに加えてセキュリティコードの入力を求められる。 米Amazon.comでパスワードの盗難などによる不正なログインを防ぐため、2段階認証が利用できるようになった。現時点で日本のAmazonにはまだ導入されていない模様。 米Amazonの通販サイトでは、Help & Customer Serviceのアカウント管理画面「Managing Your Account」から「Account Settings」を選択すると、「Two-Step Verification」の項目が表示される。 この設定を有効にすると、ログオンの際にパスワードに加えてセキュリティコードの入力を求められる。カスタマーサービスを利用する場合もこのセキュリティコードが必要になる。 セキュリティコードはSMSや音声通話で受信する方法や、認証アプリを使って
1Passwordの保管庫を安全な「OPVault」に変更する方法
PCはもちろんiPhoneやAndroidなどスマートフォンでも手軽に強固なパスワードを作りだし、使い回しなど煩雑になりがちなログイン情報の管理もラクになる大人気のパスワード管理アプリ「1Password」ですが、旧形式のAgile Keychainを利用していると問題があるとのことでセキュリティ界隈が賑わっているようです。 というわけで、1Passwordの保管庫を旧形式のAgile Keychainから新形式のOPVaultに変更する方法を書いておきます。 旧形式のAgile Keychainでは平文で一部の情報を閲覧できてしまうとの指摘 「Agile Keychain」と「OPVault」とは？ 1Passwordではパスワード以外にもキャッシュカードや自宅の住所、Wi-FiのSSIDやパスワードなど様々な個人情報を「保管庫」に保存しています。 この保管庫には2種類の形式があって、「
不倫サイトの流出パスワードを解読、強力ハッシュの突破に成功か
既婚者の不倫を奨励していた出会い系サイト「Ashley Madison」から会員情報が盗まれ、インターネットに暴露された事件で、流出したパスワードの保護に使われていた強力なハッシュを破ることに成功したとして、「CynoSure Prime」というクラッキング集団がブログでその方法を公開した。 この事件ではAshley Madisonに登録していた会員の氏名や住所、パスワードなどの情報が大量に流出した。しかし、パスワードは「bcrypt」というアルゴリズムを使ってハッシュ化されており、全てを解読しようと思えば何百年もかかるとも言われていた。 これに対してCynoSure Primeは9月10日のブログで、Ashley Madisonのbcryptハッシュを効率的に破ることに成功したと報告。同サイトから流出したコードを調べた結果、「2つの興味深い機能」が見つかり、この機能を利用すれば、bcry
総務省｜報道資料｜ウェブサービスに関するID・パスワードの管理・運用実態調査結果
総務省は、この度ウェブサービスを提供する企業におけるID・パスワードの管理・運用実態について調査した結果を取りまとめましたので公表します。 現在、インターネットショッピングやインターネットバンキング、ソーシャルネットワーキングサービス等、インターネットを通じて様々なサービスが提供されています。 総務省では、ウェブサービスにおいて利用者を確認する主な手段としてID・パスワードが利用されていることを踏まえ、ウェブサービスを提供する企業におけるID・パスワードの管理・運用実態について調査を行いました。 （1）約9割のサービスで3種類以上の文字種をパスワードとして利用できる パスワードとして利用可能な文字種（大文字・小文字・数字・記号）について、約9割が3種類以上利用可能であり、6割近くが4種類利用可能である等、大半のサービスで複数の文字種の組み合わせによるパスワードの設定が可能となっている。 （
Windows 10時代の新認証 「Windows Hello／Microsoft Passport」と「FIDO」を理解する
Microsoftの最新OS「Windows 10」が、個人向けに2015年7月29日から、企業向けのボリュームライセンス提供が8月1日から開始される。Windows 10に関してはすでに多くの情報が出回っており、注目している人は多いかもしれない。 本稿では中でも企業、業務で使うWindows 10を理解するうえで重要となる最新セキュリティ機能「Windows Hello」「Microsoft Passport」、そしてこれらと密接な関係にある「FIDO」の概要を説明していく。 Windows 10では「パスワード管理」がもう時代遅れになる？ 今日、コンピュータやその上で提供されるさまざまなWebサービスを日々利用する私たちにとって「ID＋パスワード」というのはとても身近な存在だ。Windows 8／8.1以降はPCを利用するのに「Microsoftアカウント」への「サインイン」動作が必須
Windowsのログインパスワードをクラックする羽目になった話
先日クライアントから問い合わせがあり、私の収めたWIn7のパソコンでログインが出来なくて困っていると問い合わせがあった。 話をよく聞いて見ると、パスワードの有効期間をデフォルトの42日のままで出荷していたのだが、 クライアントが納品時に初回ログインして、ウイルスソフトのインストールなど必要設定をしたのち２ヶ月あまり放置しており、 久しぶりに起動したらログインできなくなった、という事情らしい。 パスワードの有効期間が切れた場合、通常ならログイン時に有効期間が切れている旨の通知がされ、新しいパスワードを設定するとログインできるので、クライアントの言う「ログインできない」状態というのが不可解であった。 クライアント曰く「４２日を過ぎたから古いパスワードが使用できなくなってしまったんじゃないか」と私側の責任に感じているらしく、ちょっとまずい空気感だなーと重いパスワードを解析させてもらうことになった
2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理推進機構
「今月の呼びかけ」一覧を見る 第15-10-335号 掲載日：2015年 7月1日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター (PDFはこちら) 「秘密の質問」とは、「質問」とそれに対応する本人しか知らない「答え」を設定し、パスワードリマインダやインターネットバンキングでの本人を確認するための機能です。例えば、パスワードリマインダで利用する場合、あらかじめ「質問」と「答え」を設定しておくことで、パスワードを忘れた際には「秘密の質問」によって本人確認をします。しかし、「秘密の質問」のみで本人確認とすることにはセキュリティ上の懸念があります。 2015年5月、Google社が「秘密の質問」に関する研究結果を発表したことが報じられました※1。それによると、「秘密の質問は、それ単体でアカウント復旧の仕組みとして使用するには、安全性も信頼性も十分ではない」とされています。 201
最強のセキュリティでAWSマネジメントコンソールにアクセスする方法 | iret.media
シンジです。AWSへのログイン時、普通はアカウント名とパスワードを使いますよね？今時パスワードは危ないと思いませんか？そこで多要素認証ですよね。しかし、cloudpackは多要素認証すら使いません。何故なら、パスワードを入力するという行程がそもそも無いからです。 まず設備から揃えた まず社内インフラについては全てAWSに実装していますが、ここではDirect Connectを用いて専用線による接続を行っています。かつ、複数拠点を閉域網で閉ざされたネットワークを構成しています。 ではインターネットはどこから出入りするかというと、一度全ての通信は品川データセンターに集約されて、そこから単一のグローバルIPで通信するようになっています。 これによって、どの拠点からでもお客様環境にアクセスするIPアドレスは1つに完全固定出来るわけです。セキュリティグループの設計が楽になりました。将来的にはグローバ
OS XとiOSに情報漏えいの脆弱性、米中研究者が緊急警告
研究者グループによれば、パスワード管理ツールの「Keychain」が破られたり、サンドボックスをかわされたりして、パスワードや重要情報が流出する恐れがあるという。 米AppleのOS XとiOSのアプリ間認証問題に起因する未解決の深刻な脆弱性について指摘した研究論文が公開された。パスワード管理ツールの「Keychain」が破られたり、サンドボックスをかわされたりして、パスワードや重要情報が流出する恐れがあるとしている。 論文は米インディアナ大学やジョージア工科大学、北京大学の研究者が発表した。それによると、OS XとiOSの体系的なセキュリティ分析を行った結果、深刻なセキュリティ問題が発覚。Apple Storesに承認され、サンドボックス化されている悪質アプリを使って、他のアプリの重要データに不正アクセスできてしまうことが分かった。 この問題は、OS Xで使われているパスワード管理ツール
パスワード一元管理のLastPassにハッキング、情報流出も
一方、LastPassの保管庫に保存された他のサイトのパスワードを変更する必要はないとしている。ただ、安易なパスワードを使っている場合や、マスターパスワードと同じパスワードを他のWebサイトでも使い回している場合は直ちに変更するよう呼び掛けている。 関連記事 Googleの二段階認証を3400円のUSBキーで試す Amazon.co.jpでFIDO 1.0仕様のUSBキーを購入しました。ようやく二段階認証が一般的になるのではないかと期待しています。 米連邦政府、400万人分の個人情報流出の可能性を発表 中国ハッカーの犯行との報道も 米連邦人事管理局が、同局のシステムに何者かが不正侵入し、約400万人の職員および元職員の個人情報が流出した可能性があると発表した。複数の米メディアが、当局がこれを中国ハッカーの犯行とみていると報じた。 年金情報125万件流出 年金機構に不正アクセス ウイルス入り
パスワード使い回しに警告、Googleがブラウザ拡張に新機能
Googleアカウントでのパスワード使い回すと、「Gmailのパスワードをリセットしてください」という警告画面が表示される。 米Googleは4月29日、ユーザーによるパスワードの使い回しを防止する狙いで、Chrome向けの拡張機能「Password Alert」をオープンソースとして無料提供すると発表した。 この拡張機能をChromeブラウザにすると、ユーザーがGoogleアカウントで使っているのと同じパスワードをGoogle以外のWebサイトで入力した時に警告が表示されるようになる。 警告画面は「Gmailのパスワードをリセットしてください」と促す内容で、「あなたのGmailパスワードがGmail以外のログインページに使われました。Gmailアカウントを安全に保つため、直ちにパスワードをリセットして下さい。Gmailパスワードを他のサービスで使い回してはいけません」と助言。「パスワード
SHA1でハッシュ化したパスワードは危険になった
(Last Updated On: 2018年4月3日)パスワードを平文で保存するのは論外で、MD5やSHA1でハッシュ化するのは当たり前です。しかし、SHA1を2000倍早くクラックする方法などが発見され「SHA1は脆弱だ」（ちなみにMD5はもっと危険）とされてからしばらく経ちます。アメリカ政府や大手企業はSHA1は使わない、としています。 Slashdot.orgにまた載っているので更に高速化できた、ということか? 参考： RainbowテーブルによるMD5ハッシュのクラック（英語） RainbowテーブルによるSHA1ハッシュのクラック（英語） 前のエントリ PostgreSQLでSHA1 でPostgreSQLでSHA1を使う方法の一つを紹介していますが可能であればSHA512など、より強いハッシュ関数を利用したり、Saltを利用する、等の方法を採用した方が良いと思います。 備考：
サーバーにＬＩＮＥ乗っ取りＩＤか NHKニュース
国内のインターネットに不正に接続させたとして、東京の中継サーバーの業者が摘発された事件で、サーバーから見つかった大量の個人情報のうちおよそ１万件は、無料通話アプリ、ＬＩＮＥの利用者のＩＤやパスワードだったことが分かりました。警視庁は、こうしたＩＤなどがＬＩＮＥのＩＤが乗っ取られた事件で悪用された疑いがあるとみて調べています。 このうちおよそ１万件は、スマートフォンの無料通話アプリＬＩＮＥの利用者のＩＤなどだったことが関係者への取材で分かりました。 ＬＩＮＥを巡っては、何者かによって利用者のＩＤが乗っ取られ、やり取りをした友人などが電子マネーをだまし取られる事件が去年、相次ぎましたが、今回見つかったＩＤなどが一連の事件で悪用された疑いがあるということです。 警視庁は、サーバーの解析を進めるとともに、ＬＩＮＥの運営会社に情報提供を行って被害の防止を要請しました。
ワンタイムパスワードでも被害 不正送金の新ウイルス：朝日新聞デジタル
インターネットバンキングで不正送金させる新型ウイルスに、国内で約４万４千台のパソコンが感染していた。警視庁が１０日、発表した。大手銀行が導入した、取引ごとにパスワードが変わる仕組みを利用していても被害が出ていた。警視庁は指令を出す海外のサーバーを突き止め、ウイルスの無力化を始めた。 サイバー犯罪対策課によると、ウイルス感染したパソコンに指令を出すサーバーの一つを特定し、接続情報を収集。今年２～３月の１カ月間で約８万２千台の感染を確認した。うち約３万８千台は国外で、感染はその後も１週間に数千台規模で広がっているという。 ウイルスは、改ざんしたウェブサイトの閲覧などでパソコンに侵入。感染後は利用者に気づかれずに外部から遠隔操作が可能となる。利用者がネットバンキングにログインしたのを検知すると、偽の手続き画面を表示させてパスワードの入力を誘導。「読み込んでいます」などと表示する間に自動的に不正送
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IP電話の乗っ取り被害、特定ベンダーの交換機がネットに公開状態同然だった事例が判明 
メールサービスのパスワード再発行の仕組みを悪用した詐欺に注意、シマンテックが警告 
「固定パスワード」廃止 三菱UFJ、ネット決済で - 日本経済新聞
ComputerworldとCIO Magazineは閉鎖しました
