衝突発見困難性 | やさしいネットワークとセキュリティ
特徴 衝突発見困難性は、ハッシュ値に関する指標の一つで、ハッシュ値が一致する二つの元データの探索に要する計算量が大きいことによる探索の困難性のことハッシュ値とは、元のデータからある計算式によって得られる固定長の値のことで、この計算式のことをハッシュ関数という。ハッシュ値の特徴として、ハッシュ値から元のデータを求めることはできないことが挙げられ、これを不可逆であるという。この特徴のため、暗号や認証、改ざんされていないことの確認のために、元のデータとハッシュ値を送信してハッシュ値が同じかどうかで判断するなどで利用されている。ハッシュ関数に求められる性質として、同じハッシュ値となる二つの異なる元データを見つけにくいということが挙げられる。なぜなら、同じハッシュ値となる元データが発見されると、ハッシュ値を用いても元のデータが改ざんされたものなのか判断できなくなるからである。衝突発見困難性が高いハッ
ワンタイムパスワードのTOTPを少し調べた | fukasawah.github.io
ワンタイムパスワード（OTP）のTOTPについて調べた。 ワンタイムパスワードは２段階認証をやったりするときに使う。何気なく使ってたけど、これどうやって実装するんだろう？と思っていたので感覚をつかみたかった。 TOTP(Time-Based One-Time Password)概要TOTPはTime-Based One-Time Password の略でOTPの実装の一つ。RFC 6238で決まってる。 https://tools.ietf.org/html/rfc6238 秘密鍵を事前に共有して、秘密鍵と時間に基づいたコードを生成し、それをワンタイムパスワードとして使う。 何をすればよいかユーザ側はコードを生成するためのアプリを用意する必要がある。Google AuthenticatorやMicrosoft Authenticatorとか。 サービス側は秘密鍵の保持と検証するためにコード
PHP で otpauth URI（TOTP）を作成する方法
otpauth URI（TOTP）のフォーマット TOTP の otpauth URI フォーマットは次の通りです。「ラベル」と呼ばれる ＜発行者名＞:＜アカウント名＞ と、secret 以降の各種パラメータで構成されます。 参考資料：Key Uri Format · google/google-authenticator Wiki · GitHub ラベル ＜発行者名＞:＜アカウント名＞ ＜発行者名＞:＜アカウント名＞ の部分は「ラベル」と呼ばれ、秘密鍵と関連するアカウントを識別するために使われます。 ここで指定した発行者名（サービス名やプロバイダー名を指定します）とアカウント名が認証アプリに表示されます。（アプリによっては表示されない場合もあります）日本語で指定した発行者名やアカウント名が表示できる認証アプリもありますが、QRコードで表示したときに otpauth URI として認識し
プレーンなPHPで2段階認証（Google Authenticator）を導入するお話
最近はログインID/PW方式だけではセキュリティ的に厳しいと言うことで様々な認証方式が使われています。 SMSを使ったSMS認証もあるのですが、最近はOTP（One Time Password）を用いた認証方式が増えてきています。 スクウェア・エニックスのOTPはネットゲームを行うユーザーには有名でしょうか なんかめちゃくちゃ大変そう… 専用サーバーが必要とか色々大変そうに思いますよね。 ところがGoogleはこのあたりの仕様を公開しており、それを使ったライブラリが公開されているので簡単に実装ができます。 スマホアプリで認証システムをダウンロードする Googleが公開している「Google 認証システム」を使用します。 Android版はこちら iOS版はこちら 「PHPGangsta/GoogleAuthenticator」をインストールする 使うライブラリは「PHPGangsta/G
【目的＆難易度別】セキュリティを学ぶなら知っておくべき資格13選｜コラム｜クラウドソリューション｜サービス｜法人のお客さま｜NTT東日本
2020.03.10｜ Writer：NTT東日本アベ 【目的＆難易度別】セキュリティを学ぶなら知っておくべき資格13選 NTT東日本がお届けする、クラウドの情報満載のメールマガジンはこちらからご登録ください。 国内、国外問わず、知的財産を悪意のある第三者による侵害から守ることは企業にとって重要です。企業の知的財産を守ることは企業そのものを守ることと同義であり、情報セキュリティ業務は企業にとって必須の業務です。そして、その業務従事者がセキュリティ資格を取得することにより、従事者の知識レベルを客観的に証明するだけでなく、企業の情報セキュリティをより強化することにつながります。本コラムでは、情報セキュリティに関連する代表的な資格とその選び方を目的・難易度別に紹介していきます。 セキュリティ資格を取るメリット 情報セキュリティの資格を取るメリットは以下のとおりです。 知識に裏打ちされた実務推進と
CISSPとは｜ISC2 Japan
CISSP®とは CISSP(Certified Information Systems Security Professional)とは、ISC2（International Information Systems Security Certification Consortium）が認定を行っている国際的に認められた情報セキュリティ・プロフェッショナル認定資格です。 Novell、Deloitte Touche Tohmatsu、大手ヘルスケアサービス企業その他主要企業において、CISSP認定資格の取得が情報セキュリティ関連業務従事者の必須事項とされています。 2004年6月には、米国規格協会（ANSI）よりISO/IEC17024の認証を受け、資格制度の全てのプラクティスがグローバルに認められ、 認定資格試験としての信頼度がより高くなりました。 CISSP認定資格は、情報セキュリティ
なぜネットワーク通信を盗聴できるのか？
インターネットでは，パスワードやクレジット・カードの番号が盗聴されないように，暗号化してデータをやり取りすることがある。では，なぜ暗号化しなければ，情報を盗まれてしまうのだろうか？盗聴の仕組みは，実はイーサネットの通信方法とも深い関係がある。そこで，ネットワークはどのように通信を実行しているのかをもう一度確認しながら，盗聴に対する対策を考えていこう。 今回のテーマは「盗聴」である。盗聴と聞いて最初に思い浮かべるのは，電気のコンセントや受話器のマイクのようにカモフラージュされた盗聴器ではないだろうか。最近はストーカー被害などとともに，盗聴の被害に遭う人も多く，ある運送会社では引越しの際に盗聴器が仕掛けられていないか調べるサービスが人気だという。 なんとも危ないテーマだが，この「盗聴」という行為がネットワーク上でも行えることはご存じだろう（図1）。しかし，前述の盗聴と違う点は，傍受する対象が音
MySQLでコメントアウトする方法をご紹介！
MySQLでコメントアウトする方法をご紹介！MySQLでコメントアウトする方法について解説します。SQLの動作のメモ書きのためのコメントやSQLとして実行されたくない文をコメントアウトする方法を紹介します。 MySQLでSQLを記述する際に、コメントを残したり一部をコメントアウトしたいといったケースを考えます。 コメントは実際のSQLとしては認識されず、動作の説明や注釈の文として残しておくものです。あるいは記述されているSQLを動作させたくない場合にコメントアウトして動作させないようにするためのものです。 PHPやRubyのプログラミング言語であれば下記のようにコメントを書けますが（言語によって異なる）
SQLインジェクションとは？実例とその対策についてわかりやすく解説
Webの世界ではデータはデータベースに格納されており、データベースのデータの取り出しや編集をするには、SQL文というものを実行します。 例えば、ユーザーが画面入力をしてデータ確認をするときは、「画面で入力された情報をもとに、システム内部でSQL文を完成させて実行し、データの抽出や表示」を行っているのです。 それでは、「あるWebサービスの入力画面に悪意のある情報が入力されると、予期していないSQLが生成・実行されてしまい、全ユーザ情報が表示されてしまうことさえある」と聞いたら、あなたは信じられますか？それがSQLインジェクションという攻撃手法です。 本記事では、予備知識がない方向けに、SQLインジェクション(SQL injection)について解説します。 データベースとSQL SQLインジェクションを知るには、まずはSQLとは何かを知る必要があります。SQLとは何をするものなのか、少しだ
【初心者向け】SQL インジェクションの対策とは？仕組みと概要を解説 | SBテクノロジー (SBT)
企業の情報を脅かすサイバー攻撃のひとつに SQL インジェクションがあります。本記事では SQL インジェクションについて概要や仕組みや影響、対策を網羅的に紹介します。大事な情報を守るセキュリティ対策にぜひ本記事の内容を役立ててください。 ここからは SQL インジェクションについて、SQL の意味と SQL インジェクションの定義、SQL インジェクションとクロスサイトスクリプティングはなにが違うのかについて解説していきます。 SQL とは？ SQL とはデータベースを操作したり定義したりするための言葉です。データベースには数百万件以上のデータが保存されますが、これらは SQL により効率よく操作できます。例えば SQL では以下のような操作が可能です。 データの更新 データの追加 データの削除 データの検索 ユーザー権限の付与 テーブルの作成 テーブルの削除 テーブルの主キーの設定 ち
Cookieとセッション管理 - Qiita
Cookieやセッション管理といったWebアプリケーションの基本技術について改めて調べてまとめた。 『HTTPの教科書』、『プロになるためのWeb技術入門』が主な情報元で、RFC6265も一部見ている。 Cookieとは HTTPにおいてWebブラウザとWebサーバ間で状態を管理するプロトコル、またはそこで用いられるWebブラウザ上に保存された情報のこと ※ 参考：Cookieとは｜HTTP Cookie｜クッキー - 意味/解説/説明/定義 ： IT用語辞典 Cookieの目的 ステートレス（状態を維持できない）なプロトコルであるHTTP上で、状態管理ができるようにすること Cookieの仕組み まず、サーバがSet-Cookieという名前のフィールドをHTTPヘッダに載せてレスポンスを返す。Cookieとしてクライアントに保存して欲しい情報を、このSet-Cookieフィールドの値とし
QuickAnswer
Access-Control-Allow-Originヘッダーで複数のドメインを処理する オリジン間リソース共有(CORS)
なんとなく CORS がわかる...はもう終わりにする。 - Qiita
Access to XMLHttpRequest at 'http://localhost:8081' from origin 'http://localhost:8080' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: It does not have HTTP ok status. Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://localhost:8080' is ther
X-Frame-Options - HTTP | MDN
HTTP ガイド リソースと URI ウェブ上のリソースの識別 データ URL MIME タイプ入門 よくある MIME タイプ www 付きと www なしの URL の選択 HTTP ガイド HTTP の基本 HTTP の概要 HTTP の進化 HTTP メッセージ 典型的な HTTP セッション HTTP/1.x のコネクション管理 プロトコルのアップグレードの仕組み HTTP セキュリティ Content Security Policy (CSP) HTTP Strict Transport Security (HSTS) X-Content-Type-Options X-Frame-Options X-XSS-Protection サイトの安全化 HTTP Observatory HTTP アクセス制御 (CORS) HTTP 認証 HTTP キャッシュ HTTP の圧縮 HTT
いにしえのXSSと、現代における発展 — HACK The Nikkei
こんにちは。ソフトウェアエンジニアの淵脇です。この記事は NIKKEI Advent Calendar 2020 5日目の記事です。私は「日経ID」といわれる認証認可基盤を担当しており、日々セキュリティを意識した開発を行っております。それに関連して、本日はいにしえのブラウザにおけるセキュリティの歴史的なものをご紹介いたします。 0. はじめに 現代ではブラウザはとても便利なものになりました。単にネットサーフィンのようなオンラインで完結する作業だけでなく、買い物やコミュニケーション、金融取引など実世界に影響を与えるような様々な用途に使われています。しかし、この裏には血のにじむようなセキュリティエンジニアとハッカー/クラッカーとの戦いの歴史があり、その上に築かれたセキュリティの上に成り立っているものです。 ブラウザのセキュリティについては、昔からXSS(クロスサイトスクリプティング）やCSRF
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Windows10でTLS1.3を有効または無効にする方法 - Windows10の詳細構成
【Windows 11便利テク】 Windows 11のセキュリティ機能は性能を下げるのか？仮想化ベースのVBSを検証
不正アクセスに備えた安全なサーバーについて | SFTPサーバーの Titan SFTP
Hibernate parameter binding examples - Mkyong.com
Java: JPAとHibernateでSQLインジェクションを防ぐ方法は？ | Code Hero