身分証の検証を用いた身元確認/当人認証を意識してみよう
(4/14 表記揺れなどのコメントいただいたので、少し修正、追記しました。) ritouです。 私のタイムラインによく出てくる、この辺りの話っていつになってもしっくりこない人が多いと思います。 OAuth認証👮 : アプリケーションがユーザー情報取得を提供するAPIを叩いて受け取ったユーザー識別子を使って新規登録やログインさせてはいけない。OIDCのIDTokenを使え ユーザーIDが取得できればログインさせていいのではないか IDTokenはユーザーIDを含むJWTだが、どうしてこれは良いのか デジタル庁が進めるマイナンバーカードを用いた個人向け認証アプリケーション(以下、認証スーパーアプリ)の用途 マイナンバーカードを用いた本人確認は既にいくつかの民間サービスで使われているが、ログインに使えるとはどういう事なのか デジタル庁からは スマホ用電子証明書搭載サービス という物も出ているが
パスワードはおしまい！ 認証はパスキーでやろう
はじめに パスワードは古来より認証に良く使われる方法ですが、その運用の難しさからセキュリティの懸念とその対策としての運用の複雑さ（複雑で長い文字列、90日でパスワード変更など）が要求される大きく問題をもった仕組みです。 その根本的な解決策としてFIDO Allianceを中心に推進されている 「パスワードレス」 が注目されています。これはPINや生体認証とデバイス認証を使ったMFAからなっており、フィッシングやパスワード流出に強い上に、ユーザも複雑なパスワードを覚えなくて良い、という大きなメリットがあります。最近はこの流れでPassKeyというものが登場し、Apple/MS/Googleのプラットフォーマが対応したことで、本格運用に乗せれるフェーズになってきました。というわけで以下に解説動画を作ったのですが、動画中で時間の都合で触れきれなかったところや、JavaScriptによる実装のサン
アプリ保護ポリシーの概要 - Microsoft Intune
Intuneアプリ保護ポリシー (APP) は、organizationのデータが安全であるか、マネージド アプリに含まれていることを保証するルールです。 これらのポリシーを使用すると、モバイル デバイス上のアプリでデータにアクセスして共有する方法を制御できます。 ポリシーの例としては、ユーザーが "企業" データへのアクセスまたは移動を試みた場合や、アプリ内で禁止または監視されている一連の操作を試みた場合に適用されるルールがあります。 Intuneのマネージド アプリは、Intuneアプリ保護ポリシーが適用され、Intuneによって管理される保護されたアプリです。 Intuneアプリ保護ポリシーを使用すると、デバイスの登録を必要とせずにモバイル デバイス上の企業データを保護したり、モバイル デバイス上のアプリによるデータのアクセス方法と共有方法を制御したりするなど、いくつかの利点がありま
社内をパスワードレスにするため頑張った話（前編） - Qiita
はじめに 本記事はMicrosoft Security Advent Calendar 2023、10日目の記事になります。 シリーズ3部作です。 きっかけ 所属企業にて、2022年7月頃、情報システム部門に異動。種々の課題感に対する解決策（ここも話すと長くなる）としてMicrosoft 365 E5を導入することに決定。2023年1月にテナントにライセンスが適用され、E5セキュリティの実装を始める。同時に、組織内でIdPが複数運用されていることに対しても課題感を持っていたため、IdPの整理・統合も始める。 さらに同時期に、セキュリティ侵害の多くの原因が、パスワード漏洩だということを知る。 フィッシングメールでパスワードが漏洩（個人1位）し、クレジットカードが不正利用（個人4位）されたり、インターネット上のサービスに不正ログイン（個人10位）されたり…。スマホ決済の不正利用（個人5位）もで
How They Bypass YouTube Video Download Throttling
Have you ever tried to download videos from YouTube? I mean manually without relying on software like youtube-dl, yt-dlp or one of “these” websites. It’s much more complicated than you might think. Youtube generates revenue from user ad views, and it’s logical for the platform to implement restrictions to prevent people from downloading videos or even watching them on an unofficial client like You
Azure AD が発行するトークンの有効期間と考え方 (2023 年版)
Note 本記事は、2018 年公開の以下の Blog の内容が、現在の機能/技術にマッチしない内容になってきたことを踏まえ、2023 年現在の機能/技術を元に改めて考え方をおまとめしたものとなります。以前に公開した Azure AD が発行するトークンの有効期間について (2018 年公開) の記事は参考のためそのまま残し、新しく本記事を執筆しました。 こんにちは、Azure & Identity サポートの金森です。 Azure AD (AAD) は、Microsoft 365 をはじめ様々なクラウド サービスの認証基盤 (Identity Provider / IdP) として利用されています。その重要な機能としてユーザーの認証が完了したら、アプリケーションに対してトークンを発行するというものがあります。あるサービス (Teams や Exchange Online、他に Azure
Azure AD のセキュリティを強化するために今すぐできること (Quick Win)
こんにちは、Azure Identity サポート チームの 五十嵐 です。 本記事は、2023 年 4 月 3 日に米国の Azure Active Directory Identity Blog で公開された Quick Wins to Strengthen Your Azure AD Security を意訳したものになります。ご不明点等ございましたらサポート チームまでお問い合わせください。 どの組織も、インフラの安全性と信頼性を高めるために、攻撃の対象範囲を縮小するべく取り組んでいらっしゃると存じます。 Microsoft Global Compromise Recovery Security Practice (CRSP) のチーム メンバーとして、セキュリティの態勢を改善し、侵入を平均よりも難しくすることで、低スキルの攻撃者がすぐに攻撃を諦めて次のターゲットに移る事例をこれま
ハッカーはsslscanでサーバのSSL/TLS状態を調査する(Kali Linuxツール説明) | AIを武器にホワイトハッカーになる
【注意】このサイトに記載されていることを他人に試すことは「不正アクセス禁止法」に該当する場合があります。詳しくはこちらから sslscanとは sslscanは、指定されたターゲットに対して様々なテストを行い、SSL/TLSサーバーによって受け入れられたプロトコルと暗号の包括的なリストをセキュリティテストに役立つその他の情報とともに返すツールです。 機能 ターゲットがSSLv2プロトコルをサポートしているかどうか NULL暗号、鍵長(40ビットまたは56ビット)に基づいた弱い暗号、強い暗号(AESなど)の利用可能性 デジタル証明書がMD5署名されているかどうか 現在のSSL/TLSの再ネゴシエーション機能をチェック ツールの場所 [Applications]→[01-Information Gathering]→[SSL Analysis]→[sslscan] ツールと使用方法 sslsc
高木浩光氏記事解説 前編
高木浩光氏記事解説 前編 2022年8月5日 毎週木曜日に配信している「データサイン・ランチタイムトーク」の模様をレポートします。 当記事で取り上げるのは以下の配信です。 配信日：2022年3月24日タイトル：高木浩光氏記事解説1発表者：データサイン 代表取締役社長 太田祐一個人情報保護法に横たわる課題を紐解くデータサインのメンバーが気になることを話すランチタイムトーク。今回のテーマは、情報法制研究所（JILIS）副理事長を務める高木浩光氏へのインタビューをまとめた同研究所のブログ記事です。タイトルは「高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱」。データサイン 代表取締役社長 太田祐一がその冒頭部分の内容を紹介しました。 令和2年（2020年）に改正された個人情報保護法は今年４月1日に施行されました。令和3年（2021年）改正では公的部門と民間部門に
組織における内部不正防止ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
組織内部者の不正による顧客情報や製品情報などの漏えいは事業の根幹を揺るがすインシデントであり、内部不正が発生するリスクの把握や効果的な対策の検討は、組織にとって喫緊の課題です。IPAでは、このような背景から、企業やその他の組織において必要な内部不正対策を効果的に実施可能とすることを目的として2013年に「組織における内部不正防止ガイドライン」を作成し、2022年4月に改訂版第5版を公開しました。 本ガイドラインは、内部不正防止の重要性や対策の体制、関連する法律などの概要を平易な文体で説明しており、「基本方針」「資産管理」「技術的管理」「職場環境」「事後対策」等の10の観点のもと、合計33項目からなる具体的な対策を示しています。 各対策項目では、「対策の指針」を冒頭に記し、対策しない場合のリスクと、具体的な対策のポイントを整理する構成としています。さらに、内部不正の事例のほか、自組織の内部不
「結局アクセスログってどれくらい保存しておけばいいの？」に答える関係法令 - Qiita
これは何 アクセスログとかどれくらいの期間保存すればいいかな？というのを検討した資料。 結論でいうと以下のように解釈してます アクセスログは90日 監査ログやリリース履歴は1年 この資料見ておけばOK IPAの資料にまとまっていました。 https://www.ipa.go.jp/files/000052999.pdf 以下はそこからちょっとだけ掘ってみたものです。 アクセスログについて 刑事訴訟法における記述 刑事訴訟法 第百九十七条 ３「通信履歴の電磁的記録のうち必要なものを特定し、三十日を超えない期間を定めて、これを消去しないよう、書面で求めることができる。」 もうちょっと詳しく原文を読む http://elaws.e-gov.go.jp/search/elawsSearch/elaws_search/lsg0500/detail?lawId=323AC0000000131_2017
Microsoft 365 管理権限の管理を確実に行うために
「業務上、管理者権限が必要だから」と依頼をもらって管理者権限を付与することがあります。ただ、いろいろ悩みがあって。自分なりの対応をまとめてみました。 権限の種類権限付与特定の管理センターでしか付与できない権限権限外す依頼はまずもらえない/権限の棚卸管理者アカウントのセキュリティ権限の種類多い。とりあえず多い。Microsoft 365 管理センター - 役割 - 役割の割り当てから確認できる権限の種類は、おすすめの権限だと8種類だけど、展開すると65種類！それぞれで、何ができるなんて、覚えるのも大変ですね。 Azure AD 管理センター - ロールと管理者からだと、もっとあります。 権限の付与どちらの画面からも、ユーザーやを割り当てできます。少人数だったら、GUIで割り当てるのも一つの方法です。グループの割り当てはメニューに表示されているものの、この記事を書いている2022年2月4日時点
Microsoft Entra セキュリティ運用ガイド - Microsoft Entra
Microsoft では、コントロール プレーンとして ID を利用した多層防御原則により、実績のあるゼロ トラスト セキュリティへのアプローチを成功させてきました。 組織はスケール、コスト削減、セキュリティを追求し、ハイブリッド ワークロード環境を受け入れ続けています。 Microsoft Entra ID は、ID 管理の戦略において非常に重要な役割を果たします。 最近では、ID とセキュリティの侵害に関するニュースにより、企業の IT 部門は、ID セキュリティ態勢を、防御的セキュリティ成功の指標として捉えるようになりました。 さらに組織はオンプレミスとクラウドのアプリケーションを組み合わせて使用する必要があり、ユーザーはそれらのアプリケーションに、オンプレミスとクラウド専用の両方のアカウントでアクセスします。 オンプレミスとクラウドの両方でユーザー、アプリケーション、デバイスを管理
セキュリティホール memo
Last modified: Fri Jan 26 18:29:18 2024 +0900 (JST) 短縮 URL: http://goo.gl/pwSG QR コード: http://goo.gl/pwSG.qr Security Watch さんが店じまいされてしまったので、 個人で追いかけてみるテストです。 備忘録として書いておくつもりなので、 Security Watch さんのような詳細なものではありません。 基本的なターゲットは UNIX、Windows、Mac OS (priority 順) とします。 また、このページの内容はどのページにも増して無保証であることを宣言しておきます。全ての情報が集まっているわけもありません。 ここに載せる情報については、可能な限り 1 次情報源へのリンクを作成しておきます。 各自で 1 次情報源の内容を確認してください。 このページの内容を
OpenSSH
The goal of this document is to help operational teams with the configuration of OpenSSH server and client. All Mozilla sites and deployment should follow the recommendations below. The Security Assurance and Security Operations teams maintain this document as a reference guide. Only non-default settings are listed in this document Most default OpenSSH settings that are security-related already pr
渋谷区eKYC問題は身元確認と認証を混同、デジタルアイデンティティー専門家が指摘
「要するに二重に信用できないところがあって、それを認証と言われてもなぁという話ですよね」とバッサリ斬ったのは、国際標準化団体である米OpenID Foundationの理事長を2011年から務める崎村夏彦氏である。 上段左が米OpenID Foundation理事長の崎村氏、右はOpenIDファウンデーション・ジャパン（OIDF-J）エバンジェリストの伊東諒氏（ミクシィのID／決済関連業務を担当）。下段左から同代表理事兼KYC WGリーダーの富士榮尚寛氏（伊藤忠テクノソリューションズのIDを含む事業開発部門の責任者）、同事務局長兼エバンジェリストの真武信和氏（YAuth.jp代表）、同理事兼エバンジェリスト倉林雅氏（ヤフーID部門所属） オンライン開催の「日経クロステック EXPO 2021」で2021年10月15日に配信したパネルディスカッション 「DX経営成功の鍵『デジタルアイデンティ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Hiromitsu TakagiさんはTwitterを使っています: 「ChatGPT等の大規模言語モデルに「個人情報保護」云々が政治課題化してきたようなので、取り急ぎ私見の概略を述べておきたい。個人データ保護法制に関係してくる側面は複数あるので注意。 その一つ、公開文献等に含まれる個人情報（散在情報）を学習の入力とするのは同法制の外にあると言うべきである。」 / Twitter
GitHub - joaojacome/bitwarden-ssh-agent: Small python script to load bitwarden-store ssh keys into ssh-agent
OSC大阪 パスワード認証は人類には早すぎる ~ IDaaSを使ったソーシャルログインのすすめ ~
am I infected? - マルウェア感染・脆弱性診断サービス
