何故パスワードをハッシュ化して保存するだけでは駄目なのか？ - NRIネットコムBlog
不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認
RSAの終わりの始まり - 暗号移行再び - Qiita
前振り 全国の暗号を使うエンジニアの皆さんこんにちは。今日は暗号移行とRSA暗号の話をしたいと思います。まず暗号を利用している皆さんであればCRYPTRECの「電子政府推奨暗号リスト」のことはご存じですよね！（言い切るw） CRYPTRECから2022年7月（昨年夏）に暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準（PDF直リンク）が公開されました。この中では暗号のセキュリティ強度で各種暗号と鍵長が整理されています。セキュリティ強度はビットセキュリティと呼ばれるビットサイズ（共通鍵暗号の場合のビット長）で区分されます。暗号アルゴリズムが違ってもセキュリティ強度で比較ができるということですね。例えば現在一般的に良く使われているセキュリティ強度は112ビットセキュリティが多く、これにはデジタル署名であればRSA暗号の2048ビットやECDSAのP-224等が含まれます。今日は公開鍵暗
やはり俺の情報教科書はまちがっている。 - Qiita
目次 はじめに 個人を特定する情報が個人情報じゃない デジタル署名は暗号化しない TLS(SSL) は共通鍵を公開鍵で暗号化しない TLS(SSL) が使われていれば安全じゃない 変数は箱じゃない Python 等は「ソースコードを 1 行ずつ実行するインタプリタ方式」じゃない 日本語 1 文字は 2 バイトじゃない 動画が動いて見えるのは残像によるものじゃない 標本化定理は「2 倍以上の周波数」じゃない その他いろいろ はじめに 2022 年から高等学校で、プログラミング等を学ぶ「情報Ⅰ」が 必修 必履修科目になりました。1 さらには 2025 年入試から大学入試共通テストでも出題されるようになり、教科「情報」の重要性が高まっています。 これで 2030年に79万人不足すると言われる IT 人材 の問題が解決！…と言いたいところですが、先日も『課題感ある教科1位「情報」』という調査結果が
米ペイパル｢量子コンピュータ、暗号、分散型台帳｣技術開発チームをレイオフ。｢近い将来の事業化｣見込めず
米決済サービス大手ペイパル（PayPal）は、実用化前の先端技術に特化したセキュリティ研究開発チームをレイオフ（一時解雇）した。Insiderの取材で明らかになった。 本件を直接知る関係者によれば、ペイパルは経費削減のために社内のリストラクチャリング（構造改革）を進めており、他の部門にもレイオフの波が押し寄せる可能性がある。 ｢ペイパル社内では組織再編や重点事業の見直しが行われています。周知の通り、ここ数四半期の業績は振るいませんでしたから、締めつけは厳しくなっていると思います｣ 同じ関係者によると、脅威インテリジェンス（＝サイバー攻撃に関する情報）のような高度情報セキュリティ分野にかかわる従業員もレイオフされたという。 ペイパルの広報担当は、冒頭の研究開発チームをレイオフした事実を認め、その理由として｢近い将来に事業化できるテーマではない｣ことを挙げた。 今回（4月1日前後）のレイオフ対
警察にできることは犯罪者にもできる
ホント，懲りないよなぁ。 AppleやFacebookが法執行機関向けバックドアを作らないなら暗号化を法律で規制する――米上院議員 - ITmedia NEWS Facebookは今回の公聴会の前に、ウィリアム・バー米司法長官宛の公開書簡で、「あなたが要求する“バックドア”は、犯罪者、ハッカー、抑圧的な政権へのプレゼントになってしまう。バックドアはそうした人々がわれわれのシステムに侵入することを許し、プラットフォーム上の人々を危険にさらす。バックドアを1つの目的のためだけに作成し、他の目的で開けないようにすることは技術的に不可能だ」と説明した。 警察や軍といったいわゆる「暴力装置」は「暴力」を背景に国民・市民・人民を統制するもので，前提としてそれが圧倒的な power を有している必要がある。 これは純然たる「暴力」であれば通用するかもしれないが「情報力」に関しては前提が崩れてしまう。 理
Rethinking Encryption
Map of real-time cyberattacks, Warfield Air National Guard Base, Middle River, Md., June 2017. (Source: U.S. Air Force photo by J.M. Eddins Jr.) I. Embrace Reality and Deal With It From 2012 to 2014, I worked for Bridgewater Associates, a hedge fund located in Connecticut. Bridgewater seeks to operate consistent with a set of principles articulated by its founder, Ray Dalio. Over the years, Dalio
The Microsoft Simple Encrypted Arithmetic Library goes open source - Microsoft Research
The Microsoft Simple Encrypted Arithmetic Library goes open source Published December 3, 2018 By Kristin Lauter , Principal Researcher and Partner Research Manager Kim Laine , Principal Research Manager Sreekanth Kannepalli , Principal Group Manager Today we are extremely excited to announce that our Microsoft Simple Encrypted Arithmetic Library (Microsoft SEAL), an easy-to-use homomorphic encrypt
TLBleed : Trasnlation Leak-aside Buffer の論文を読む - FPGA開発日記
TLBleedの論文がやっと発表された。The Registerで記事が出てから論文が出てくるまでずっと監視していたのだが、随分と時間がかかったね。 www.vusec.net このTLBleedの論文非常に長いので読むのがつかれるし、あまりセキュリティの知識とか無いので大変なのだが、要点だけつかもうと時間を作ってざっくりと読み進んでいった。 まだまだ分からないところが多いが、まとめていこう。 なんか難しげなアルゴリズムとかサクッと英語で説明してあるのでその辺りはまだよく理解できていないが、一通り読んで概要は何となくわかった。 この手法、スレッドが特権を持っていなくても同時に実行されているスレッド内の命令を読み取ることができるというものなのだが、当然ターゲットとなるサーバ内で攻撃スレッドが実行できている必要がある。 これはAWSなどのクラウド上で、意図していなくても何らなの別スレッドとリソ
EFAIL
EFAIL describes vulnerabilities in the end-to-end encryption technologies OpenPGP and S/MIME that leak the plaintext of encrypted emails. Email is a plaintext communication medium whose communication paths are partly protected by TLS (TLS). For people in hostile environments (journalists, political activists, whistleblowers, ...) who depend on the confidentiality of digital communication, this may
［特報］トヨタ、主力部品工場に暗号対応迫る 次世代電子基盤で
トヨタ自動車が、2019年の量産車から採用する次世代電子プラットフォーム（基盤）（関連記事）。暗号技術の採用と併せて、取引先工場にも同技術を安全に導入する仕組みを求めたことが日経 xTECH/日経Automotiveの取材で分かった。 ハッカーによる車の乗っ取りを防ぐには、部品レベルの対策が欠かせない。部品の供給網全体を巻き込む総力戦で、安全なクルマを実現する。 トヨタはこのほど、自動車部品の電子制御ユニット（ECU）に搭載する暗号鍵を安全に生成し、取引先に送信する「鍵管理センター」と呼べるものを構築。併せて部品メーカーの工場に、トヨタの暗号鍵を安全にECUに組み込む設備と管理体制の導入を求めた。 鍵管理センターの開発は、トヨタの仕様に基づき、系列の豊田通商がとりまとめる。富士通が暗号鍵の生成・送信基盤を手掛けた（関連記事）。 当初は自社の愛知県・広瀬工場などに加えて、系列を含む大手部品メ
2万3000件以上のSSL/TLS証明書の秘密鍵が電子メールでやりとりされたことが判明し、その全てが失効となる事態に
by Suzy Hazelwood SSL/TLS証明書の大手認証局であるDigiCertは2018年2月28日に、約2万3000件の証明書を即時失効したと発表しました。失効の理由は、証明書販売代理店のCEOが証明書の秘密鍵を電子メールで送信してしまったためとのことです。 DigiCert Statement on Trustico Certificate Revocation - DigiCert https://www.digicert.com/blog/digicert-statement-trustico-certificate-revocation/ インターネットが一般家庭に普及し、必要な買い物もインターネットでできるようになりました。その一方で、買い物をするために必要なクレジットカードや個人情報など、他人に知られたくないデータがインターネットを介してやり取りされることも増えた
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Council Post: To QKD Or Not To QKD: What Quantum Key Distribution Means For Business
IoTセキュリティの基礎(第2部)：暗号秘密の保護
10秒で衝突するUUIDの作り方
6.S974, Decentralized Applications, Fall 2018
祝RFC！Transport Layer Security (TLS) 1.3 発行の軌跡 ～熟成された4年間の安全性解析～｜株式会社レピダム
ETSI crypto-based access control standards land
Cryptographic Module Validation Program | CSRC
HTTPS encryption on the web - Transparency Report
RSA鍵生成脆弱性ROCAの紹介
