「それは、本当に安全なんですか？」 セキュリティ専門家が「GitHub Copilot」の全社一斉導入時に考えたあれこれ
「GitHub Copilot 導入時に考えたセキュリティのあれこれ」というタイトルで登壇したのは、freee株式会社のただただし氏。タイミー社主催の「GitHub Copilotで拓く開発生産性」で、「GitHub Copilot 」を全社一斉導入する際に考えるべきセキュリティリスクについて発表しました。 freee株式会社 PSIRT マネージャーのただただし氏 ただただし氏：freee株式会社のただただしと申します。 今日は、「GitHub Copilot 導入時に考えたセキュリティのあれこれ」ということで、Copilotのセキュリティリスクについて語るわけですが、考えてみたら、GitHubの中の人を前にこんなことをしゃべるのは相当大胆な話だと思います。最後にいいことで締めるのでちょっと我慢してください。 自己紹介をいたします。ただただしと申します。PSIRTという組織でマネージャー
マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開
マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開 マイクロソフトは、ビルド時にそのソフトウェアがどのようなソフトウェア部品から構成されているかを示すデータ「SBOM」を生成してくれるツール「SBOM Tool」を、オープンソースで公開しました。 SBOMによるサプライチェーンリスクの解決 SBOMとはSoftware Bill Of Materialsの頭文字をとったもので、日本語では「ソフトウェア部品表」とされます。あるソフトウェアがどのようなソフトウェア部品によって構成されているのかを示す情報がまとまったデータのことです。 ほとんどのソフトウェアは単独で成立しているわけではなく、多数のライブラリやコンポーネントなどのソフトウェア部品に依存しています。そのなかのいずれかに脆弱性が発見されればドミノ倒しのように他のさまざま
GitHub、コードの脆弱性を検出する「Code Scanning」を全ユーザーに提供
GitHubによると、新機能のCode Scanningは、「全てのプルリクエストやコミット、マージを分析し、脆弱なコードが作成されるとすぐにそれを認識して、脆弱性が本番環境に入り込むのを防ぐのに役立つ」という。 脆弱性を検知すると、Code Scanningは開発者にコードの修正を促す。 Code Scanningの内部では、「CodeQL」が用いられている。CodeQLは、GitHubが2019年にコード分析基盤「Semmle」を買収し、そのプラットフォームに統合した技術だ。 CodeQLは、「code query language（コードクエリー言語）」の略で、大規模なコードベースの中から1つのセキュリティ脆弱性のさまざまなバージョンを検知するためのルールを作成できる汎用言語だ。 ユーザーにCode Scanningを利用してもらうため、GitHubのセキュリティチームは2000を超
30分でOpenID Connect完全に理解したと言えるようになる勉強会
社内向け勉強会で発表した内容です。 30分でと書いてありますが、実際には50分かかりました。 また時間の関係で結構省いたりしている箇所があります。 2020/07/19追記 ご指摘をいただいた箇所を多々修正いたしました。 特にOIDCとSPAの章が初版とは大幅に変更されていますのでご注意く…
生体認証をWebサイトでも実現する新標準「FIDO2」と「WebAuthn」が普及の兆し | 東京エレクトロンデバイス
生体認証をWebサイトでも実現する新標準「FIDO2」と「WebAuthn」が普及の兆し いまPCのWebブラウザでECサイトの買い物や決済を行おうとすると、ユーザーIDとパスワードの入力が必須になります。しかし標準技術として新たに登場した「FIDO2」と「WebAuthn」の普及により、Webでも指紋認証や顔認証などが実用化される見通しが立ってきたのです。 最近のスマートフォンは、ホームボタンを指で触れる指紋認証やカメラに顔を映す顔認証など、便利かつ簡単な方法でロックを外して利用できるようになりました。しかも、そのままその認証を利用して、スマートフォンに内蔵された決済機能でお金の支払いをすることも可能になってきたのです。 一方、PCで行う認証はユーザーIDとパスワードを入力する方法がまだ主流です。WebブラウザでECサイトを開いて、気に入った商品を買おうとしたときには、まずユーザーIDと
まだパスワードで消耗してるの？ TouchIDとFIDO2.0でパスワードレス認証を実装してみた（Keycloak編） - Qiita
まだパスワードで消耗してるの？ TouchIDとFIDO2.0でパスワードレス認証を実装してみた（Keycloak編）iOSauthenticationTouchIDKeycloakFIDO FIDO認証とは FIDO(Fast IDentity Online)認証とは、FidoAllianceという生体認証などを利用した新しいオンライン認証技術の標準化を推進する団体が策定を進めているオンライン認証の規格になります。パスワードに代わる新しい認証技術として生体認証やジェスチャー認証を実現できます。パスワード入力が不要とあることはもちろん、認証に必要な情報をサーバに上げる必要がなく、ネットワーク上にも流れないため、高いセキュリティを確保できます。 現在は『FIDO1.0』として下記の標準プロトコルが策定されています。 UAFv1.0(Universal Authentication Frame
今すぐできる、Webサイトへの2要素認証導入
(Last Updated On: 2018年8月14日)Google、Facebook、Amazon(AWS)、Githubなど、大手Webサービス会社が2要素認証を取り入れてしばらく経っています。自分のWebサイトでも2要素認証を導入したい！と思ったことは無いですか？ 簡単に可能です！ パスワード認証だけではもう安全とは言えません。ぜひ2要素認証を自分のサービス／プロダクトに導入してください。 2要素認証とは？ 2要素認証（2 Factor Authentication）とはパスワードとは別の認証コードを利用してユーザーを認証する方式です。2段階認証（2 Step Authentication）と呼ばれることもあります。複数の認証要素を利用して認証するので多要素認証（Multi Factor Authentication） とも呼ばれています。AWSでは2要素認証をMFAと呼んでいます
Javaで二段階認証を実装 - Qiita
Overview まえまえから、二段階認証を実装してみたいと思っていたのですが、良いライブラリが存在していることもあり思いのほか簡単に実装できました。 GoogleAuth (二段階認証のサーバサイド用ライブラリ) GoogleAuthはRFC6238で定義されている、Time-based One-time Password(TOTP)を作成してくれるサーバサイド向けのJavaライブラリです。 上記のライブラリを使ってサーバサイドを実装してやれば、Googleが提供しているGoogle Authenticatorなどのアプリで発行したワンタイムトークンを使って、ユーザに認証させることができます。 iOS版 Google Authenticator Android版 Google Authenticator Google AuthenticatorもTOTPの仕様でワンタイムトークンをつくっ
パスワードが要らなくなる？ 新認証方式「FIDO」とは | IT Leaders
IT Leaders トップ ＞ テクノロジー一覧 ＞ セキュリティ ＞ 技術解説 ＞ パスワードが要らなくなる？ 新認証方式「FIDO」とは セキュリティ セキュリティ記事一覧へ [技術解説] パスワードが要らなくなる？ 新認証方式「FIDO」とは 標準化された生体認証でモバイルワークのセキュリティリスクを減らす 2018年2月27日(火)森 英幸（IT Leaders編集部） リスト セキュリティ技術が高度化した現在においても、本人認証の核として使われているのは、旧来からのパスワードである。どんなに強固なセキュリティ対策を施していたとしても、パスワードが漏れてしまえば、悪意のある第三者が大手を振って侵入してきてしまう。そうした脆弱なパスワード認証に代わる認証方式として注目を集めているのが、FIDO（ファイド）認証である。本稿では、FIDO認証の成り立ちと技術的概要、現在の普及状況につい
Alphabet、DNSクエリを暗号化するアプリ「Intra」を公開--ネット検閲に対抗
Googleが設立し、Alphabet傘下の子会社として運営されているテクノロジインキュベーターのJigsawが米国時間10月3日、ISPレベルのDNS操作への対抗策として、DNSクエリを暗号化できるAndroidアプリ「Intra」をリリースした。 DNS操作は、独裁的な政権や悪質なISPがネット検閲に用いる最も一般的な手法の1つで、ニュースサイト、情報ポータル、ソーシャルメディアプラットフォーム、望ましくないソフトウェアなどへのアクセスを遮断するのに利用されている。 Intraは、独裁政権が支配する国のISPなど、国家レベルの監視能力を備えた第3者からDNSのトラフィックを隠すことで、DNSが操作されるのを防ぐ。 技術的に見ると、Intraは「DNS over HTTPS」（DoH）というまだ新しいテクノロジを実装している。この技術はまもなく、Internet Engineering
OpenID Connect のあれが WebAuthn のこれになったらどうなるかって話 - r-weblife
おはようございます。ritou です。 builderscon tokyo 2018 にて WebAuthn のさわりの話をした時に、「OAuth / OpenID Connect」 との関係について質問がありました。 この質問に限った話ではありませんが、"認証のための技術" なんていうと、認証方式、認証状態のセッション管理、ID連携まで広範囲に渡るため、話が混乱してしまうものです。 ここでは OIDC で言うところの誰が WebAuthn で言う所の誰になるとどうなるのか、みたいな話を書きます。 前提 FIDO と Identity な標準化技術は "補完関係" 結構前ですが、もっと詳しい方が書いたものを紹介します。 https://www.jstage.jst.go.jp/article/itej/70/5/70_481/_pdf 上記FIDOの技術仕様は、認証の領域にのみ注力していま
金融 API 時代のセキュリティ: �OpenID Financial API (FAPI) WG
タイトル： 『認証の課題とID連携の実装 �〜ハンズオン〜』 概要： FIDO、ID連携（OAuth・OpenID Connect）をはじめとした最近の技術をご紹介します。FIDOは端末とサーバー間でユーザー認証を安全に連携するための仕組みです。OpenID Connectはユーザーの認証と認可を連携するためのID連携の仕組みで、OAuth 2.0を拡張した仕様であり、HTTP通信やJSONなど基礎的なWeb技術によって構成されています。FIDOとID連携の技術を学んだ後、実習ではGolangを用いてWebアプリケーション上にOpenID Connectを実装します。実装の注意点とそのリスク、仕様に施されているセキュリティー対策についてハンズオンを行いながら解説します。 セキュリティ・キャンプ全国大会2019 専門講義 選択コース B4 認証の課題とID連携の実装 〜ハンズオン〜 Aug
今なぜHTTPS化なのか？インターネットの信頼性のために、技術者が知っておきたいTLSの歴史と技術背景
【変更履歴 2018年2月15日】当初の記事タイトルは「いまなぜHTTPS化なのか？ 技術者が知っておきたいSEOよりずっと大切なこと ― TLSの歴史と技術背景」でしたが、現行のものに変更しました。現在GoogleではWebサイトのHTTPS対応と検索結果の関係を強調しておらず、本記事の趣旨の一つにも本来は独立した問題であるSEOとHTTPS化を関連付けるという根強い誤解を解くことがありますが、当初のタイトルではかえってSEOとHTTPSを関連付けて読まれるおそれがあり、また同様の指摘もいただいたことから変更いたしました。 HTTPとHTTPSは、共にTCP通信上で動作します。したがって、いずれもTCPハンドシェイクで通信を開始します。 HTTP通信の場合には、このTCPハンドシェイク直後に、HTTPリクエストとレスポンスのやり取りが始まります。このHTTPのやり取りは平文通信であり、途
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
図解：OAuth 2.0に潜む「5つの脆弱性」と解決法
SNSなど複数のWebサービスが連携して動くサービスは広く使われている。連携に必要不可欠なのが、アクセス権限をセキュアに受け渡すための「OAuth 2.0」といった仕組みだ。今回はOAuth 2.0に関連する代表的な5つの脆弱（ぜいじゃく）性と攻撃手法、対策についてシーケンス図を使って解説する。 OpenID Foundation Japan Evangelistのritouです。 連載第1回では、RFCが公開されてから5年が経過した「OAuth 2.0」を振り返り、3つのユースケースを通じて、アクセス権限を受け渡す仕組みを紹介しました。OAuth 2.0はさまざまなユースケースに適用できます。その際、開発者はアプリケーションが動作する環境の特性を考慮しながら、仕様で定義されている処理を実装する必要があります。 今回は、脆弱（ぜいじゃく）性を作り込まないOAuth 2.0の実装手法を紹介し
よくわかる認証と認可 | DevelopersIO
よく訓練されたアップル信者、都元です。「認証 認可」でググると保育園の話が山程出て来ます。が、今日は保育園の話ではありません。そちらを期待した方はごめんなさい。こちらからお帰りください。 さて、先日のDevelopers.IO 2016において、マイクロWebアプリケーションというテーマでお話させて頂きました。一言で言うと OAuth 2.0 と OpenID Connect 1.0 のお話だったのですが、これらを理解するにあたっては「認証」と「認可」をはっきりと別のものとしてクッキリと認識する必要があります。 まず、ざっくりとした理解 認証と認可は密接に絡み合っている一方で全く別の概念です。正直、理解は簡単ではないと思います。 まず「認証」は英語では Authentication と言います。長いので略して AuthN と書いたりすることもあります。意味としては 通信の相手が誰（何）であ
第一回 認証基盤のこれからを支えるOpenID Connect | オブジェクトの広場
長年、組織領域とインターネット領域の境界で高価なセキュリティ製品を配備し、脅威から資産を守る手法が、世の中のデファクトスタンダードとして、多くの企業で採用されてきました。しかし、「モバイルデバイスの活用」、「クラウドサービス利用の浸透」、「ワークスタイルの変革」などのリクエストによって、その有効性は失われつつあります。また、これらのリクエストに対し、資産ごとにセキュリティ対策を実施すると、コストが非常に高くなる傾向があります。 第一回の本記事では、資産を守るための新たな境界である「アイデンティティ」に注目し、その境界を体現する認証連携方式について解説を行います。そして、数ある認証連携方式の中から2014年2月に標準化された「OpenID Connect」に注目して、仕様説明と有用性を解説したいと思います。 認証基盤のこれまで 認証基盤における認証対象アプリケーションとの連携実装方法を振り返
「匿名化技術とPPDM」関連の最新 ニュース・レビュー・解説 記事 まとめ - ITmedia Keywords
匿名化技術とPPDM（2）： プライバシー保護データマイニング（PPDM）手法の種類、特徴を理解する 現在、プライバシーの侵害なく安全にデータを公開するためにさまざまな手法が考案され始めています。企業が保有するデータには資産価値があるものが多く含まれますが、それらが一部の権限者しか活用できないようでは、商品開発や企画検討、サービス開発に時間がかかることになります。本稿では今後、データを利用する上で理解しておく必要にせまられるであろう、プライバシー保護データマイニングの手法の概要や課題、現状を紹介します。（2015/3/24） 匿名化技術とPPDM（1）： PPDM活用の前に「個人情報」「プライバシー」の今を知る 本連載では、今後、データを活用する際に必須の知識になると考えられているプライバシー保護データマイニング（PPDM）技術の手法を体系的に整理して紹介していきます。第1回の今回は、PP
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
次世代モバイル通信"5G"とは？【第1回】 なぜWi-Fi並みの低電力で10Gbpsの超高速通信を目指すのか : FUJITSU JOURNAL（富士通ジャーナル）
OAuth 2.0 をかみくだく
