OktaでPasskeyが利用できるようになっていたのでいろいろ確認してみた
こんにちは！IDチームのたつみんです。 今年の「世界パスワードデー」である5月5日にApple、Google、Microsoftが共同で発表したPasskeyの取り組みが話題になったことを覚えている人も多いのではないでしょうか。 このPasskeyがiOS16で利用可能となったので早速Oktaでどのような挙動となるかを試してみました。 Passkeyとは はじめにざっくりとしたPasskeyの概要について触れておきます。 簡易な表現をすると、PasskeyはFIDO AllianceによるFIDO (WebAuthn )という標準規格で作成したキーをマルチデバイスで利用できるよう応用したものだと言えます。 これまでFIDOは以下のような課題があり、あまり一般的な認証要素とは言えませんでした。 Yubikeyに代表されるようなセキュリティキーを導入するハードル Apple Face ID/T
Twilio breach let hackers gain access to Authy 2FA accounts
Twilio’s investigation into the attack on August 4 reveals that hackers gained access to some Authy user accounts and registered unauthorized devices. Authy is a two-factor authentication (2FA) service from Twilio that allows users to secure their online accounts where the feature is supported by identifying a second time via a dedicated app after typing in the login credentials. When logging into
SaaS におけるテナントリソースへのリクエストルーティングを JWT を用いて実現する | Amazon Web Services
Amazon Web Services ブログ SaaS におけるテナントリソースへのリクエストルーティングを JWT を用いて実現する みなさんこんにちは。ソリューションアーキテクトの福本です。 本投稿のテーマは Software as a Service（SaaS）におけるルーティングです。 SaaS ではテナントごとにサーバーなどのリソースが分離されていることがあります。そのため、各テナントに属するユーザーからのリクエストを適切なリソースへとルーティングする必要があります。 具体的なルーティングの話に入る前に、SaaS のテナント分離モデルについて説明をします。SaaS では、テナントの分離モデルとしてサイロ、プール、ブリッジモデルが存在します。また、ユーザーがサブスクライブしている利用プラン (ティア) によって、リソースの分離形態が変わるような、階層ベースの分離もあります。 サイ
AWS SSO を用いた Amazon EKS への迅速なシングルサインオン | Amazon Web Services
Amazon Web Services ブログ AWS SSO を用いた Amazon EKS への迅速なシングルサインオン 訳注：2022年7月に、AWS Single Sign-On は AWS IAM Identity Center に変更されました。 この記事は A quick path to Amazon EKS single sign-on using AWS SSO (記事公開日: 2022 年 6 月 14 日) を翻訳したものです。 Software as a Service (SaaS) とクラウドの導入が急速に進む中、アイデンティティは新しいセキュリティの境界になっています。AWS Identity and Access Management (IAM) と Kubernetes role-based access control (RBAC) は、強力な最小権限のセ
Office 365のアカウントを多要素認証すら回避して乗っ取るAiTMフィッシング攻撃が1万以上の組織を標的にしていたとMicrosoftが公表
Microsoftのセキュリティ研究チームが、HTTPSプロキシ技術を使ってOffice 365アカウントを乗っ取る大規模なフィッシング攻撃キャンペーンである「Adversary-in-the-Middle(AiTM)」が確認できたと発表しました。この攻撃は多要素認証を回避することが可能で、2021年9月以来1万以上の組織が標的になっているとのことです。 From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud - Microsoft Security Blog https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-ait
Cloudflare Workers でも Firebase Authentication を使えるぞ！！
Cloudflare Workers では KV だったり Durable Objects や R2 などといった外部ストレージへアクセスをして何かしら操作するようなプログラムを動かすことができます。しかし、誰でもその操作ができてしまうとセキュリティ面や使用料の面で問題が発生します。 interface Env { ANYBUCKET: R2Bucket } // 誰でもファイルアップロードできちゃう Worker :pien: export default { async fetch(request: Request, env: Env) { const formdata = await request.formData() const imagedata = formdata.get("imagedata") if (imagedata === null) { throw new Er
【AWS SSO】AzureAD+AWSSSOで、弊社のAWSアカウントにおけるユーザー管理をAzureADに集約しつつ、アクセス権限をアカウント管理者側で管理できるようにしてみた - Qiita
【AWS SSO】AzureAD+AWSSSOで、弊社のAWSアカウントにおけるユーザー管理をAzureADに集約しつつ、アクセス権限をアカウント管理者側で管理できるようにしてみたAWSSSOAzureADユーザー管理AWSSSO うぇっしゃっしゃーす。 クラウドアーキテクチャチームの齋藤です。 AWSをご利用の方の中で、マルチアカウント運用されている方ってどれくらいいらっしゃるでしょうか。 アカウント一つならまだしも、いくつもAWSアカウントがあって個別にIAMユーザー発行とかしてると退職者アカウントの削除忘れとかあったり、色々面倒ですよね。 え？わからないって？ ほんじゃぁ、ソースコードのいろんなところに同じような処理をコピペしたせいで、修正加えるときに全部手作業で直さないといけないめんどくささを思い出してください。 めんどいでしょ？ 同じような処理は一か所にまとめて使いまわせるほうが
AWSが「IAM Roles Anywhere」発表。一時的にAWSへのアクセス権をAWSの外側にあるワークロードに付与
AWSが「IAM Roles Anywhere」発表。一時的にAWSへのアクセス権をAWSの外側にあるワークロードに付与 Amazon Web Services（AWS）は、AWSの外側にあるワークロードに対して一時的にAWSリソースへのアクセス権を付与できる「IAM Roles Anywhere」を発表しました。 : Need to give workloads outside of AWS temporary access to AWS resources? Announcing IAM Roles Anywhere, allowing you to provide temporary AWS credentials to workloads outside AWS using the same IAM roles & policies you configured for your
Azure AD Verifiable Credentialsを活用した分散型ID（DID）とは？慶應大でも導入
Azure AD Verifiable Credentialsを活用した分散型ID（DID）とは？慶應大でも導入 2021.05.28 活用事例 Azure, DID はじめに 一般的に、私たちのアイデンティティ（名前や住所といった属性の集合）や個人を特定するための識別子（Identifier）は、会社や行政など特定の機関によって発行され、集中的に管理されています。デジタル化が進むにつれて様々なサービスを利用できるようになり、IDデータも増えました（例えばTwitterとFacebookを利用している人はIDをふたつ持っています）。 IDの管理が特定組織に依存しているため、大規模な情報漏洩・不正利用のリスクがあり、実際に様々な会社や公的機関から一度に多くの個人情報が漏洩する事件がたびたび報じられています。 こうしたアイデンティティや識別子の管理手法として、分散型モデルが提案されており、分散
AWS IAMリソース パスのススメ | DevelopersIO
こんにちは。サービスグループの武田です。 今回は使いどころがイマイチつかめない（※個人の感想です）IAMリソースの「パス」について紹介します。 IAMがなんなのか、というのは夏目のエントリなどを参照してください。 普段からAWSを使っている方でもIAMの「パス」を意識している人は、あまり多くないのではないでしょうか。というのも、別に意識しなくてもAWSは使えますし、マネジメントコンソールからIAMロールなどを作成する際には設定欄がなかったりします。ぶっちゃけ影が薄いです。 IAMの「パス」を設定する場合は、AWS CLIやSDKを使用することになります。例として、CLIでIAMロールを作成するのであれば次のように作成できます。 $ aws iam create-role --path '/cm-role/' --role-name cm-example --assume-role-poli
Two-Factor Authentication for All Otter Plans | Otter.ai
We realize your conversations may contain some of your most sensitive and confidential information and that’s why we are committed to keeping your information private and secure. Starting today, two-factor authentication is now available for all Otter plans (Basic, Pro, Business, and Enterprise) at no additional cost. What is two-factor authentication? Two-factor authentication is an added layer o
Cliam - Multi Cloud IAM Permissions Enumeration Tool
Description Cliam is a simple cloud permissions identifier. There are two main components to the CLI. Most of the enumerated permissions are list, describe or get permissions. Only permissions that does not require a specific resource are tested. enumerate which can be used to enumerate specific permissions (recommended) Some service providers have service groups that can check for permissions for
Firebase Authentication 7つの落とし穴 - 脆弱性を生むIDaaSの不適切な利用 - Flatt Security Blog
はじめに こんにちは、株式会社 Flatt Security セキュリティエンジニアのぴざきゃっと (@pizzacat83) です。 認証機構を自作せずに導入できる Firebase Authentication は様々なアプリケーションにて利用されていますが、その特性を十分に理解せずに導入すると、実は不具合や脆弱性が生じることがあります。そこで本稿では Firebase Authentication を利用するうえで、注意しなければ不具合や脆弱性に繋がりうる 7 個の「落とし穴」について解説します。 はじめに IDaaS の利点と欠点 落とし穴 1. 自己サインアップ リスク 対策 不十分な対策 落とし穴 2. ユーザーが自身を削除できる 対策 落とし穴 3. 他人のメールアドレスを用いたユーザー登録 リスク リスク 3-1. メールアドレス誤入力によるユーザー乗っ取り リスク 3-2
Microsoft and Okta are investigating potential attacks by the Lapsus$ hacking group
Microsoft and identity authentication company Okta are both investigating potential attacks that may have been carried out by the South American hacking group Lapsus$. The collective claims to have stolen source code for Bing, Cortana and internal Microsoft projects from a server. Lapsus$ released a torrent on Monday that's said to contain 37GB of source code for around 250 projects, according to
Authentication firm Okta says it has found no evidence of new attack after hackers claim breach
Okta is an authentication and identity management software company that is used by more than 15,000 organizations. Hacking group Lapsus$ posted screenshots on its Telegram channel claiming it had access to a number of Okta systems.The company said it had "detected an attempt to compromise the account of a third party customer support engineer working for one of our subprocessors" in January, but h
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ドコモメールに送信ドメイン認証技術「DMARC」「DKIM」を導入、詐欺メール低減へ
GitHub Will Require All Code Contributors To Use 2FA - Slashdot
KrbRelay - Framework For Kerberos Relaying
Okta security breach may affect Mac & iPhone enterprise users - 9to5Mac
IAM Vulnerable - Use Terraform To Create Your Own Vulnerable By Design AWS IAM Privilege Escalation Playground