パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
認証用トークン保存先の第4選択肢としての「Auth0」
iCARE Developer Meetupは、月次で開催している株式会社iCAREが主催するエンジニア向けのLT勉強会です。18回目の今回は、Ruby on Railsをテーマに行いました。サーバーサイドエンジニアの越川氏からはToken認証機能について。 Rails APIモードで開発するときの認証用のトークンはどこに保存すればいいの問題 越川佳祐氏：私からは、「Rails APIモードにおけるToken認証機能について」というテーマでLT（ライトニングトーク）をしようと思っていたんですが、スライドを作っていて「あれ、これ別にRailsだけの話じゃなくない？」と思ってしまいました。みなさんの中にも、そう思う方がいるかもしれないんですが、もうこれで作っちゃったのでご了承ください。 私は株式会社iCAREで、サーバーサイドエンジニアをしている、越川と申します。Twitterは@kossy0
徳丸試験（ウェブ・セキュリティ基礎試験）の試験情報と勉強方法 - Qiita
ウェブ・セキュリティ基礎試験を受験してきました。 とてもいい資格なので少しでも合格者が増えるように勉強方法含め情報共有します。 ウェブ・セキュリティ基礎試験とは 徳丸本の愛称で有名な体系的に学ぶ 安全なWebアプリケーションの作り方の理解度を問う試験です。 問題作成をご担当されている徳丸先生にちなんで徳丸試験と呼ばれています。 Webアプリケーションを開発するにあたって、知っておくべきセキュリティや脆弱性の知識を身に付けることができます。 「徳丸本読まずしてWebアプリケーションを作るなかれ」と言うぐらい必須の知識です。（私が勝手に言ってるだけです。） 詳細は以下をご覧ください。 https://www.phpexam.jp/tokumarubasic/ 試験の基本情報 試験の形式は以下の通りです。（執筆時点）
攻撃から学ぶCSRF対策 - Qiita
はじめに WEBエンジニアとして成長するために、セキュリティ対策は避けては通れない道ですよね。 僕も含め 「なんとなく知ってる」 という方は多いのではないでしょうか。 大切なWEBサイトを守るためにも、WEBエンジニアとしての基礎を固める為にも、しっかりと学んで一緒にレベルアップしていきましょう。 また、本記事の内容は様々な文献をもとに自身で調べ、試したものをまとめています。 至らぬ点や、間違いがありましたら、コメントにてご指摘をお願いします。 他にも様々な攻撃手法についてまとめているので、興味のある方は読んでみてください。 攻撃から学ぶXSS対策 攻撃から学ぶSQLインジェクション対策 CSRFって何？ CSRF（Cross-Site Request Forgery）とは、サービスの利用者に意図しないHTTPリクエストを送信させ、意図しない処理を実行させる攻撃手法です。 これだけでは分か
Googleに買収されたNestが屋外セキュリティ用の全天候対応カメラ「Nest Cam Outdoor」を発表
Googleが買収したスマートサーモスタットやスマート火災警報器を取り扱うNestは、その後ホームセキュリティ用のネットワークカメラNest Camをリリースし、火災関連だけでなくあらゆるホームセキュリティに対応できるブランドとして成長していきました。そして新たに、Nestは屋外セキュリティ用の全天候対応型カメラ「Nest Cam Outdoor」を発表、今度は屋内だけでなく屋外のセキュリティ製品市場にも参入することが明らかになりました。 Nest's next move is a step into the outdoor home security market | The Verge http://www.theverge.com/2016/7/14/12157504/new-nest-camera-outdoor-home-security-waterproof Nest Cam
Backlog辞めたいけど辞められないから欲しい機能を自分たちで作った | ロードバランスすだちくん
シンジです。シンジは情シスかつセキュリティ責任者なので、Backlogを使う上ではそーゆー立ち位置で評価するのですが、BacklogってSAMLは喋られないし、管理者権限の扱いがあってないような感じだし、ISMS的にいわれるところだと管理者権限の棚卸しとかが絶望でしか無いので、クラウドっぽくAPIを活用することで乗り切ろうとしている施策の話です。 そもそもcloudpackのBacklog利用状況は お客様との案件管理に利用しているのがメインで、自分たちのタスク管理は一部になります。従って、プロジェクトが新規で発生すると「管理者権限」を持ったユーザが新規のBacklogプロジェクトを発行し、「管理者権限」を持ったユーザが、プロジェクトにユーザを追加し、などなどといえばもうお分かりかと思いますが、頻繁に発生する作業の多くに「管理者権限」が必要になるわけです。 シンジ的には管理者は少数であるべ
【勉強会】本音をぶっちゃけ! 帰ってきたセキュリティ三銃士座談会 - toto_1212
「本音をぶっちゃけ! 帰ってきたセキュリティ三銃士座談会 ―2014年を振り返り、2015年を予測する」に行ってきました。 徳丸さん、根岸さん、辻さんというセキュリティ界隈の大御所達のパネルで大変面白い話が聞けました。 スライドが無く聞きながら記録したので雑な点、表現がおかしな点がありますがメモしました。 ・2014年で印象に残ったセキュリティインシデント 徳丸さん オンラインバンキングに対する一連の不正送金 - 法人口座が狙われ始めた やられると銀行が補填してくれない 辻さん ddosサービスを利用した高校生が書類送検 - 800円程度でゲームサイトを落とした booterやリザードストレッサーといったDDosサービスで攻撃をした。 これらのサービスを辻さんはDDos as a Service（DaaS）と呼んでいる。 海外でもそう呼ばれていることもあるそう。 - DDos攻撃のサービス
2011年、これまでの事例にみる脅威とその対策 第2回 - 日本のセキュリティチーム - Site Home - TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
パスワード破りのプロはこうやってアナタのパスワードを見破っている | ライフハッカー・ジャパン
先日、LastPassで発生したセキュリティリスク。改めて、「セキュリティ度の高いパスワードが必須だ」ということを認識した方も多いことでしょう。とはいえ、実際パスワードを設定するとなると、どうしてもパターン化してしまいがち...。これが、ハッカーの標的になってしまうかもしれません。 セキュリティの専門家Roger Grimes氏は、IT系メディア「InfoWorld」で、容易に類推されやすいパスワードについて述べ、パスワードはもはや、よく使われている6～8ケタでは十分でなく、それ以上長いものを設定すべきと指摘しています。 Photo by reidrac. この記事によると、パスワード破りのプロのほとんどは、2分の1の確率でユーザのパスワードに一つ以上の母音が含まれていることを知っているとか。また、数字が含まれている場合、それはたいてい「1」か「2」で、パスワードの最後にくるのだそうです。
最短距離でマルウェア解析職人になる方法 － ＠IT
上野宣 2011/1/12 ■意外と細分化されているセキュリティ分野 実は筆者は、マルウェア解析については素人同然だ。 セキュリティという分野は、一般的には狭い範囲に思われるかもしれない。しかし、Webアプリケーションが専門であったり、ネットワークが専門であったりと、意外と細分化されていて、他の分野のこととなると門外漢であることも多い。 もちろん、最近のマルウェアの仕組みや挙動の概要、バッファオーバーフローやデバッグといった個別の知識や技術は持っている。だが、それだけでは最新のマルウェアの解析まではできないのだ。 ■マルウェア解析の前に立ちはだかる壁 最新のマルウェアを解析するには、マルウェア解析ならではの技術が必要になる。 例えば、現在流通しているほとんどのマルウェアには、実行形式を保ったまま圧縮・難読化を施す「パック」という技術が使われている。まずはこれを展開しないことには、IDA P
実録・4大データベースへの直接攻撃
情報の入れ物、データベースは大丈夫ですか 皆さんこんにちは、川口です。そろそろGumblarの話に飽きてきたところでしょうか。今回は以下の4種類のデータベースで、管理用ポートをインターネットにオープンしているとどうなるかについて調べた結果を取り上げます。いずれも管理用ユーザーのパスワードは「脆弱なもの」に設定されています。 Oracle（1521/tcp） SQL Server（1433/tcp） MySQL（3306/tcp） PostgreSQL（5432/tcp） 右側に書いてある番号が管理用ポート番号です。データベースを管理する場合、これらのポートをインターネットに対してオープンにする必要はないはずです。しかし、これらのポートに対して外部から“直接”接続するインシデントが年に数回は発生しています。 このようなインシデントは、大学のネットワークに接続したサーバがほとんどですが、ホステ
このURLは存在しません。
■ なぜ一流企業はhttpsでの閲覧をさせないようにするのか 「かんたんログイン」などという似非認証方式は、たとえIPアドレス制限を実装したとしても安全でない。仕様が公開されていないからという点の他に、技術的な理由として、少なくとも次の2つがある。 「IPアドレス帯域」と俗称される重要情報が安全に配布されていない。 SSLを必要とするケータイサイトでは、通信経路上の攻撃によってなりすましログインされてしまう。*1 2番目には解決策がない。 1番目については解決策はあるだろうが、携帯電話事業者がサボタージュしていて、実現される見通しがない。これについては、2008年7月27日の日記にも書いたが、その後どうなったかを調べてみたところ、ソフトバンクモバイル以外は、何ら改善されておらず、当時のままだった。 NTTドコモ 「iモードセンタのIPアドレス帯域」のページをhttps:// でアクセスする
優れたフリーウェアでコンピューターを護ろう | WIRED VISION
優れたフリーウェアでコンピューターを護ろう 2004年5月 6日 コメント： トラックバック (0) Michelle Delio 2004年05月06日 本記事は「セキュリティー」特集として再編集されたものです。初出は2004年2月12日です。 『マイドゥーム』(Mydoom)ウイルスのついた電子メールで受信箱が一杯になることはもうないかもしれない。しかし、このワーム型ウイルスはまだ世界中の数多くのコンピューター上で活動し続けているというのが、セキュリティー専門家たちの意見だ。 このウイルスに感染したコンピューターにはバックドアが作られる(日本語版記事)。少しばかりの技術を持った悪意あるハッカーなら、そこから感染マシンにリモート・アクセスして乗っ取り、キーボードの前で実際に操作をしているユーザーができることすべてができるようになる。 いや、それだけではない……もっと厄介なことがある。 「
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SPAセキュリティ入門
DeNA の AWS アカウント管理とセキュリティ監査自動化
第11回名古屋情報セキュリティ勉強会(#nagoyasec)