MFA（多要素認証）を突破するフィッシング攻撃の調査 | セキュリティ研究センターブログ
はじめに 弊社では、最近BEC（ビジネスメール詐欺）のインシデント対応を行いました。この事案に対応する中で、マイクロソフト社（*1）やZscaler社（*2）が22年7月に相次いで報告したBECに繋がる大規模なフィッシングキャンペーンに該当していた可能性に気づきました。マイクロソフトによると標的は10,000 以上の組織であるということから、皆様の組織でもキャンペーンの標的となっている可能性や、タイトルの通りMFA（多要素認証）を実施していたとしても、不正にログインされる可能性もあり、注意喚起の意味を込めてキャンペーンに関する情報、および実際に弊社での調査について公開可能な部分を記載しています。 *1: https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm
あやふやだった「2段階認証」と「2要素認証」の違いを調べてみた
「2段階認証」と「2要素認証」という言葉はしばしば混同して使われるようですが、厳密にはこれらは違う意味です。では何が違うのでしょうか。セキュリティ認識を周囲とそろえるためにも言葉の定義はしっかり学んでおきましょう。 今回は筆者の個人的な“思い違い”を正したいと思います。この連載で何度も取り上げている、パスワード漏えい前提の世界における対策のひとつ「2要素認証」について、過去の回では「2段階認証」という言葉も混在して使っていました。 この2つは厳密には異なるものだということは理解しつつも、多くのサービスでは「2段階認証」という名称を使うことが多いため、分かりやすさを優先して「2段階認証」と記載していたと思います。 こうした経緯もあり、先日筆者は「多くのサービスにおいて2段階認証は2要素認証の要件を満たしているので、あまりこの2つの違いはないのではないか」とSNSに投稿したところ、セキュリティ
【2022年版ベストプラクティス】AWS IAMまとめ - Qiita
はじめに AWSのアクセス制御サービスであるIAMについて、2022年7月時点での機能および使用法を、初学者でも理解しやすいことを心掛けてまとめました。 IAMをよく分からないまま適当に設定するとセキュリティ的にまずいので、これを機に設定を見直して頂き、セキュリティレベル向上に貢献できれば幸いです。 特に、後述するIAM設定手順は、AWSに登録して最初に実施すべき設定に相当するため、セキュリティに興味がなくとも一度は実施することをお勧めします。 また公式のベストプラクティスは丁寧にまとめたつもりなので、初学者以外でもAWSのセキュリティ確保に興味がある方は、ぜひご一読頂けると嬉しいです。 IAMとは 「Identity and Access Management」の略です。 公式ドキュメントによると、IAMは「誰」が「どのAWSのサービスやリソース」に「どのような条件」でアクセスできるかを
個人開発(1人システム)担当者がサイバー攻撃に備える7つの心がけ - Qiita
先日、私がワードプレスで運営しているサイトでサイバー攻撃を受けました。 サイトのいくつかのファイルが改ざんされ、管理系ページにアクセスできない状態に陥りました。 その後、なんとか復旧できたものの、インシデント対応中は生きた心地がせず、手の震えと動悸が凄まじかったです。 今回サイバー攻撃による障害の経験から学んだ、サイバー攻撃に備える7つの心構えを説明します。 ※本記事は個人開発でサービスを運営している方や、1人でシステム担当を行っている人を対象にした記事です。 いきなりサイトアクセスが403エラー 私は個人でレンタルサーバーを借りてワードプレスで構築したサイトをいくつか運営しています。 その中のうち、ある特化ジャンルの情報を発信しているサイトの管理画面にアクセスした時、異変が起きました。 403エラーです。 はじめはレンタルサーバー側のトラブルを疑いました。 しかし、ユーザー向けの記事ペー
Laravel の認証・認可パッケージが多すぎてわけわからんので図にまとめた - Qiita
元ネタ @localdisk さんの記事です。 こちらで概ね適切に説明されているものの，文章のみで図が無くて直感的に把握しづらいので，初心者にもすぐ飲み込ませられるように図に描き起こしてみました。 図 解説 illuminate/auth: 最小限の認証認可コアロジック コアコンポーネント群の laravel/framework に含まれているものです。 Socialite 以外のすべてのパッケージが，実質このコアに依存していることになります。 以下の記事でこのパッケージの詳細について説明しているので，ここでは端折って説明します。 伝統的 Cookie ベースのセッション認証 こちらでも解説している， 「Cookie に識別子を載せ，それに対応する情報はサーバ側のファイルに記録する」 という手法に近いものです。 実装は illuminate/session にあり， PHP ネイティブのセ
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？
パスワードマネージャのLastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表。パスワードレスの時代にパスワードマネージャの存在意義はどうなるのか？ LastPassと1Passwordが相次いでFIDO/WebAuthnへの対応を発表しました。 Passwordless is possible. Introducing Passwordless login by LastPass. The first password manager committed to a FIDO-supported #Passwordless future. Learn more: https://t.co/8UKhZPrkcZ pic.twitter.com/Nzk3F7payK — LastPass (@LastPass) June 6, 2022 We’ve joined
AWS認証情報が盗まれる2つのライブラリ改ざんについてまとめてみた - piyolog
2022年5月24日（米国時間）、SANS ISCのフォーラムでPython向けライブラリの1つ（その後PHP向けライブラリでも判明）が第三者により不正なコードを含むアップデートが行われていたとして注意を呼び掛ける投稿が行われました。その後この行為に関わっていたとして実行者とみられる人物が顛末を公開しました。ここでは関連する情報をまとめます。 改ざんされた2つのライブラリ 今回影響が確認されたのPython Package Index（Pypi.org）で公開されている「ctx」、Packagist（Packagist.org）で公開されている「PHPass」の2つ。 影響を受けたライブラリ インストール実績 改ざんされたとみられる期間 概要 ctx 約75万回 2022年5月14日～5月24日頃 辞書(dict型オブジェクト)を操作するユーティリティを提供するPython向けのパッケージ
いざというときのために、固定電話でiCloudの2ファクタ認証を
iCloudのサインインに「2ファクタ認証」を利用していますか? 2ファクタ認証は2段階認証とも呼ばれる、2ステップでユーザ認証を進めるしくみのこと。認証手続きを二重化すれば安全性は高まり、不正ログインや成りすましの防止に役立ちます。 iCloudが用いる2ファクタ認証では、1段階目の認証にユーザID(Apple IDとして利用しているメールアドレス)とパスワードを、2段階目の認証にApple製デバイスへ通知した6桁の数値を利用します(確認コード)。iPhoneの場合、ふだん利用している携帯電話番号を2ファクタ認証用に登録しておくと、確認コードをSMSで受け取ることも可能です。 しかし、確認コードを通知する手段はSMSしかないわけではありません。音声(数値の読み上げ)を選択することもできるので、そうなるとSMSを扱えない電話回線も2段階目の認証に使えることになります。 実際、固定電話は2フ
ORA-12638 資格証明の取出しに失敗しました
Oracleのリプレース(12c→19cへのバージョンアップ)対応中に「Ora-12638 資格証明の取出しに失敗しました」が発生した。 「ORA-12638 資格証明の取出しに失敗しました」 このエラー自体は過去に経験したことがあり、原因も対策もググれば大量に出てくる。 Oracleに接続するときには通常、スキーマ名とパスワードを指定するが、Oracleをインストールしたサーバを使用する場合は > connect / as sysdba のように指定することで、dba権限でOracleに接続することができる。(OS認証) OracleクライアントでORA-12638が発生した場合、このOS認証を無効にする設定をすることでエラーを回避できる。OracleクライアントのSQLNET.ORAの内容を下記のように書き換えるだけだ。 SQLNET.AUTHENTICATION_SERVICES=
サーバサイドでJWTの即時無効化機能を持っていないサービスは脆弱なのか？ - くろの雑記帳
きっかけ 昨年(2021年9月ごろ)に徳丸さんのこのツイートを見て、「2022年にはJWTを用いたセッション管理に代表される、ステートレスなセッション管理は世の中に受け入れられなくなっていくのだろうか？」と思っていました。 OWASP Top 10 2021 A1に「JWT tokens should be invalidated on the server after logout.」（私訳:JWTトークンはログアウト後にサーバー上で無効化すべきです）と書いてあるけど、どうやって無効化するんだ? ブラックリストに入れる?https://t.co/bcdldF82Bw— 徳丸 浩 (@ockeghem) 2021年9月10日 JWT大好きな皆さん、ここはウォッチしないとだめですよ。これがそのまま通ったら、ログアウト機能でJWTの即時無効化をしていないサイトは脆弱性診断で「OWASP Top
電子メール送信に関する技術
ふと気になって調べたことの備忘メモです ✍ （2022/4/2追記）Twitterやはてブで色々とご指摘やコメントを頂いたので、それに基づいて加筆と修正をおこないました 特に、幾つかの技術については完全に誤った説明をしてしまっており、大変助かりました…ありがとうございました🙏 （2024/8/13追記）今年に入って、実務で使える メール技術の教科書という本が出版されています🎉 私も買って読みましたが、電子メールに関するトピックについて広くカバーされていました パブリッククラウドに関する記述は少な目ですが、メールサーバーを自身で構築する方法が紹介されていたりなど、より基礎的な内容に主眼をおいている本だと思います なぜ調べたか メール送信機能のあるWebアプリケーションを開発・運用していると、 特定のアドレスに対してメールが届かないんだが とか MAILER-DAEMONなるアドレスからメ
「ORA-12638資格情報の取り出しに失敗しました」の対処法 | Windowsの機能紹介・トラブル対応のIT備忘録
ORA-12638 資格証明の取出しに失敗しましたの原因 sqlnet.oraで、SQLNET.AUTHENTICATION_SERVICES=(NTS)が設定されていて、WindowsOS認証が正常に行なわれない場合に発生します。 Oracleクライアントインストール後に接続確認を行ったタイミングで、発生する場合が多いです。 ORA-12638「資格証明の取出しに失敗しました」の対処法 sqlnet.oraファイルを開いて、SQLNET.AUTHENTICATION_SERVICESパラメータの認証方式を採用しない(NONE)に設定するか、コメントアウト(#)して上書き保存します。 対処① SQLNET.AUTHENTICATION_SERVICES= (NTS） ↓ SQLNET.AUTHENTICATION_SERVICES= (NONE） 対処② SQLNET.AUTHENTICA
AWS SESで信頼性の高いメール送信(SPF, DKIM, DMARC) with Terraform - 電気ひつじ牧場
メール認証の仕組みと、SESでのTerraformを使った設定方法について紹介します。 メール認証の種類 メールメッセージ MAIL FROM FROM SPF(Sender Policy Framework) DKIM(DomainKeys Identified Mail) DMARC SESの設定 SESで利用するドメイン認証 DKIM設定 DMARC with DKIM DMARC with SPF 参考 メール認証の種類 メールでは送信元のなりすましを検出するための認証の仕組みとして、主に以下の3つがあります。それぞれRFCで定められています。 SPF(Sender Policy Framework) DKIM(DomainKeys Identified Mail) DMARC(Domain-based Message Authentication, Reporting, and
WinSCP -Free SFTP, FTP and SCP client for Windows-
WinSCPは、MS-Windows上で動く オープンソースでグラフィカルなFTP、FTPS、SFTPクライアントプログラムです。旧来のSCPプロトコルもサポートします。このプログラムの主な機能は、ローカルコンピューターとリモートコンピュータ間で安全にファイルをコピーすることです。これに加え、WinSCPはスクリプトと基本的なファイルマネージャー機能を提供します。 このページには日本語ユーザーの為の短い案内が書かれています。WinSCPのドキュメントは ほとんど英語だけです。このページからリンクしている多くのページも英語です。 WinSCP の取得とインストール 特徴 ファイル操作 リモートコンピューターに接続 ユーザーインターフェイス WinSCPの日本語版が入手可能です。WinSCP download page へアクセスし、“Installation package”をクリックして下
筆者がGmailの「2段階認証」を止めるまで 身近なところからセキュリティ意識を改革しよう
毎年2月は「サイバーセキュリティ月間」です。内閣サイバーセキュリティセンター（NISC）などの組織が、さまざまな方法でセキュリティ意識を変えるコンテンツを発表しています。 セキュリティ意識を改善する上では従来の手法に固執するのではなく、小さなことでもいいので「何かを変える」ことが重要です。個人的にはこの世界は「その場にとどまるためには、全力で走り続けなければならない」のではないかと思っています。サイバー攻撃が激しくなる昨今、全力でセキュリティ意識を高め続けて、ようやく対策が追い付くというのが実情でしょう。 もちろん筆者自身も今月大きな一歩を踏み出しました。それは「『Gmail』の2段階認証を止める」ことです（？）。
Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今回はそのようなタイプの脆弱性についての解説を行います。なお、IDaaSを用いずに自前でログイン機能を実装しているケースを複数パターン想定しています。 はじめに ログイン機能の仕様パターンとセキュリティ
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
Microsoft Entra 認証を構成する - Azure App Service
Note 2024 年 6 月 1 日より、新しく作成されたすべての App Service アプリには、名前付け規則 <app-name>-<random-hash>.<region>.azurewebsites.net を使用して一意の既定のホスト名を生成するオプションが備わります。 既存のアプリ名は変更されません。 例: myapp-ds27dh7271aah175.westus-01.azurewebsites.net 詳細については、App Service リソースの一意の既定のホスト名に関するページを参照してください。 この記事では、アプリで Microsoft ID プラットフォーム (Microsoft Entra) を認証プロバイダーとして使用してユーザーがサインインするように、Azure App Service または Azure Functions の認証を構成する方
AWSアカウントを作ったときこれだけはやっとけって言うIAMの設定
はじめに 個人でも仕事でもAWSを使っている時に気になるのはセキュリティですよね。 万が一アクセスキーなどが漏れてしまい、それが何でも出来ちゃうユーザーだったら もう大変なことになります。 ただAWSのIAMはAWSの中でも一番難しいサービスなのでは？と思うくらい複雑です。 その中でも簡単ですぐにも実践出来るTipsを4つ紹介します。 目次 MFA認証してない時の権限を最小にする IAMユーザーのMFAデバイスを有効化する ユーザーに権限を委任するロールを作成する CLIを使う時も、MFA認証してロールを切り替える 1. MFA認証してない時の権限を最小にする まず、下記のポリシーを作業用のユーザーに紐付けます。 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iam:ListVirtu
Amazonのアカウントを安全に保つために、今すぐチェックしたい10項目 | ライフハッカー・ジャパン
2段階認証は間違いなく使ったほうがいいAmazonのアカウントを安全に利用するには、今すぐ2段階認証を有効にしたほうがいいです。 どんな人のアカウントも不正侵入される可能性はありますが、強力なパスワードと2段階認証の組み合わせであれば、ハッカーはログインするのにパスワードと6桁のコードの両方が必要になり、侵入し難くなります。 2段階認証を有効にするには、「Google Authenticator」や「Authy」、または「1Password」やAppleの「iCloudキーチェーン」などビルトインの2段階認証のパスワードマネージャーのようなアプリを使うこともできますよ。 このようなアプリで設定したら、Amazonの2段階認証のページに行き、「有効にする」をクリックしましょう。 ワンタイムパスワードを受け取るのに、電話番号を使用することもできますが、アプリよりも安全性はかなり低くなるので、2
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
