Webサービスにおけるログイン機能の仕様とセキュリティ観点 - Flatt Security Blog
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「ログイン機能」の実装パターンをいくつか示し、その「仕様の中で起きうる脆弱性」とその対策について解説していきます。 「ログイン機能」はToB、ToC問わず多くのWebアプリケーションで実装されている機能で、XSSやSQL Injection、Session Fixationといったような典型的な脆弱性の観点については、なんらかの解説を見たことのある方も多いと思います。 しかし、「仕様の脆弱性」というのはあまり多く語られていない印象です。今回はそのようなタイプの脆弱性についての解説を行います。なお、IDaaSを用いずに自前でログイン機能を実装しているケースを複数パターン想定しています。 はじめに ログイン機能の仕様パターンとセキュリティ
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
Microsoft Entra 認証を構成する - Azure App Service
Note 2024 年 6 月 1 日より、新しく作成されたすべての App Service アプリには、名前付け規則 <app-name>-<random-hash>.<region>.azurewebsites.net を使用して一意の既定のホスト名を生成するオプションが備わります。 既存のアプリ名は変更されません。 例: myapp-ds27dh7271aah175.westus-01.azurewebsites.net 詳細については、App Service リソースの一意の既定のホスト名に関するページを参照してください。 この記事では、アプリで Microsoft ID プラットフォーム (Microsoft Entra) を認証プロバイダーとして使用してユーザーがサインインするように、Azure App Service または Azure Functions の認証を構成する方
AWSアカウントを作ったときこれだけはやっとけって言うIAMの設定
はじめに 個人でも仕事でもAWSを使っている時に気になるのはセキュリティですよね。 万が一アクセスキーなどが漏れてしまい、それが何でも出来ちゃうユーザーだったら もう大変なことになります。 ただAWSのIAMはAWSの中でも一番難しいサービスなのでは？と思うくらい複雑です。 その中でも簡単ですぐにも実践出来るTipsを4つ紹介します。 目次 MFA認証してない時の権限を最小にする IAMユーザーのMFAデバイスを有効化する ユーザーに権限を委任するロールを作成する CLIを使う時も、MFA認証してロールを切り替える 1. MFA認証してない時の権限を最小にする まず、下記のポリシーを作業用のユーザーに紐付けます。 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iam:ListVirtu
Amazonのアカウントを安全に保つために、今すぐチェックしたい10項目 | ライフハッカー・ジャパン
2段階認証は間違いなく使ったほうがいいAmazonのアカウントを安全に利用するには、今すぐ2段階認証を有効にしたほうがいいです。 どんな人のアカウントも不正侵入される可能性はありますが、強力なパスワードと2段階認証の組み合わせであれば、ハッカーはログインするのにパスワードと6桁のコードの両方が必要になり、侵入し難くなります。 2段階認証を有効にするには、「Google Authenticator」や「Authy」、または「1Password」やAppleの「iCloudキーチェーン」などビルトインの2段階認証のパスワードマネージャーのようなアプリを使うこともできますよ。 このようなアプリで設定したら、Amazonの2段階認証のページに行き、「有効にする」をクリックしましょう。 ワンタイムパスワードを受け取るのに、電話番号を使用することもできますが、アプリよりも安全性はかなり低くなるので、2
iCloudキーチェーンからパスワードを取り出す方法 | ライフハッカー・ジャパン
モバイルバッテリーとは呼べない。「ほぼポタ電」なコレ1台で有事の時もアウトドアも大活躍!【AmazonスマイルSALE】
Twitterのパスワードを忘れたときに確認する方法、リセットする方法
Twitterでパスワードを忘れたときの対処法 Twitterアカウントのパスワードを忘れてログインできずに困ったときは、まずiPhoneやAndroid、Webブラウザのパスワード保存機能を確認しましょう。それでも見つからず、自力で思い出せないときはパスワードをリセット（再設定）して対処します。 この記事では、はじめに「パスワードを確認する方法」、次に「パスワードをリセットする方法」の順番で解説します。 Twitterのパスワードを確認する方法 Twitterのパスワードを忘れても、すぐあきらめずに確認できるか試してみましょう。使用中の端末で初めてTwitterにログインした際にパスワードを保存していれば発見できるはずです。パスワードをリセットするよりも手間は掛からないので、「確認して見つかればラッキー、ダメだったらリセット」という順番で対処することをおすすめします。 iPhoneでTw
Twitterアカウントを電話番号なしで作成する方法 - ロックされた時の認証はどうなる？
Twitterの新規アカウント作成をする際、「電話番号は重要な個人情報だから流出するのが怖い」と悩んでいませんか。Twitterでは、電話番号の代わりにメールアドレスを登録すればアカウントを作ることが可能です。 電話番号なしでTwitterアカウントを新規作成する方法 Twitterで新規アカウントを作成する際に必要なのは、アカウント名と電話番号またはメールアドレス、生年月日とパスワードです。電話番号なしで登録する場合は、メールアドレスを入力すれば問題ありません。 ただし、既存のTwitterアカウントに登録されているメールアドレスと同じものは流用できません。Twitterには未使用のメールアドレスを別途用意する必要があります。 【新規-1】初めてTwitterアカウントを作成する場合は、Twitterアプリを起動して「アカウント作成」をタップします 【追加-1】別のアカウントを追加作成す
"JWT=ステートレス"から一歩踏み出すための考え方
おはようございます、ritouです。 この話に乗っかっていきます。 3行で ログアウト時にJWTを無効化できない実装は今後脆弱性診断で「OWASP Top 10 2021違反」と指摘されるようになりそう(今も個別にされてるかもしれないけど) JWTは単純なフォーマットなので、ステートレスなセッション管理においてログアウトしたときに文字列自体を無効化できない件は独自エンコード方式(一般的にフレームワークのCookieストアと呼ばれているもの)でも起こり得る 「セッションID vs JWTで内包」 以外にも 「セッションIDをJWTに内包」もあり得る。既存の機能を残しつつ「JWTで武装」する選択肢も考えてみてはどうか。 ステートレスなセッション管理でログアウトの際に文字列自体を無効化できない問題 これは前から言われていますし、駆け出し何とか勢のQiita記事に書かれるぐらいには一般的です。 2
GitHubがパスワード認証を廃止するらしいので - Qiita
GitHubでは2021年8月13日にパスワード認証が廃止されるそうです。 https://github.blog/2020-12-15-token-authentication-requirements-for-git-operations/ パスワード認証が廃止された場合、以下のようなメッセージが表示されるようです。 (2021年7月28日のBrownoutsで確認) $ git clone https://github.com/username/repository.git Cloning into 'repository'... Username for 'https://github.com': username Password for 'https://username@github.com': remote: Password authentication is tempo
GitHubでhttpsのパスワード認証が廃止された。Please use a personal access token instead. - Qiita
GitHubでhttpsのパスワード認証が廃止された。Please use a personal access token instead.GitGitHub $ git push origin branch名 remote: Support for password authentication was removed on August 13, 2021. Please use a personal access token instead. remote: Please see https://github.blog/2020-12-15-token-authentication-requirements-for-git-operations/ for more information. fatal: unable to access 'https://github.com/名前/リ
Windows 10のライセンス認証、その仕組みと方法を解説
Windows 10の「ライセンス認証」とは Windows 10の「ライセンス認証」は、使用中のWindows 10が正規品であり、ライセンス条項で許可されているデバイス数を超えて使われていないことを確認するための手続きです。Windows 10のライセンス認証方式には、プロダクトキーとデジタルライセンスの2種類があります。どちらもMicrosoftアカウントと紐付ける（リンクさせる）ことで、ライセンスを管理しやすくなります。 ライセンス認証されているか確認する方法 まずは自分のPCがライセンス認証されているか、状態を確認する方法を紹介します。以下、検証にはWindows 10 バージョン21H1（May 2021 Update）を用いています。 【1】①「スタート」メニューを開き、②「設定」をクリックします 【2】Windows 10の設定画面が表示されるので、①「更新とセキュリティ」
OAuthにおける認可コード横取り攻撃とその対策
OAuthにおける認可コード横取り攻撃とその対策 Jul 5, 2021 前回の記事で示したように、カスタムURLスキームを偽装した不正アプリは正規アプリへのディープリンクを乗っ取れる。この挙動の悪用シナリオとして、正規アプリと認可サーバー間のOAuthフローにおける認可コード横取り攻撃が知られている。この攻撃への対策を把握するためにiOS環境でシナリオを再現し、PKCEの有効性を確認した。 要約 OAuth 2.0の拡張機能であるPKCEを導入することで認可コード横取り攻撃を無効化できる。OAuth 2.0の仕様では、認可サーバーはネイティブアプリをクライアント認証できない。そのため、認可サーバーは認可コードを横取りした不正アプリと正規アプリを識別できない。しかし、PKCEの仕組みにより認可サーバーは正規アプリを識別できるようになり、認可コード横取り攻撃の検知が可能となる。 ネイティブア
マッチングアプリ「Omiai」会員情報管理サーバーへの不正アクセスについてまとめてみた - piyolog
2021年5月21日、ネットマーケティングは同社が運営するマッチングアプリ「Omiai」の会員情報の一部が不正アクセスにより、流出した可能性が高いと発表しました。ここでは関連する情報をまとめます。 171万件の年齢確認書類画像が流出 www.net-marketing.co.jp 不正アクセスを受けたのはOmiaiの会員情報を管理するサーバー。意図しない挙動がサーバー上で確認され、その後内部点検から不正アクセスの痕跡を発見。 流出した情報は法令で確認が義務づけられた年齢確認書類の画像データ。通信ログ分析から数回にわたり画像データが外部へ流出したと判明。流出した画像データの約6割は運転免許証で、画像データの暗号化も行っていなかった。*1 当初流出の可能性と公表していたが、8月11日の第三報では流出が確認されたことを公表した。 流出アカウント件数 171万1756件 （会員累計数は20年9月末
Let's Encryptのルート認証局移行についてちょっと調べてみた - Qiita
私も大変有り難く利用させてもらっている、みんな大好きLet's Encryptはいろんな方の寄付のおかげで無料で利用できるSSLサーバー証明書の発行サービスですが、何やらルート認証局の移行が話題になっているので、ちょっと調べてみました。 問題の概要は、こちらのブログでとても詳しく解説されており、とても参考になりました。ありがとうございます。 公式から出ている説明だと、出てくる証明書の関係がわかりにくく、図もちょっと間違っていたので、別の図を起こしました。簡単には、DST Root X3ルート証明書が期限切れを迎えそうなので、新しいISRG Root X1ルート認証局に移行したいわけです。 certbotを使っていると /etc/letsencrypt/archive/ドメイン/ に発行された証明書、チェーン、秘密鍵の履歴が残りますが、その時期を頼りにどうなっていたのか見てみます。 2020
SMS認証はダメ。セキュリティ対策の注意点を徹底解説 | ライフハッカー・ジャパン
セキュリティの甘かったSMSサービスLucky225さんはMediumで次のように説明しています。 2021年3月11日（木）のある時点まで、NetNumberは、あらゆる携帯電話番号のNNIDの再割り当てや乗っ取りを、認証も検証を行なわずに許可していました。 おそらく、この筆者やほかのジャーナリストから説明を求められたNetNumberは、内部調査を行ない、それが事実であることがわかると、一時的に携帯電話番号の乗っ取りをできなくして、最初から何の問題もなかったかのように偽装しようとしたのだと思われます。 （中略） 携帯電話番号の代わりにVoIP番号を使ってさまざまなサービスを利用している人たちが、今回の攻撃では脅威にさらされることになりました。 一方で、プライバシーを気にせずに本当の携帯電話番号でサービスを利用している人たちのほうがむしろ安全だったのです。 SMSを別の電話番号に転送する
iPhoneとAndroidのFacebookアプリでセキュリティキーを使う方法
Malwarebytesは3月22日(米国時間)、「How to enable Facebook's hardware key authentication for iOS and Android - Malwarebytes Labs｜Malwarebytes Labs」において、、iPhoneおよびAndroidのFacebookアプリでハードウェアキー認証を有効にする方法を伝えた。ハードウェアキー認証を使う方法は二要素認証の中で特に安全なオプションと説明している。 取り上げられている設定方法は次のとおり。 メニューから「設定」を選択。 セキュリティから「セキュリティとログイン」を選択。 二要素認証から「二要素認証を使用」を選択。 セキュリティの強化方法を選択から「セキュリティキー」を選択。 デバイスおよび鍵特有の指示に従って認証の追加要素としてセキュリティキーを追加。 メニューから「
マスクを着けたままでも瞬時にロック解除、iPhone待望のアップデートに迫る
「マスクを装着したままだとFace IDによるロック解除がしづらくなる」――多くのiPhoneユーザーが抱えているこの悩みを解決する待望のアップデートが行われることになりました。現在開発中の次期iOS「iOS 14.5」では、Apple Watchを装着していればマスクを装着していてもFace IDでスピーディーにロック解除できるようになります。つまり、Apple WatchがFace IDの鍵代わりに働いてくれるわけです。 iPhoneユーザー待望の改良ともいえるアップデートの使い勝手や使い方を、次期OSのリリース前にひと足早くチェックしたいと思います。今回の記事は、取材に基づく特別な許可を得たうえで、iOS 14.5とwatchOS 7.4のパブリックベータ版をインストールした端末の画面を掲載しています。今後リリースされる正式版とは画面や内容が異なる可能性もあります。 iOS 14.5
OAuth 2.0 認可コードフロー+PKCE をシーケンス図で理解する
はじめに OAuth 2.0 のフローをシーケンス図で説明したWeb上の記事や書籍を何度か見かけたことがありますが、 フローの概要に加え、クライアントや認可サーバー側でどういったパラメータを元に何を検証しているのかも一連のフローとして理解したかった RFC 7636 Proof Key for Code Exchange (PKCE) も含めた流れを整理したかった というモチベーションがあり、自分でシーケンス図を書きながら流れを整理してみた、という趣旨です。 記事の前提や注意事項 OAuth 2.0 の各種フローのうち、認可コードフローのみ取り上げています 認可コードフローとはなにか、PKCE とはなにかという説明は割愛しています 概要について、個人的にはこちらの動画が非常にわかりやすかったです: OAuth & OIDC 入門編 by #authlete - YouTube 認可コードフ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「認証プロキシ爆発しろ！」が自動構成スクリプトに対応しました - にわはんみょうをまぜま