[速報] IAMのMFA(多要素認証)でPasskeyが利用できるようになりました #AWSreInforce | DevelopersIO
あしざわです。 現在開催されているAWS re:Inforce 2024 のKeynote にて、AWS IAMのrootユーザーおよびIAMユーザーのMFA(多要素認証)としてPasskeyのサポートが発表されました。 AWS What's newブログ、AWS Blogの両方で発表されています。 概要 本アップデートによって、AWSのrootユーザー、IAMユーザーのMFAデバイスとしてPasskeyが利用できるようになります！ AWS側で発行したPasskeyをGoogleアカウントや1passwordなどのクラウドサービスに登録することで、MFA認証としてPasskeyを利用してAWSアカウントにログインできるようになります。 AWS Blogに以下のように記載があるため、初回のリリース時はPasskey+パスワード認証のみでパスワードの利用は必須であるようです。今後のリリースでP
![[速報] IAMのMFA(多要素認証)でPasskeyが利用できるようになりました #AWSreInforce | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/3943ff4d5aff421cb4c2e42ad253a590a12c7bdf/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2024%2F06%2FIMG_3975-2.jpg)
Edgeで簡単ログイン！ クラウドサービスのログイン自動化テクニック
Edgeでクラウドサービスへログインするアカウント情報を 自動入力させる／させない方法 Gmailなどのメールサービス、FacebookなどのSNS、LINE WORKSなどのチャットサービス、ChatGPTなどの生成AIなど、プライベートやビジネスで利用するクラウドサービスは増える一方だ。最近はGoogleやFacebookなどのアカウントなどでソーシャルログインできるサービスも増えているが、それでも自分で管理しなければならないアカウント情報はたくさんある。 そこで悩ましいのがパスワードの管理だ。シンプルな文字列にすると不正アクセスされてしまうし、複雑な文字列でも複数サービスで使いまわせばこれも不正アクセスの原因になる。クラウドサービスごとにしっかりとしたパスワードを付ける場合、今度はログインする際にコピー＆ペーストの手間がかかる。 Edgeを利用しているなら、パスワードのオートフィル機
総務省 | 安全なパスワードの設定・管理 | 国民のためのサイバーセキュリティサイト
安全なパスワードの設定・管理 企業・組織におけるパスワードは、ユーザ名と組み合わせることで企業・組織内の情報資産へのアクセスの可否を決める重要なものです。パスワードの重要性を再認識して、適切なパスワード管理を心がけましょう。 他人に自分のユーザアカウントを不正に利用されないようにするには、推測されにくい安全なパスワードを作成し、他人の目に触れないよう適切な方法で保管することが大切です。 安全なパスワードの設定 安全なパスワードとは、他人に推測されにくく、ツールなどの機械的な処理で割り出しにくいものを言います。 理想的には、ある程度長いランダムな英数字の並びが好ましいですが、覚えなければならないパスワードの場合は、英語でも日本語（ローマ字）でもよいので無関係な（文章にならない）複数の単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることがで
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
滅びてほしい認証系の実装の話
こんにちは、富士榮です。 ちょっと前に某所でダメダメな認証系の技術実装ってなんだろうねぇ、、という話をしていたことをXで呟いたところ、色々とご意見を頂けましたのでまとめて書いておきます。
はてなへのログインがパスキーと多要素認証に対応し、よりセキュアになりました - はてなの告知
2024/3/25 17:37 追記 Firefox と1Password の組み合わせを利用していた場合、パスキーの生成が失敗する不具合が発生しておりました。現在は修正済みです。ご不便おかけし申し訳ございませんでした。 本文 平素よりはてなをご利用いただきありがとうございます。 はてなIDが「パスキー」「多要素認証」を利用した認証に対応しましたことをお知らせいたします。 また、本対応に合わせてアカウント関連の画面デザインをリニューアルいたしました。 パスキーとは パスキーとはお持ちのスマートフォン・PC・タブレット端末等に搭載されているロック機能を使用してウェブサイトやアプリにログインできる仕組みです。パスキーをご利用いただくことにより、パスワード認証時における第三者からの不正ログインやフィッシングなどのリスクの低減が期待できます。 パスキーの設定方法はこちらをご参照ください パスキーの
突貫でおぼえるSPF、DKIM、DMARC | DevelopersIO
しばたです。 昨年10月にGoogle(Gmail)および米国Yahoo!においてスパム対策の強化がアナウンスされました。 この件に関してつい先日まで他人事でいたのですが、実は全然他人事では済まないことが発覚し突貫で知識を仕入れています。 アナウンスに対する具体的な対応策についてはこちらのZennの記事を見れば全部わかる感じです。 最高ですね。 また、メール送信にAmazon SESを使っている場合はAWSのブログを確認すると良いでしょう。 「これらの記事を読み解けば万事解決！」という感じではあるのですが、私自身が学んだなかで予め知っておくと良さそうに思えた点がいくつかありました。 本記事ではその辺を共有するのと、実際にAmazon SESの環境を作って動作確認をしたのでその結果も合わせて共有します。 はじめに覚えておくと良い基礎知識 Zennの記事でも詳細な解説がありますが、個人的に「最
DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog
Gmailが「メール送信者のガイドライン」を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。 なりすましメールとみなされないようにするために、メール送信者には、「メール送信ドメイン認証」への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来
How to Scan QR Codes on Windows
You're probably used to scanning QR codes with your smartphone to access email addresses, phone numbers, and website links. But how do you scan them on a Windows PC without your phone? Let's see. 1. How to Scan QR Codes Using the Windows Camera App Microsoft added a QR code scanner to its native camera app for Windows. You can use the app to quickly scan a QR code on both Windows 10 and Windows 11
パスキーへ移行することで得られるメリットと課題
パスワードの利用は、もはや時代遅れと考えられ、パスキーの利用が推奨されつつある。本記事では、パスキーへ移行することで得られるメリットや、その際の課題を解説する。 膨大なパスワードの管理に、うんざりしている人もいるだろう。多数のオンラインアカウントへのアクセスを管理しなければならない今、パスワードはもはや目的にそぐわなくなっている。複数のアプリやWebサイトで覚えやすい同じパスワードを使い回している人は多い。パスワードの扱いでよくある間違いをしているため、悪意のある攻撃者が容易にパスワードを類推して盗用できる状況になっている。パスワードが一度破られてしまうと、デジタル生活そのものが危険に晒されてしまうので注意が必要だ。 パスワードが長らく使われてきた理由は、それ以外の有効な手段がなかったためだ。しかし、パスキーの登場により、その状況は変わりつつある。グーグル社は（アップル社やマイクロソフト社
iPhoneはどうやって「ロボットチェック」をパスしているの? - いまさら聞けないiPhoneのなぜ
ハウツー iPhoneはどうやって「ロボットチェック」をパスしているの? - いまさら聞けないiPhoneのなぜ WEBでときどき見かけるロボットチェックとは、「CAPTCHA(キャプチャ)認証」のことでしょうか? CAPTCHA認証とは、アクセス者がコンピュータ/ロボットではなく生身の人間であることを確認する目的で設置された認証機能で、歪んだ文字の読みを訊ねられたりします。あれは鬱陶しいですよね。 iOS 16以降、iPhoneには「自動認証(Automatic Verification)」機能が搭載されました。この機能を有効にすると、CAPTCHA認証を実施している一部のWebサイトでの認証をパスできます。歪んだ文字の読みを入力したり、ジグソーパズルを解いたりする必要はありません。 自動認証を利用するには、「設定」→「Apple ID(自分の名前)」→「パスワードとセキュリティ」画面に
Google認証に不正アクセスの脆弱性、パスワード変更では不十分
The Registerは1月2日(現地時間)、「Google password resets not enough to stop this malware • The Register」において、情報窃取マルウェアにセッション情報を窃取された場合、Googleパスワードを変更するだけでは不十分だとして、注意を呼び掛けた。最新のセキュリティ研究によると、ユーザーが侵害に気づいてパスワードを変更しても、脅威アクターは侵害したアカウントにアクセスできるという。 Google password resets not enough to stop this malware • The Register Google認証が抱えるゼロデイ脆弱性悪用の概要 このGoogleのゼロデイの脆弱性は、2023年10月に「PRISMA」と呼ばれる脅威アクターにより悪用が予告されていた。The Register
ASP.NET MVCのWindows認証のアプリがWindows Serverで動作しない 【▲→川俣晶の縁側→ソフトウェア→技術雑記】
問題 §ASP.NET MVCのWindows認証のアプリがWindows Serverで動作しない ローカルのデバッグ環境では動いている 解決 § 既に【IISマネージャ】で【アプリケーションの追加】までは終わっているとして、HTTP Error 500.30 - ASP.NET Core app failed to startというエラーがWebブラウザ上で出ているとする。 これ以後の対策は2段階ある。 アプリの動作がインプロセスだとHTTP Error 500.30 - ASP.NET Core app failed to startとなって起動しない。対策は【ASP.NETアプリでWindows認証を設定するとHTTP Error 500.30 - ASP.NET Core app failed to startとなって起動しない】で述べた通りすると、エラーが"An error o
「別会社になるくらいの抜本的改革が必要」トヨタ豊田章男会長がダイハツの不正問題に言及 - 自動車情報誌「ベストカー」
2023年12月20日に広く明らかになったダイハツの認証不正問題を受け、トヨタ自動車の豊田章男会長がベストカーWebの取材に応じた。「絶対にあってはならない行為、深く謝罪したい」とユーザーおよび関係各所へのお詫びを口にするとともに、ダイハツに関して「別の会社になるくらいの抜本的な改革が必要だ」と強調した。以下、本誌に語ったコメントを紹介する。 文／ベストカーWeb編集部、画像／ベストカーWeb編集部、ダイハツ工業 【画像ギャラリー】今回ダイハツで認証検査不正が見つかった車種一覧と主なダイハツ車種（12枚）画像ギャラリー ■トヨタには引けてダイハツには引けなかった「アンドン（行燈）」 冒頭、トヨタ自動車の豊田章男会長は、「”安全”は自動車にとって一番重要な要素であり、今回の不正はお客様の信頼を裏切る行為であって、断じて許されるものではない。トヨタとしても大きな責任を感じている」と語った。 今
パスキーは本当に２要素認証なのか問題、またの名を、あまり気にせず使えばいいと思うよ。｜kkoiwai
この記事の内容は、個人の意見であり感想です。くれぐれもよろしくおねがいします。 とりあえずドラフトですが公開します。識者のみなさまの暖かく、そして鋭いツッコミを期待します。 パスキーについて、非常にわかりやすいブログをえーじさんが書いてくださいました。コレを読んで頂ければほとんどのことが分かると思います。 先日の次世代Webカンファレンスで、私は、「結局、パスキーは秘密鍵と公開鍵のペア」と申し上げた立場からも、この疑問はごもっともだと思いましたので、すこし、私の思うところを述べたいと思います。 パスキーは２要素認証の場合が多いほとんどのユーザは、OS標準のパスキーを使うのではないかと思います。そして、生体認証、もしくは画面ロック用のパスワードやPIN等が設定されていない限り、OS標準のパスキーを使うことができません。そして、OS標準パスキーの利用時には、生体認証もしくは画面ロック解除のため
パスキーの基本とそれにまつわる誤解を解きほぐす
2023 年は文句なく「パスキー元年」になりました。非常にたくさんのサービスがパスキーに対応し、2024 年はいよいよパスキー普及の年になりそうです。 本記事では、パスキーの基本を振り返ったうえで、パスキーでみなさんが勘違いしやすい点について解説します。 2023 年は本当にたくさんのウェブサイトがパスキーに対応しました。例を挙げます: Adobe Amazon Apple eBay GitHub Google KDDI Mercari Mixi MoneyForward Nintendo NTT Docomo PayPal Shopify Toyota Uber Yahoo! JAPAN もちろんこのリストですべてではないですが、これらだけでも、世界人口のかなりをカバーできるはずで、まさに大躍進と言えます。もしまだパスキーを体験していないという方がいたら、ぜひこの機会にお試しください。
社内をパスワードレスにするため頑張った話（前編） - Qiita
はじめに 本記事はMicrosoft Security Advent Calendar 2023、10日目の記事になります。 シリーズ3部作です。 きっかけ 所属企業にて、2022年7月頃、情報システム部門に異動。種々の課題感に対する解決策（ここも話すと長くなる）としてMicrosoft 365 E5を導入することに決定。2023年1月にテナントにライセンスが適用され、E5セキュリティの実装を始める。同時に、組織内でIdPが複数運用されていることに対しても課題感を持っていたため、IdPの整理・統合も始める。 さらに同時期に、セキュリティ侵害の多くの原因が、パスワード漏洩だということを知る。 フィッシングメールでパスワードが漏洩（個人1位）し、クレジットカードが不正利用（個人4位）されたり、インターネット上のサービスに不正ログイン（個人10位）されたり…。スマホ決済の不正利用（個人5位）もで
認証と署名の整理をしましょう（またかよ） - Qiita
はじめに 去年の「Digital Identity技術勉強会 #iddanceAdvent Calendar 2022」でも「認証と署名は何が違う？ ～マイナンバーカードを例に～」として認証と署名の話をしました。実は今年も必要に迫られて認証と署名の整理をしてきてある程度まとまったかな…と言うことで今年も再び書かせてください！また署名業界では新たに電子シール（eシールとも呼ばれる非自然人/組織の電子証明書によるデジタル署名）の検討が進んでいます。なので署名も電子署名と電子シールに分けて整理をしてみます。年末の忙しい時期ですが楽しんでご笑読ください。認証と署名の整理についてはこれで最後にしたい…なぁw デジタルアイデンティティ さてまず認証と署名を比較するとはどういうことかを整理しましょう。認証…と言うよりも技術全体を示すのであれば最近はデジタルアイデンティティ（Digital Identit
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「はてなID」が「パスキー」と多要素認証の「TOTP」に対応／従来よりも安全にアカウントを運用できるように
Auth.js v5ではじめる本格認証入門
