WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 - エンジニアHub｜Webエンジニアのキャリアを考える！
WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 FIDO（Fast IDentity Online）とは、公開鍵認証方式を応用し、オンライン経由で認証を行う仕組みです。パスワード認証の安全性は限界が指摘されるなか、Webサイトにおいても生体認証などパスワードレスな仕組みを導入する企業が増えており、このFIDOやWebAuthnに注目が集まっています。Capy株式会社で情報セキュリティに関する研究開発や分析などに携わる、松本悦宜さんの解説です。 こんにちは、松本悦宜（@ym405nm）です。 FIDO（ふぁいど）に関しては、昨年（2018年）から多くのメディアや技術ブログで取り上げられ、導入するWebサイトも増えています。 FIDO2プロジェクトにおいて話題になったWebAuthn（Web Authentication API）についても、主なW
認証技術の種類と進化の歴史。ユーザーの情報を守るために必要な基本を知ろう - エンジニアHub｜若手Webエンジニアのキャリアを考える！
認証技術の種類と進化の歴史。ユーザーの情報を守るために必要な基本を知ろう サービス運用に必要不可欠な認証技術には、どれほどの種類があり、そしてなぜこれほどまでに多様化したのでしょうか。認証技術の進化と、それに対する攻撃手段の流れを不正ログイン対策ツールを手がけるCapyのエンジニア2名に解説してもらいます。 私たちが何気なく使っている認証とは一体どういうものなのでしょうか。 認証はコンピュータやインターネットが普及する前から用いられている、利用者を識別し、その正当性を証明する技術です。この定義に当てはめていくと、家の鍵や合言葉など、身の回りでもおなじみのものも「認証」にあたります。 認証を支える技術のうち、よく知られているのが暗号です。原始的な暗号技術のひとつに、古代ローマで用いられたシーザー暗号（Caesar cipher）があります。これは当時の為政者、ユリウス・カエサルが使ったといわ
ウェブ・セキュリティ試験（通称：徳丸試験）を2019年12月より開始 | PHP技術者認定機構
一般社団法人BOSS-CON JAPAN（代表理事：吉政忠志、所在：東京都世田谷区、以下「BOSS-CON JAPAN」）は、BOSS-CON JAPAN内組織であるPHP技術者認定機構が国内Webセキュリティ第一人者である徳丸浩氏が代表を務めるEGセキュアソリューションズ株式会社の支援を受け、ウェブ・セキュリティ試験（通称：徳丸試験）を2019年12月より開始することを発表いたしました。なお、本試験問題はEGセキュアソリューションズ株式会社が作成いたします。 ■ウェブ・セキュリティ試験実施の背景 全世界で稼働しているWebサイトは5億サイトになりました。企業にとっても重要な位置づけになるため、サイバー攻撃の対象となるケースも増え、攻撃手法も複雑かつ巧妙になってきています。よってウェブ・セキュリティに対する対策は以前よりまして緊密且つ迅速に施さなければなりません。ユーザ、開発者に対してより
どうして JWT をセッションに使っちゃうわけ？ - co3k.org
備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。 はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ
当選詐欺リダイレクト広告の配信経路とメカニズム
nafumofu @nafu_mofu ◆ Togetter 1. pubmatic[.]com 2. advertising[.]com 3. mathtag[.]com 4. aoxmediamarketing[.]com 2018-09-10 15:19:12 nafumofu @nafu_mofu ◆ Engadget 1. blogsmithmedia[.]com 2. aolcdn[.]com 3. atwola[.]com 4. adtechjp[.]com 5. mathtag[.]com 6. aoxmediamarketing[.]com 2018-09-10 15:19:12 nafumofu @nafu_mofu ◆ イザ！ 1. doubleclick[.]net 2. proparm[.]jp 3. adingo[.]jp 4. proparm[.]jp 5.
Webサーバをセキュアに保つ設定のまとめ - Qiita
はじめに Webサーバをセキュアに保つ為、個人的に行っている設定をざっくりまとめてみました。 設定内容はApache 2.4での運用を想定していますので、他のHTTPdをお使いの方は適宜読み替えてください。 各設定項目は以下のオンラインテストサイトでA+相当を取ることを目指しています。 設定ファイル生成 Mozilla SSL Configuration Generator オンラインテスト Mozilla Observatory Qualys SSL Server Test 前提条件 以下で設定する項目は特にHTTPS接続や攻撃防止に関するものになります。 HTTPdそのものに関する基本設定については別記事をご参照ください。 SSLProtocol 危殆化した古いプロトコルを有効にしている場合、古いプロトコルを標的としたダウングレード攻撃等を受ける可能性がある為、新しいプロトコルのみを有
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
「情報先進県」管理は“素人” 佐賀・少年不正アクセス事件 [佐賀県] - 西日本新聞
佐賀県の教育情報システムが不正侵入され、延べ１万５千人分の個人情報が流出した事件は７日で発覚から１０日になる。「情報通信技術（ＩＣＴ）教育先進県」を標榜（ひょうぼう）する佐賀県の情報管理の甘さが浮き彫りになり、識者からは「原因の解明と運用方針の見直しが急務だ」との声が上がる。 「どこまで広がっているか分からない」。佐賀県教育委員会は、成績や家庭環境調査など流出した情報がどこまで拡散したのかつかめておらず、不正アクセス禁止法違反の疑いで逮捕された無職少年（１７）と関わりがあった県内の高校生１５人から聞き取り調査を進める。県教委や学校には５日までに「うちの子の情報は大丈夫か」と心配する保護者らから１３３件の相談や問い合わせがあった。 少年を逮捕した警視庁や県教委によると、少年は独自開発した攻撃用ソフトウエアを使って佐賀県独自の「教育情報システム（ＳＥＩ－Ｎｅｔ）」に接続。県立中学、高校など
![「情報先進県」管理は“素人” 佐賀・少年不正アクセス事件 [佐賀県] - 西日本新聞](https://cdn-ak-scissors.b.st-hatena.com/image/square/c047a34aa0458d44c90cfdc64c40b544cc793fab/height=288;version=1;width=512/http%3A%2F%2Fwww.nishinippon.co.jp%2Fimport%2Fsaga%2F20160707%2F201607070002_000.jpg)
残念だが当然の結果
お久しぶりです。 僕です。 久しく特段何も無かったのですが、今回とうとう僕が想定していたセキュリティ上の問題が起こりました。 教育システム管理用ＩＤ、生徒が見られる場所に - 日本経済新聞 > 佐賀県の教育情報システムから大量の個人情報が盗まれた不正アクセス事件で、県内の複数の高校が、システム管理者の情報を生徒も閲覧できる状態にしていたことが27日、警視庁への取材で分かった。 > 警視庁サイバー犯罪対策課によると、県立高校などの校内ネットワークシステムは、教員と生徒それぞれにＩＤとパスワードが割り当てられているが、生徒が閲覧できる範囲は限られている。全生徒の個人情報を閲覧するには管理者用のＩＤなどが必要になる。 > しかし、複数の高校は管理者用ＩＤなどを含むファイルを、システム上の生徒が閲覧できる場所に保管していた。 まぁ僕の想定の範囲内です。 なぜなら 2014年4月16日の時点で生徒用
「安く早く」が崩壊しかけてるかも:Geekなぺーじ
日本国内でトップレベルのセキュリティ専門家である徳丸浩さんが、Twitterで「何度でも言うが、自力でトラブルシューティングできない人や組織は、自前でWordPres立ててはいけない」と発言したことが話題になっています。 [Security] Webとセキュリティとソフトウェア工学 それぞれの方々のご意見を拝見した限り、「自前でWordPres立ててはいけない」という表現に対して「ダメって言うな！」や「じゃあ、どこで経験つめばいいの？」といった論点での反論は多い一方で、「インターネットは超荒波だから気をつけようね」という点に関しては見解が一致してそうだと思います。今のインターネットの荒波がどれぐらいかというと、最後は主人公たちが乗っていた漁船が荒波に飲まれて全員死亡というパーフェクトストームという映画ぐらいのレベルだという感想を個人的に持っています。 いまのインターネットは、安さと早さを追
AWSアカウントを取得したら速攻でやっておくべき初期設定まとめ - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? AWSアカウントを作成したら最初にやっておきたいことをまとめてみた。 あわせて読みたい 本記事の内容を含めた最新の手順は、下記の書籍にまとまっている。 クラウド破産を回避するAWS実践ガイド AWSアカウント（ルートアカウント）の保護 AWSアカウントが乗っ取られると詰むので、真っ先にセキュリティを強化する。 AWSアカウントへ二段階認証を導入 AWSアカウントでのログインは、AWSアカウント作成時のメールアドレス・パスワードだけでできてしまう。心許ないにもほどがあるので、まずは二段階認証を設定しよう。 IAMのページを開く https
実践編 現場の知恵でシステム運用？そこにプライバシー影響評価
2015年5月、日本年金機構から個人情報が漏洩した。報道によれば、基幹系業務システムから個人情報が漏洩したのではなく、情報系システムに保存してあった個人情報が漏洩したとのことだ。こうした事態に威力を発揮するツールがある。プライバシー影響評価（PIA）である。 日本年金機構のように、情報系システムに保存してあった個人情報が漏洩するという事態は、他の組織でも十分あり得る話だ。どの企業でも基幹系業務システムでは実行できない事務処理がある場合、情報系システムやローカル環境などで行うといった運用でカバーする例はあるものだろう。 基幹系業務システムは、非定型のチェックやデータ分析などには使い勝手が悪い。そのため「現場の知恵」として、事務処理のニーズを基幹系業務システムの外で実現するという運用があり得る。「次期システムに向けた改修を終えるまでの間だけ」といった一時的な理由で、こうした運用を許してしまう例
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します | ツイナビ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します — Yusuke OSUMI (@ozuma5119) 2015, 6月 30 Zaimの件、そもそも家計簿アプリごとき(と敢えて言う)に、銀行やクレカのログインパスワードを入れちゃう人があんなにたくさんいることの方がよっぽど問題だと思う https://t.co/pidZhtUbej pic.twitter.com/jpNw41MqK0 — Yusuke OSUMI (@ozuma5119) 2015, 6月 28 Zaimの「金融機関の連携」機能、新生銀行にいたっては暗証番号までナチュラルに入れさせようとしてくるので、控えめに言ってこのアプリは頭がおかしいと思う https://t.co/50guysHXIV pic.twitter.com/BQnIaUnfGo — Yusuke OSUMI (@ozuma5119
エピソード - クローズアップ現代
農耕の労働力や家畜として、動物は人間の生活や経済と深く関わり、動物にまつわる神事や祭りが、各地で受け継がれてきた。だが近年の動物愛護運動への関心の高まりにより、動物の扱いや接し方に問題提起がされはじめたのだ。その動きは世界的にも闘牛の中止など大きなうねりに。人間と動物はいかに関わっていくべきか。東北で馬を扱う行事を主催する自治体と異議を唱える団体を取材。守るべきものと変わるべきものを考える。
世界のメールの暗号化はたった一人の男に依存しており、開発資金はゼロになってしまっているという衝撃の事実が判明
世界中のジャーナリストやセキュリティ関連に敏感な人、さらにはエドワード・スノーデン氏のような内部告発者までもが使用している、無料のメール暗号化ソフトウェアが「GNU Privacy Guard(GPG)」です。この暗号化ソフトを1997年からたった一人で開発してきたのがヴェルナー・コッホ氏で、彼が置かれている厳しい現状をProPublicaが明かしています。 The World’s Email Encryption Software Relies on One Guy, Who is Going Broke - ProPublica http://www.propublica.org/article/the-worlds-email-encryption-software-relies-on-one-guy-who-is-going-broke ソフトウェアエンジニアのコッホ氏がGPGの開
ブラウザ上でMarkdownを安全に展開する - 葉っぱ日記
不特定のユーザーが入力したMarkdownをブラウザ上でJavaScriptを使ってHTMLに変換するという場面においては、JavaScriptで変換してHTMLを生成するという処理の都合上どうしてもDOM-based XSSの発生を考えないわけにはいかない。かといって、MarkdownをパースしHTMLを生成するという処理すべてをXSSが存在しないように注意しながら自分で書くのも大変だし、markedやmarkdown-jsなどの既存の変換用のJSを持ってきてもそれらがXSSしないかを確認するのは結構大変だったりする。 そういった場合には、Markdownから生成されたHTMLをRickDOMを通すことで、万が一HTML内にJavaScriptが含まれていたとしてもそれらを除外し、許可された要素、許可された属性だけで構築された安全なHTMLに再構築することができる。さらに、そうやって生成
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
今さら聞けないSPAのCORS対策の話
frasco.io
「マイナンバーは必ず狙われる、そして攻撃者は侵入に成功する」、RSA幹部が警告
TechCrunch | Startup and Technology News
