何故パスワードをハッシュ化して保存するだけでは駄目なのか？ - NRIネットコムBlog
不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認
「パスワードは複雑さより長さが大切」 FBIが指南
パスワードは複雑にする必要はない。ただ長くすればいい――。米連邦捜査局（FBI）のそんな勧告が話題になっている。根拠としているのは、米国立標準技術研究所（NIST）がまとめた最新版のガイドライン。破られにくく、かつ覚えやすい文字列を作り出すため、パスワードではなく「パスフレーズ」の使用を勧めている。 これまでパスワードといえば、アルファベットの大文字と小文字、数字や記号を使ってできるだけ複雑にするのが望ましいとされてきた。ところがNISTの勧告では、パスワードの複雑さよりも、長さの方が、ずっと大切だと説く。 そこで、長くてしかも覚えやすい文字列をつくりだす手段として提言しているのが、複数の単語を組み合わせたり文章をつなげたりするパスフレーズ。FBIは強いパスフレーズの一例として、「VoicesProtected2020WeAre」「DirectorMonthLearnTruck」などを挙げ
bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点
宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用できるpassword_hash関数が非常に便利ですし、他の言語やアプリケーションフレームワークでも、それぞれ用意されているパスワード保護の機能を使うことはパスワード保護の第一選択肢となります。 なかでもbcryptは、PHPのpassword_hash関数のデフォルトアルゴリズムである他、他の言語でも安全なハッシュ保存機能として広く利用されていますが、パスワードが最大72文字で切り詰められるという実装上の特性があり、その点が気になる人もいるようです（この制限はDoS脆弱性回避が
5 Useful Password Generators For Linux
I am not going to discuss why you need strong passwords. It is an open secret that strong passwords keep you relatively safer. Generating strong passwords is something you can do on your own but putting all the combination of lower and upper cases, numbers, symbols can be a tiresome work. But you need not worry. Linux has got you covered. You can either use a password manager in Linux for managing
ユーザー アカウント、承認、パスワード管理に効く 12 のベスト プラクティス | Google Cloud 公式ブログ
アカウント管理、承認、パスワード管理をうまくこなすにはコツが必要です。多くの開発者にとってアカウント管理は、十分な注意が払われていない “ダーク コーナー” になっています。製品マネジャーやお客様の中には、期待を裏切られるようなアカウント管理の経験がある方も少なくないでしょう。 幸い、Google Cloud Platform（GCP）には、ユーザー アカウント（本稿では、お客様であれ社内ユーザーであれ、システムに対して自分の身元を証明したうえでアクセスする人々を指します）の作成、セキュアな処理、そして適切な認証に役立つツールが用意されています。 この投稿記事では、Google Kubernetes Engine にホストされているウェブ サイト、Apigee の API、Firebase を使うアプリケーションなど、認証されたユーザーを扱うサービスを開発している人々のために、アカウント認
Visual Editor - Eclipse
Archived Eclipse Projects You are seeing this because the project you were looking for has been archived. When projects are archived their data(downloads,source and website), is collected into a single tar.gz file. Please note: Some projects did not have all of the above data. Please note: The source files (if available) included in these files are direct copies of the available CVS/SVN data. You
10 Ways to Generate a Random Password from the Command Line - How-To Geek
There are many reasons you would want to restore a database from a backup file... But you should also test this on a test server just to make sure that your database backups are working correctly. Here's the syntax: mysql -h hostname -u username -pthepassword databasename < dumpfile.sql Here's an example: mysql -h localhost -u root -p72aDufi8 db01 < thedumpfile.sql
Pass: The Standard Unix Password Manager
Introducing pass Password management should be simple and follow Unix philosophy. With pass, each password lives inside of a gpg encrypted file whose filename is the title of the website or resource that requires the password. These encrypted files may be organized into meaningful folder hierarchies, copied from computer to computer, and, in general, manipulated using standard command line file ma
Mask Passwords
This plugin allows masking passwords that may appear in the console. This plugin allows masking passwords that may appear in the console, including the ones defined as build parameters. This often happens, for example, when you use build steps which can't handle passwords properly. Take a look at the following example. Consider you're using an Invoke Ant build step to run an Ant target. This targe
John Resig - Keeping Passwords in Source Control
I learned a neat tip from my co-worker, Craig Silverstein (more on Craig joining Khan Academy), recently and I thought others might find it to be useful. It has to deal with the eternal question: How do you store sensitive configuration options (such as usernames, passwords, etc.) in source control? Typically what I’ve done is to just punt on the problem entirely. I create a dummy configuration fi
MySQL :: MySQL 8.0 リファレンスマニュアル :: B.3.3.2 root のパスワードをリセットする方法
Windows では、次の手順を使用して MySQL 'root'@'localhost'アカウントのパスワードをリセットします。 別のホスト名部分を持つ root アカウントのパスワードを変更するには、そのホスト名を使用するように指示を変更します。 Administrator としてシステムにログオンします。 MySQL サーバーが実行されている場合は停止します。 Windows サービスとして実行されているサーバーの場合は、サービスマネージャーを開きます (「スタート」メニューから、「コントロール パネル」、「管理ツール」、「サービス」の順に選択します)。 リスト内で MySQL サービスを見つけて、それを停止します。 サーバーがサービスとして実行されていない場合は、タスクマネージャーを使用して強制的に停止する必要があることがあります。 単一行にパスワード割当てステートメントを含むテキ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management | CSRC
Choosing and Protecting Passwords | CISA
Modern password security for system designers | Solutions | Google Cloud
Modern password security for users | Solutions | Google Cloud
PwdHash
PwdHash PoC
パスワード管理ソフトはBitwardenが非常にオススメ！1PasswordからBitwardenへ乗り換えた話。 | ザクピカ
Blackbox: Safely store secrets in Git | Hacker News
GitHub - StackExchange/blackbox: Safely store secrets in Git/Mercurial/Subversion
