新人の作ったWebアプリが穴だらけ!? ログイン画面に潜むセキュリティの”あるある”ワナ
ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。せりふは徳丸さんの監修の下制作した。 特集：Webコンテンツの守り方 情報漏えい対策術 経営や企業イメージに大きな打撃を与える情報漏えい。近年ではWebサイトの改ざんやデータベースを狙った攻撃により情報を盗み出す事案が話題になっている。本特集では情報漏えいを引き起こすサイバー攻撃と、WAFによる対策について解説する。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本
無料で二要素認証のワンタイムパスワードを発行可能＆デバイス間エクスポートもできるオープンソースアプリ「Aegis Authenticator」、特定の企業に依存する危険性がなくなり安全
ウェブサービスを安全に使用する手段の1つとして、「ワンタイムパスワード発行サービスを利用する」という方法があります。ワンタイムパスワードを生成するアプリとしては「Google Authenticator」「Microsoft Authenticator」「Authy」といったアプリが広く利用されていますが、これらのアプリはGoogleやMicrosoftなどの企業によって開発されたものであり、透明性や信頼性に不安を感じる人もいるはず。オープンソースで開発されているAndroid向けのワンタイムパスワード発行アプリ「Aegis Authenticator」を使えば、特定の企業に依存せず二要素認証によるセキュリティ強化を実行できるだけでなく、Google Authenticatorでは不可能な「ワンタイムパスワードの不可視化」なども可能となります。 Aegis Authenticator -
WordPressのセキュリティ対策！プログラミングの知識不要の対策をまとめてみた | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
こんにちは。Webディレクターのなべちゃんです。 LIGではサイト制作のうちの多くをWordPress（以下：ワードプレス）を使用して構築しています。また、皆さんのなかには企業のコーポレートサイトだけではなく、個人のブログでもワードプレスを使って運用しているよ、という方も多いのではないでしょうか。 かなり多くのユーザーに使われているワードプレスですが、「セキュリティの問題が不安で……」という方も多くいると思います。今回は、プログラミングの知識不要で、ディレクターでも、趣味でブログを運営している方でも簡単に設定できるセキュリティの対策をまとめてみました。 そもそもなぜワードプレスが狙われやすいのか 「ワードプレスはセキュリティがなぁ……」と良く言われると思います。 そもそも、なぜワードプレスが狙われやすいのか。それはLIGもあなたも使おうとしているほど、「多くのユーザーが使っているから」なの
1つのパスワードさえ覚えておけばブラウザ・スマホでパスワード管理ができる「Passit」レビュー
「パスワードの使い回しはよくない」というのはよく知られていますが、いくつものサイトやアプリのサービスで別々のパスワードを設定して全部覚えておくというのは至難の業。無料のパスワード管理サービス「Passit」を使うと、たった1つのパスワードを覚えておくだけで、PCやスマートフォン、ブラウザでさまざまなサイトにログインすることが可能で、グループ機能で友だちや家族と情報を共有することもでき便利そうだったので、実際に使ってみました。 Passit https://passit.io/ ◆アカウント作成とサイトの登録 ますはアカウントを作成します。上記URLにアクセスすると以下のように表示されるので、右上の「Log In / Sign Up」をクリックします。 アカウント作成に使うEメールアドレスを入力して「Next」をクリック。 パスワードを2回入力して「Next」をクリック。 パスワードを忘れた
無料でKeePass上のアカウントから直接リモートデスクトップ接続を行える「KeePassRDP」レビュー
無料のパスワード管理ソフトウェア「KeePass」は、プラグインを導入することでGoogle Driveによるパスワード同期が可能になるなど、その機能を強化することができます。無料の「KeePassRDP」は、KeePassのアカウント情報を使ってリモートデスクトップへのアクセスを可能にするKeePass用プラグインです。 iSnackyCracky/KeePassRDP: KeePassRDP is a plugin for KeePass 2.x which adds multiple options to connect via RDP to the URL of an entry. https://github.com/iSnackyCracky/KeePassRDP リモートデスクトップとは、RDPやVNCといった、リモートPCのデスクトップ画面をローカルPCの画面に表示するシス
ウェブサイトのさまざまな「認証方式」をまとめて比較した結果がコレ
ユーザーごとに異なるデータを提供するため、ログイン機能を搭載しているウェブサイトは多数存在します。しかし、ユーザー側はウェブサイトに搭載されたログイン機能の「認証方式」まで気にすることはあまりないはず。そんなウェブサイトの認証方式について、代表的な6つの方式をエンジニアのAmal Shaji氏が解説しています。 Web Authentication Methods Compared | TestDriven.io https://testdriven.io/blog/web-authentication-methods/ ◆ベーシック認証 HTTPの中に組み込まれているベーシック認証は、最も基本的な認証方式です。ベーシック認証に暗号化機能はなく、Base64でエンコードされたユーザーIDとパスワードをクライアントからサーバーに送信するとのこと。 認証フローはこんな感じ。まずクライアントはサ
パスワード管理の「オンライン同期」にちょっと不安を感じる人向け「LessPass」レビュー
パスワード管理ソフトにはパスワードのオンライン同期機能が付いているものが存在しますが、オフラインで利用したかったり、セキュリティ上の懸念からパスワード同期を避けたい人もいるはず。無料のパスワードマネージャー「LessPass」を使うと、オフラインでも複数のデバイス間で同じパスワードを管理することができます。 LessPass https://lesspass.com LessPassは管理したいアカウントの「ウェブサイトURL」や「アカウントID」、LessPass用に決めておく「マスターパスワード」などの情報をもとに、各クライアントで同じパスワードを都度生成することでパスワードを管理するソフトウェア。パスワード管理ソフトというよりも「パスワードジェネレーター」に近いソフトウェアとなっています。LessPassはパスワードを生成する機能しかなく資格情報を同期しないため安全ですが、他のパスワ
無料＆Google Drive経由でKeePassのパスワードを同期できるプラグイン「KPSync for Google Drive」レビュー
無料で使えるオープンソースのパスワードマネージャー「KeePass」は、パスワード生成機能や二要素認証といった高度な機能を備えていますが、Google Drive経由でのデータベース同期にはデフォルトでは対応していません。無料のKeePass用プラグイン「KPSync for Google Drive」を使うと、KeePassのデータベースファイルをGoogle Drive経由で同期することが可能になります。なお、KPSync for Google Driveを利用するには、Windowsでバージョン2.35以上のKeePassを利用する必要があります。 KPSync for Google Drive™ | Secure sync automation with Drive. https://www.kpsync.org/ まずはプラグインのダウンロードページにアクセスして、「Downlo
無料＆超簡単にパスワード付きのURLを作成できるオープンソースなウェブサービス「Link Lock」レビュー
DropboxやGoogle Driveといったクラウドストレージにアップロードしたデータを共有する場合など、URLを誰かに伝えることは日常的な行いです。無料で公開されているオープンソースサービス「Link Lock」を使うと、簡単にURLにパスワードをかけることができます。 Link Lock - Password-protect links https://jstrieb.github.io/link-lock/create/ GitHub - jstrieb/link-lock: Distributed application to password-protect URLs using AES in the browser https://github.com/jstrieb/link-lock さっそくウェブサイトにアクセスすると、URLやパスワードを入力する画面が表示されます。
MinaOTP - メニューバー常駐型のワンタイムパスワードアプリ MOONGIFT
多要素認証として、ワンタイムパスワードを生成するサービスが増えています。そして、その度にスマートフォンを見て番号を入力するのが手間に感じていることでしょう。個人的にはAuthyを使って、PCやGoogle Chromeアプリからワンタイムパスワードを見られるようにしています。 同様のツールとして紹介したいのがMinaOTPです。メニューバー常駐型のワンタイムパスワードアプリです。 MinaOTPの使い方 QRコードは画面キャプチャを使って取り込めます。 内容を確認して登録します。 登録しておけば、いつでもすぐにワンタイムパスワードにアクセスできます。 MinaOTPは常駐型のアプリなので、メニューバーからワンタイムパスワードへのアクセスが簡単にできます。Webブラウザに表示したQRコードをインポートしたり、設定をエクスポートして他のmacOSでも取り込めます。スマートフォンに取り込む際に、
Windowsのパスワードを「chntpw」で強制リセットしてログインできなくなったPCを使えるようにする方法
コンピューターにパスワードを設定することは、セキュリティの観点から非常に大切なことですが、そのパスワードを失念してしまったり、前の持ち主からパスワードを聞きそびれてしまったりした場合、コンピューター内のデータにアクセスできなくなってしまう事態に陥ってしまいます。「chntpw」はWindowsのパスワードを強制リセットし、そうした事態を回避することができるコマンドです。 chntpw | Remove, bypass, unlock and reset forgotten Windows password http://www.chntpw.com/ Windowsのパスワードを忘れてしまい、誤ったパスワードを入力すると、画像のように「パスワードが正しくありません。入力し直してください。」と表示され、ログインができなくなってしまいます。 chntpwはLinux上で動作するコマンド。今回は
パスワードやメモ、任意のファイル等を暗号化して一括管理できる・「PrivaKeeper」
PrivaKeeperはパスワードやメモ、任意のファイル等を暗号化して一括管理できるBlockstackベースのアプリケーションです Blockstackは知名度はまだ日本では低いと思いますが、昨年にはリクルート社が出資する等、一部の界隈にはしっかり浸透しつつあるかなぁという印象です 全てのデータは本人以外はアクセス不可能で暗号化もされているセキュアな環境で大事なパスワードや2FA、任意のファイル、ノート等を管理する事が出来ます 容量は10GB、1ファイルに付き200MBまでとなっていますが、Blockstack独自のインセンティブモデルにより、一切の広告無しで無料で利用する事が出来るようです 使ってみる 試しに使ってみました。簡素なUIで広告や複雑な仕様もないですし、項目も4つしかないのですぐに分かりました 任意のファイル、パスワード、2FA(2段階認証)、ノートの4つの項目に分けられて
分かりやすそうなパスワードを生成するパスワードジェネレーター・「Easy Peasy Password」
Easy Peasy Passwordは分かりやすそうなパスワードを生成するパスジェネWebアプリです。分かりやすいかどうかは個人差あるでしょうけど、意味のあるパスワードを作る、みたいなものになります 使い方は単純で、質問に回答するとその回答でパスワードが作られる、というもの。質問内容は普段の日常生活に関わる内容で、更に大文字や小文字を含める、文字を数字化する(iを1にする等)などのオプションも選択できます 今後、世は生体認証の流れになっていきそうですが、こうした文字列のパスワードが無くなる日はまだ先の話なのでこういうパスワードの作り方も覚えておいて損は無いかもしれませんね。個人的にはランダム生成してパスマネで管理してますが、ランダムすぎるとパスマネ依存しすぎる感もあるので変更も検討しようと思います Easy Peasy Password
gopass - ターミナル用のパスワード管理
MOONGIFTはオープンソース・ソフトウェアを紹介するブログです。2021年07月16日で更新停止しました 今どき、パスワード管理をしていない開発者はほぼいないでしょう。多くの場合、GUIアプリケーションであったり、スマートフォンアプリで、サーバにログインしながら使えるものではありません。 ターミナルを使っていてもパスワードを入力する機会はあります。そこで使ってみたいのがgopassです。 gopassの使い方 gopassで新しいログイン情報を追加します。パスワードジェネレータもあります。 $ gopass new => Creating Website login [1] URL []: https://www.moongift.jp/ [2] Login []: root [3] Generate Password? [Y/n/q]: Y [a] Cryptic Password?
入力したパスワードの文字の長さに応じて背景画像が鮮明になっていく
Result パスワードの長さに応じて背景画像が鮮明になっていく、というUI ぶっちゃけ現在の主流である、テキストと色で強度を明示するのが現状は最適解に思えますが1つの方法として、パスワードの強度に合わせて何かしらコンテンツを変化させる明示方法は悪くないように思えます レイアウトやUI次第ではスマホでは明示テキストを見逃す可能性もありますというか実際どこかで体験した記憶がるので分かりやすく施工するに越したことは無いですよね JSはバニラで書かれてます javascriptconst password = document.getElementById('password'); const background = document.getElementById('background'); password.addEventListener('input', (e) => { const
Chrome-Password-Grabber - Google Chromeに保存したパスワードをまとめて取得
Google Chromeでパスワード管理をしている人は多いでしょう。Google Chromeをメインブラウザとして使っている人であれば大抵そうでしょうし、無料で使えるのも便利です。パスワードさえ漏洩しなければ安全です。 逆に言えばパスワードが漏洩すれば大惨事になる可能性もあります。Chrome-Password-Grabberを使えばパスワードを全部引き出せます。 Chrome-Password-Grabberの使い方 実行例です。 $ python chrome.py /path/to/Google/Chrome/Default/ { "data": [ { "url": "https://www.example.com/", "username": "test", "password": "password" }, : ] } macOSの場合、二回パスワードが聞かれました（キーチ
無料でユーザー登録不要＆アドレスを入力するだけで自動消去機能付きのウェブサイトを作成できる「sdnotes.com」
世の中には数多くのブログサービスやSNSが存在していますが、便利なサービスと引き替えに個人のプライバシーがトレードオフになっていることが多く、テクノロジー企業は収集したデータをもとにカスタマイズした広告を表示したり、収集したデータを売買したりして利益を生み出しています。そんな現代の状況に疑問を持ったYahoo 99(Eric)氏が、無料で簡単に、個人情報の登録不要で自動消去付きのウェブサイトを作成できるサービス「sdnotes.com/」を開発したとのことで、実際にウェブサイトを作成してみました。 Rethinking web accounts (using Rails) - The Startup - Medium https://medium.com/swlh/rethinking-web-accounts-using-rails-e74f3ad7098 Create Self-Des
無料でスパイ映画のような「読んだら自動的に消滅する」文書やファイルのURLを作成できる「SafeNote」
「SafeNote」は第三者に盗み見できないように文書やファイルのやり取りができるウェブサービスです。「スパイ大作戦」のように、1度読み終えたら自動的に消滅する文書を作成したり、アップロードしたファイルを1度しかダウンロードできないように設定することが可能になっていました。 SafeNote | Encrypt and send files and notes with a link that automatically destruct after being read. https://safenote.co/ まずは「読み終えたら消滅する文書」を作成してみます。SafeNoteにアクセスして、入力欄に送信する文章を入力します。 入力欄の下で「Advanced Options」を設定することができます。「Note Lifetime」では文書のが消滅するまでの期間が設定可能。「Remov
Googleがインターネット上で使用するパスワードがデータ侵害にあった危険なものでないかを逐一チェックしてくれる「Password Checkup」をリリース
Googleがインターネット上で使用されるアカウントの不正使用を防止するため、入力したパスワードが第三者によるデータ漏えいの影響を受けていないかを自動で調べる拡張機能「Password Checkup」をリリースしました。 Google Online Security Blog: Protect your accounts from data breaches with Password Checkup https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html Googleでは第三者によるデータ漏えいの影響を受けたGoogleアカウントのパスワードを定期的にリセットしています。この戦略により、「過去2年間で約1億1000万人以上のGoogleユーザーをデータ侵害の魔の手から保護することに成功して
エンジニアに相談したら遊ばれた……Basic認証ってなんですか？ | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
エンジニアのみんなが親切に教えてくれたので、自分でも調べてみることにしました。 インターネット上で利用者を識別して正当性を検証する最も基本的な方式。HTTPが標準で対応しており、広く用いられる。アクセスが制限されたウェブサイトなどにおいて、ユーザー名（利用者の名前）とパスワードによりアクセスの可否を検証する。 ―引用：コトバンク「ベーシック認証」 つまり「便利で簡易的な認証設定ができるよ」ってことみたいです。制作途中のサイトの表示を確認するときに、IDとパスワードを要求された経験、みなさんにもありませんか？ どうやってやったらいいですか？ ファイルを置く。さすがっすね。ためになるアドバイス、どうもありがとうございます。 ってことで、自分でも調べてみたところ、Basic認証には「.htaccess」と「.htpasswd（いわゆるパスワード）」が必要で、「.htaccess」は下記のように記
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
