“パスワード変更”をユーザーに定期的に要求はダメ 米国政府機関が発表 「大文字や数字を入れろ」の強制もNG
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 「組織はユーザーに定期的なパスワード変更を要求してはならない」──米国政府機関の米国立標準技術研究所（NIST）が、そんな内容を含めた新しいガイダンス「SP800-63B」を発表した。パスワードの内容は、セクション3.1.1に記されている。 多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。 これは、Webサイト
Firefox Monitor
Find where your private info is exposed — and take it backWe scan data breaches to see if your data has been leaked and give you steps to fix it. Get free scanEnter your email address to check for data breach exposures. MozillaMonitorPasswords4xCredit cards3xBank account numbers2xOther1xEmail addresses4x14exposures Data breaches happen every 11 minutes, exposing your private information — but don’
Top 200 Most Common Passwords List
For five years, at NordPass we've been mapping out password habits. Sometimes they feel like old tunes that never fade. This year, though, there's an extra layer to the story. We've noticed some patterns, especially on certain platform categories. And with all the chatter about passkeys, one can't help but wonder if there's a better way to do user authentication. Dive into our most common password
Passwords Generator
パスワードを大量に自動生成可能な無料のオンラインツールです。パスワードに使用する文字、長さ、個数に加え、上級者モードでは、文字の構成パターン、アルゴリズムなどをカスタマイズできます。生成したパスワードの強度を数値や色🚥で表示します。パスワード生成処理のすべてはあなたのパソコン上で実行するため安全に使用できます。フォーム内の該当するパラメータにマウスを重ねると簡単な説明が表示されます。応用的な使い方はGraviness Blogを参照してください。
1Passwordを使って、ローカルにファイル(~/.configや.env)として置かれてる生のパスワードなどを削除した
1Passwordを使って、ローカルにファイル(~/.configや.env)として置かれてる生のパスワードなどを削除した 最近、コミットはされないがローカルのディレクトリに置かれている.envのようなファイルから生のパスワードやAPI Tokenを削除しました。 これは、ローカルでマルウェアを実行した場合に、ローカルに置かれている生のパスワードやAPI Tokenを盗まれる可能性があるためです。 最近は、npm install時のpostinstallでのデータを盗むようなマルウェアを仕込んだりするソフトウェアサプライチェーン攻撃が多様化しています。 Compromised PyTorch-nightly dependency chain between December 25th and December 30th, 2022. | PyTorch What’s Really Goin
パスキーが快適すぎる - yigarashiのブログ
パスワードレスな認証方式である「パスキー」が急速に普及しています。OS、ブラウザ、パスワード管理ツール、サービス提供者のどれもが整いつつあり、ついに本当にパスワードが必要ない世界がやってきたことを感じます。この記事では、本腰を入れてパスキーを使い始めて快適になるまでの様子をまとめます。技術的な厳密さ・網羅性には踏み込まず、いちユーザーとしての入門記事という位置付けです。 パスキーとは パスキー - Wikipedia 認証、セキュリティに関しては門外漢なので、Wikipediaのリンクを置いておきます。私よりはWikipediaのほうが信用に足るでしょう。 そこから辿れるホワイトペーパー：マルチデバイス対応FIDO認証資格情報を読むと、多少ストーリーもわかります。FIDO2というデバイスに格納された秘密鍵に依存したパスワードレス認証の仕様に、暗号鍵（と訳されていますが秘密鍵のことで良い……
パスワードを“ちょっと変える”はどれくらい危ない？ 「abc123」→「123abc」など 中国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 中国の南開大学や北京大学などに所属する研究者らが発表した論文「Pass2Edit: A Multi-Step Generative Model for Guessing Edited Passwords」は、1つのサービスで使っているパスワードを少し変えて別のサービスで使い回しているパスワードを予測して特定する攻撃を提案した研究報告である。 インターネットでサービスを利用すると、アカウント数が増加する。一般のユーザーは、80～107個ものオンラインアカウントを持っているとされている。このような状況において、新しいパスワードを都度設定するのは
Googleがパスワード不要でログインできる「パスキー」に対応したのでiPhoneとAndroidスマホで試してみた
「パスキー」は各種ウェブサイトにパスワード不要でログインできるようにする仕組みで、AppleやGoogle、Microsoftといった大手テクノロジー企業が利用を推進しています。新たにGoogleのログインシステムがパスキーに対応してパスワード不要でログインできるようになったので、実際にAndroidスマートフォンやiPhoneを用いてGoogleにログインする手順を確認してみました。 Passkeys: What they are and how to use them https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/ ・目次 ◆1：パスキーでのログインを有効化する手順 ◆2：Androidスマートフォンを使ってGoogleにログインする手順 ◆3：iPhone
【セキュリティ】脆弱性診断・検査 ツール on Kali Linux - Qiita
Kali Linux Tools Listingに記載されているツールの中から実際に動作確認したもの（全体の2割程度）を簡単にご紹介します。 なお、ツールをご利用の際は法律に抵触しないようご注意ください。 不正アクセス行為の禁止等に関する法律の解説(警察庁) いわゆるコンピュータ・ウイルスに関する罪について(法務省) acccheck Information Gathering, Password Attacks ユーザ名とパスワードの辞書を使ってSMB経由のブルートフォースアタックを行います。 # 辞書ファイルを使ってブルートフォースアタックを行う root@kali:~# acccheck -t 192.168.10.10 -U /usr/share/dirb/wordlists/others/names.txt -P /usr/share/dirb/wordlists/big.txt
「パスキー」って一体何だ？ パスワード不要の世界がやってくる
Apple、Google、Microsoftという3大OSベンダーが揃ってサポートを表明している「パスキー（Passkeys）」。パスキーを使うことで、パスワードが不要になり、フィッシングや成りすまし、流出などのセキュリティ問題が一気に解決するほか、パスワードをメモしたり覚えたりする必要がなくなる。果たして、パスキーによってパスワード不要の世界はやってくるのだろうか。 パスキーでログインはこう変わる パスキーとは一体何か？ 理屈や背景を説明する前に、デモサイトの「Passkeys.io」にアクセスしてみるのが分かりやすい。パスキーは生体認証とセットの技術なので、指紋認証機能を備えたPCや、指紋／顔認証を備えたiPhone、Androidなどでアクセスしてみよう。
パスワードを紙で保存するのは危険？ Twitter上で賛否 安全な管理方法をIPAに聞いた
パスワード管理を巡って、とあるメモ帳がTwitter上で話題になっている。サイト名やID、パスワードを記載する項目があり、紙媒体でパスワード管理するための商品であることが見て取れる。投稿者がこの商品について問題提起したところ、他ユーザーから賛否両論のさまざまな意見が飛び交っている。 話題の商品は、手帳やノートなどのメーカーであるダイゴー（大阪市西区）が販売している「ID・パスワードブック」というメモ帳とみられる。2020年9月から販売されており、商品概要では「パスワード忘れやPCの故障やスマートフォンの紛失など、もしもの時に備えて記録しておくと便利」と紹介している。 このメモ帳を取り上げたツイートには8日午前11時半時点で、1万件以上のRTと約7.3万いいねが付き、大きな反響を集めている。ユーザーからは「やばすぎ、セキュリティとは」や「オシャレな情報漏えい」「大切なパスワードをまとめて他人
ピコ太郎？ パスワード付きZIPメール、なぜ「PPAP」と呼ばれるの？
4年前に流行った、ピコ太郎の「ペンパイナッポーアッポーペン」（PPAP)。覚えている方も多いのではないでしょうか。 先日、政府が、中央省庁での「PPAP廃止」を決めました。PPAPといっても、ピコ太郎「じゃない方」のPPAPです。 メールにパスワード付きZIPファイルを添付し、その後に送るメールで、パスワードを知らせる。 中央省庁だけでなく、日本の企業などで広く普及しているこの“セキュリティ対策”ですが、「セキュリティ的には意味がない」「むしろセキュリティリスクになる」とされ、専門家の間では「PPAP」とも呼ばれて廃止が訴えられてきました。 改めて、PPAPとは PPAPは、「ファイルをZIP形式で圧縮し、そのZIPファイルを暗号化してパスワードで保護し、メールに添付する」「それを解凍するパスワード入りメールを別送する」ことで、機密情報などを含んだZIPファイルが万一流出した場合に、悪意の
ソフトバンクが“PPAP”廃止 「Emotet」などのマルウェアを警戒
ソフトバンクは2月15日、同社従業員のメールアカウントにおけるパスワード付き圧縮ファイルの利用を廃止すると発表した。同日以降、パスワード付き圧縮ファイルを添付したメールを受信した場合、メール本文のテキスト以外の全ての添付ファイルが削除されるという。 同社は「パスワード付き圧縮ファイルは、昨今増加している『Emotet』などのマルウェアの感染経路に利用される場合があり、当社でもこのようなメールの受信を確認した」と説明。情報セキュリティ強化のため、廃止を決めた。 パスワード付き圧縮ファイルをメールに添付して送信し、パスワードを記載したメールを別送する方法は、セキュリティ対策として日本の企業を中心に広く普及した。しかし、圧縮ファイルを装ったウイルスに攻撃されるリスクがあるなど、専門家からは対策としてほぼ無意味と指摘がある。その問題提起の中で、このファイル送信方法は「PPAP」（Passwordつ
第５９５号コラム：「私たちはなぜパスワード付きｚｉｐファイルをメール添付するのか」 | デジタル・フォレンジック研究会
第５９５号コラム：上原 哲太郎 副会長（立命館大学 情報理工学部 教授） 題：「私たちはなぜパスワード付きｚｉｐファイルをメール添付するのか」 皆さんの組織でも、重要な情報を含むファイルをメールで外部に送付する際に、その漏洩防止等のため、何らかのルールを設けておられるところが多いのではないかと思います。その中で非常によく見かける方式に、このようなものがあります。 ①添付するファイルをあるパスワードを使って暗号化ｚｉｐファイルにする。 ②そのファイルをメール添付して送信する。 ③続いてそのパスワードをメール送信する。 私が見聞きする限り、多くの日本企業や組織がこのようなファイル送信法をセキュリティ強化策と信じて」内規で義務づけたり、自動化システムを導入したりしています。しかしこの種のメール、少し考えるだけでセキュリティの観点からは効果がないことは明らかです。同一経路でファイルとパスワードを送
Insecam - World biggest online cameras directory
Welcome to Insecam project. The world biggest directory of online surveillance security cameras. Select a country to watch live street, traffic, parking, office, road, beach, earth online webcams. Now you can search live web cams around the world. You can find here Axis, Panasonic, Linksys, Sony, TPLink, Foscam and a lot of other network video cams available online without a password. Mozilla Fire
2段階認証のパスワード管理は「IIJ SmartKey」で決まり！Google認証システムより圧倒的に便利
皆さん、GoogleやEvernote、Dropboxなどといった便利なWebサービスを利用するにあたり 2段階認証 って利用していますか？私は以前にこのブログのログインアカウントに不正アクセスされそうになったことがあり、それ以降、2段階認証が利用できるサービスではすべて設定をするようにしています。 これまでこの2段階認証を利用するためのワンタイムパスワード管理アプリはGoogleのGoogle認証システム（Google Authenticator）を利用していたいのですが、先日IIJmio meetingにいった際に見つけたとあるアプリを試してみたところ、Google認証システムよりも格段に使いやすいものだったので即効で乗り換えました。ということで今回は IIJ製のワンタイムパスワード管理アプリ「IIJ SmartKey」 を紹介します。 IIJ SmartKeyの機能 IIJ Smar
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「パスワードは定期変更の必要なし」総務省が国民向けサイトで正式見解【やじうまWatch】
「過去に用いた2つ以上のパスワードから、変更後のパスワードを推測する手法」が発表され話題に【やじうまWatch】
【S】スマホアプリKeepass2Androidの使い方