パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
シングルサインオンとOpenAM
はじめに 第1回はSSOとOpenAMの概要について解説します。SSOが求められるようになった背景や、OpenAMを利用することでどのようなメリットが得られるのか、といったことについて簡単に説明します。 前半はSSOに関する基本的な内容なので、ご存知の方は適宜読み飛ばしてください。 対象読者 SSOについて理解したい方 SSO製品の導入を検討している方 OpenAMについて理解したい方 OpenAMを用いてSSO環境を構築したい方 シングルサインオン（SSO） SSO（Single Sign-On）とは、一度で複数のシステムが利用可能になるログイン（およびそのような方式）を意味します。例えば、グループウェアにログインした後に、CRMにアクセスすると、通常はログイン画面が表示されますが、SSOの場合はログイン画面を経由せずに、そのままシステムを利用することができます。 SSOが求められる背景
Dropboxのセキュリティが向上する「2ステップ認証」の設定方法。 | AppBank
AppBank の主任です。昨年、Dropbox でも「2ステップ認証」が利用可能になり、セキュリティを向上させる手段が増えました。 「2ステップ認証」とは、ユーザー名とパスワードという通常の認証に加え、一定間隔で生成されるコードを入力する認証も行うもの。 ユーザー名・パスワードは固定ですがコードはランダムなので、乗っ取り・不正アクセスをより困難にします。Google でも採用されています。 という訳で今回は Dropbox で 2ステップ認証を設定する方法をご紹介します。 ※Google/Gmail で2ステップ認証を行う方法は以下の記事でご紹介しています。→Gmailの乗っ取りを防ぐ「2段階認証」を設定する方法 iPhoneアプリをインストールする あらかじめ2ステップ認証に必要なアプリをダウンロードしましょう。必要なのは Google Authenticator。無料です。 Drop
パスワードの入力さえ不要なWebブラウザ用公開鍵認証技術·TrustAuth MOONGIFT
TrustAuthはWebサイトにおける公開鍵を使った認証システムです。 Webサイトを使う際の認証と言えばログインIDとパスワードを使ったものと相場が決まっています。問題があるシステムとは分かっていつつも未だにいい解決策が出てきていません。そこで新しい認証システムとしてTrustAuthを紹介します。 Firefoxアドオンをインストールします。 アドオンの設定です。特に変更することはありません。 こちらはデモサイトです。 ツールバーにビールのアイコンがあります。なぜかデフォルトでは表示されずツールバーのカスタマイズで追加しました。 Unlockを選んで最初にマスターパスワードを決めます。 後はパスワード無用です。demoとユーザIDを指定すればログインできます。 無事ログインできました！ TrustAuthでは公開鍵を使って認証を行います。サーバサイド、クライアントサイドの双方で用意し
CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） | hijiriworld Web
Posted on: 2011/11/18 CakePHP セキュリティ対策について考える（SQLインジェクション、XSS、CSRF） 概要 SQLを使って不正にデータベースを操作する攻撃 攻撃例 ユーザー名とパスワードを入力してログインする処理があるとする。 username と password の組み合わせが、データベースのものと一致すれば認証するという仕組みだとする。 SELECT * FROM users WHERE username='$username' AND password='$password' ここで、（$username: admin, $password: ' OR 'a'='a）と入力すると、SQLは以下のようになる。 SELECT * FROM users WHERE username='admin' AND password='' OR 'a'='a' こ
パスワード認証を回避してWindowsにログインする方法 - うさぎ文学日記
目の前にPCがあるのに、パスワードがわからずログインできないという状況ありますよね。合法的な状況なのであれば、パスワードなしでログインする方法を試してみてはいかがでしょうか。 今日現在、最新状態のWindows7で実行可能です。当たり前ですが、自分に権限のないPCなどで試さないようにして下さいね。 方法は以下の通り簡単です。 Ubuntuなどでブートして、Windowsドライブをマウント C:\Windows\System32以下の「Utilman.exe」を「Utilman.old」にリネーム C:\Windows\System32以下の「cmd.exe」を「Utilman.exe」にコピー 再起動して、Windowsの起動画面で「Windowsキー + U」でコマンドプロンプトが起動 あとは、「explorer.exe」などを実行することもできます。 実験 Ubuntu(ここではBac
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://japan.internet.com/webtech/20130207/2.html