最近よく聞く「パスキー」の仕組みと設定方法
「パスキー」って何？ Webサイトにログインする際に「パスキー」の設定を推奨されることはないだろうか？ よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いと思う。そこで、「パスキー」とはどういったものなのか、仕組みや設定方法などについて解説する。 Googleアカウントにログインする際、「ログインをシンプルに」という画面が表示され、「パスキー」の利用を推奨されたことはないだろうか（一度、パスワードを忘れて、再設定後にGoogleアカウントにログインする際などに表示されることが多い）。 このパスキーとはどういったものなのだろうか？ よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いのではないだろうか。 本稿では、このパスキーの仕組みや設定方法、運用上の注意点などについて
無料メールは「Gmail」だけじゃない！セキュリティ、容量ほかニーズ別おすすめサービス7選 | ライフハッカー・ジャパン
ベストなメールサービスは、有料のケースがほとんどですが、無料メールプロバイダーにも優秀なものはたくさんあります。 問題は、そうしたプロバイダーを見つけるのが難しい、という点です。なぜなら、無料メールプロバイダーは、ユーザーのプライバシーと引き換えに、サービスを無料で提供しているものが多いからです。 ニーズに合わせて、サービスを選ぼうサービス提供元の企業にもよりますが、メールのデータが、広告の表示や、そのユーザーのウェブ全体での行動のトラッキングに使われる可能性があり、極端な例ではメール内のテキストを人工知能（AI）のトレーニングに使っているケースまであります。 無料で使えることのメリットと、プライバシーの保護。どちらを取るのかは、なかなか難しい問題です。 一般的には、真の意味でプライバシーを保護しているメールプロバイダーを使うには、ある程度の料金を払うことは避けられません。また、その気にな
CTFで出題される脆弱性 vs プロダクトセキュリティのリアルな課題 - Flatt Security Blog
週末をCTFに費やし、平日の余暇時間をその復習に費やしている @hamayanhamayan です。去年2023年はCTFtime1調べでは66本のCTFに出ていて、自身のブログでは解説記事を40本ほど書いています。 自分はCTFプレイヤーですが、一方で、Flatt Securityはお仕事でプロダクトセキュリティを扱っている会社です。CTFで出題される問題と、プロダクトセキュリティにおける課題の間にはどのような違いがあるのでしょうか？ CTFのヘビープレイヤーの視点から、共通している部分、また、どちらか一方でよく見られる部分について紹介していきたいと思います。色々な形でセキュリティに関わる人にとって、楽しく読んでもらえたら嬉しいです。 はじめに 本記事の目的 CTFで出題される問題 vs プロダクトセキュリティにおける課題 CTFとは プロダクトセキュリティにおける課題について CTF
KADOKAWAグループへのサイバー攻撃や悪質な情報拡散についてまとめてみた - piyolog
2024年6月9日、KADOKAWAやニコニコ動画などを運営するドワンゴは、同グループの複数のWebサイトが6月8日未明より利用できない事象が発生と公表しました。システム障害の原因はランサムウエアによるもので、ニコニコ動画は復旧まで約2か月を要しました。またリークサイトから盗まれたとみられる情報を取得してSNSへ公開するなど悪質な情報拡散が確認されました。ここでは関連する情報をまとめます。 １．KADOKAWAグループのデータセンターでランサムウエア被害 公式及び報道より、データ暗号化の被害にあったのはKADOKAWAグループ企業 KADOKAWA Connectedのデータセンター（DC6）で運用されていたプライベートクラウドやそのクラウド上で稼働していたドワンゴ専用サーバー。またドワンゴの認証基盤であったActive Direcotryサーバーも攻撃者の制御下に置かれた。 侵害活動の拡
サイバーセキュリティチーム立ち上げにあたり考えたこと
前回のブログ冒頭で記載した通り、弊社では今年からサイバーセキュリティチームを立ち上げました。今回はチーム立ち上げにあたって考えたことを共有します。 目指す姿〈Vision〉 目についた課題に対処するだけでは中長期的な成長は望めません。チームとして目指すべき到達点、Visionが抽象的なレベルでもあると、活動の軸になりますし、チームとして自分たちが前進していることを実感できると思います。 では、どういったVisionがよいか。当チームでは、『The Sliding Scale of Cyber Security』[1]を採用しました。このモデルではサイバーセキュリティの防御態勢を大きく5段階で表現しており、チームとして目指すべき姿を認識するうえで良いモデルだなと感じています。当社では少しだけ表現を変え[2]、下の絵のようにしました。 このうち、Offenceは事業会社としてはNGですので、そ
KADOKAWA「ニュースピックスの身代金報道に抗議」の補助線（補遺あり 7月3日20:24）｜山本一郎（やまもといちろう）
※ おことわり 本稿は、私の有料メルマガ『人間迷路』にて配信されている内容と同一のものです。すでにメルマガを取っておられる方は、お布施でもない限り間違ってご購入されないようお願いいたします。 https://yakan-hiko.com/kirik.html 「いま脅されてる組織の記事を書いちゃったら、犯人の要求を利するだけじゃないの」と話題騒然の本件。記事を書いたNewsPicksにも批判が来ております。確かに一理あって、現在進行形でランサムウェアぶっ込んできた先と交渉している最中に内部リークで記事書くなという川上量生さんの怒りも理解はできます。 ただ、具体的な人身の誘拐犯や立てこもり犯などと違って本件事件の相手はハッカーですし、ニコニコ動画がどんだけハックされようと物理的に人は死にません。単純にBlacksuit突っ込まれてシステムが他サービスごと全面ダウンさせられたKADOKAWAが
SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝
SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 この論文では、上記のような SPF の脆弱な展開に対する攻撃手法を BreakSPF と呼び、関連するプロトコルや基盤の実装に対する分析と共に、その内容が体系的にまとめられています。 本記事では、その論文を参照しながら、簡単に概要をまとめておきます。 本記事につきまして、(当サイトとしては) 多くのアクセスいただいているようで (ちょっとビビってま) す。まことに大変ありがたいことに色々とシェアいただいたりしたようです。 そこで、記事の内容と一部重複しますが、できるだ
[SRE][Monitoring]イベントログの一元監視サービス「srest」を使ってみた！
良さそう ITインフラの“体調”を一元監視で早期に異常検知 https://t.co/TumixShIsb @PRTIMES_JPより — adachinSRE (@adachin0817) February 26, 2024 皆さんお久しぶりです！1ヶ月ぶりのブログとなってしまいましたが、本日はなかなか面白いモニタリングツールを発見しました。 きっかけはXでの呟きからなのですが、メタップスホールディングスさんがSaaS向けイベントログの一元監視サービス「srest(スレスト)」をリリースされました。非常に気になっていたので使ってみようかなと思っていたところ！開発メンバーが「お初ですが、飲みいきましょう！」と誘われたので、いざ新大久保へ！ 今日は「srest」というイベントログの一元化ツールを開発しているメンバーと新大久保でポッサム会！みんな超面白い方でした！来週辺りに個人でsrest触っ
ビル点検員に変装→オフィスにラズパイ持ち込んで社内システム侵入 Sansanが本当にやった“何でもアリ”なセキュリティ演習
ビル点検員に変装→オフィスにラズパイ持ち込んで社内システム侵入 Sansanが本当にやった“何でもアリ”なセキュリティ演習（1/6 ページ） ビル点検の作業員に変装して、もしくは偽の名刺や社員証を作り、従業員に変装してオフィスに侵入。「Raspberry Pi」を社内ネットワークに接続することでシステムに侵入し、感染を広げて従業員の端末を乗っ取る──これは、クラウドベースの名刺管理サービスなどを手掛けるSansanが実施したセキュリティ演習で、実際に試みられたサイバー攻撃だ。 名刺管理や請求書管理サービスを手掛け、顧客や“顧客の顧客”の情報まで扱うことになるSansanにとって、セキュリティは重要事項だ。セキュリティポリシーの制定に加え、「CSIRT」「SOC」といったセキュリティ組織の整備、従業員教育、技術面など多面的な対策を施している。その一環として、攻撃者の視点に立って、どんな経路で
マイクロサービスの認証・認可とJWT / Authentication and Authorization in Microservices and JWT
OCHaCafe Season4 #4の資料です． デモのソースコード等は
今度は徳島市でも判明、止まらない富士通Japan巡るコンビニ誤交付トラブル
マイナンバーカードを使ったコンビニ証明書交付サービスで、別人の住民票などが発行されるトラブルが立て続けに発生した問題を巡り、新たに徳島市でも誤発行が発生していたことが2023年5月11日までに分かった。サービスの提供ベンダーは今回も富士通Japanだ。 徳島市によると、同年3月27日、徳島市に住民票を置く住民が徳島県小松島市のコンビニでマイナンバーカードを使って住民票の発行を申請したところ、別人の戸籍証明書が誤交付されたという。具体的には、3枚つづりになっている戸籍証明書のうち、2枚目のみが印刷された。誤った証明書を受け取った住民はコンビニの店員に当該証明書を渡し、返金を受けたという。 トラブルは、地方公共団体情報システム機構（J-LIS）が検知したアラートによって判明した。同日の夜にJ-LISから徳島市にシステムエラーの可能性について連絡が入った。徳島市は即日、コンビニ証明書交付サービス
JavaScriptホワイトボックス暗号とLINE Chromeのセキュリティ強化の裏話
LINE株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。 LINEヤフー Tech Blog LINE株式会社およびヤフー株式会社は、2022年11月17日・18日の2日間にわたり、技術カンファレンス「Tech-Verse 2022」をオンライン（ライブストリーミング形式）にて開催しました。特別連載企画「Tech-Verse 2022 アフターインタビュー」では、発表内容をさらに深掘りし、発表で触れられなかった内容や裏話について登壇者たちにインタビューします。今回の対象セッションは「JavaScriptホワイトボックス暗号とLINE Chromeのセキュリティ強化」です。 LINEが提供するアプリケーションはさまざまなプラットフォームで動作しています。ネイティブであれWebであれ、すべての環境で高いレベルのセキュリティ
セキュリティ相談を受けたときに引用したい記事集(WIP) - Qiita
セキュリティ相談を受けたときに引用したい記事・ニュース集・事例集 これは何？ セキュリティ相談受けた際、過去のインシデントや事例などを引用して、「その対策必要なの？」というい疑問への説得力を持たせたりすることがあります。 が、その場で思い出せることは稀です。よく引用できていますが、「どっかにあった気がするんだけどな〜」と思って思い出せないことが7割くらいな気がします。 そんなことがないように、ここにまとめていきます。 いつかまとめたいと思っていたんですが、すぐ思い出せないので永遠に先延ばしにしていたので、未完成のまま公開します。 少しずつ思い出す度に増やします。 BetterThanNothingの精神です。 参考: https://www.youtube.com/watch?v=bnfPUrJQh1I 事例集 各種プロダクトのセキュリティガイドラインなど メルカリさんのgithub ac
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】 LINEMOがパスワードを平文保持している――そんな報告がTwitterで上げられている。ITmedia NEWS編集部で確認したところ、LINEMOの他にドコモとahamo、ソフトバンク、Y!mobileの会員サービスでも、ユーザーに対してパスワードを平文で提示する機能を持っていることが分かった。事業者側によるパスワードの平文保持は、不正アクセスなどで情報漏えいが起きた際のリスクになる可能性がある。 【編集履歴：2022年3月16日午後2時 ドコモへの追加取材に伴い、タイトルとドコモ引用部の記述を変更し、追記を行いました】 【編集履歴：2022年3月16日午後7時30分 ソフトバンクへの追加取材に伴い、ソフトバンク引用部の記述を変更し、追記を行いました】
noteからコンテンツをエクスポートする方法がないというリスク｜ほりまさたけ
今朝、note のアプリに通知が入っているので確認するためにアプリをタップしたところ、珍しいエラーがでてきました。 処理能力を一時的に超えていたのか、502 Bad Gateway のエラーが表示されたのです。障害猫、かわいいですよね。 しかし少しだけ心配になったのは、note 自体に取り返しのつかないような障害が発生した場合に、ここで書いたコンテンツを避難させておくためのエクスポートの方法がいまのところないという点です。 情報のストックにはエクスポートが必須 もうこれまで何年もブログを運営し、当初アメリカのサーバーで始めたものを日本のサーバーに移し替え、さらに個人のVPSも含むいくつかのサーバーに移動させてきました。 その経験でつくづく思うのは、逆説的に聞こえるかもしれませんが、ブログであろうと、なんであろうと、情報のストックというものは可搬性があって初めて信頼性が担保されるという点です
「ガバメントクラウド」に国産IaaSが不在だったワケ さくら田中社長に聞く日本ベンダーの課題
日本政府の共通クラウド基盤として、デジタル庁が進めている「ガバメントクラウド」。10月には「Amazon Web Services」と「Google Cloud Platform」の採択を発表し、これらを活用したマルチクラウド環境に同庁のWebサービスなどを構築・移行する方針を示した。 この発表に対し、ネット上では「なぜ国産クラウドではないのか」「日本の産業を育成する気はないのか」といった意見が続出。匿名掲示板「2ちゃんねる」の開設者・西村博之（ひろゆき）さんも「自分ならさくらインターネットやGMOなど日本の事業者のクラウドを標準にする」とABEMA TVの報道番組で発言するなど、海外のIaaSを採択したデジタル庁の判断を疑問視する声がみられた。 一方、IaaS「さくらのクラウド」を提供するさくらインターネットの田中邦裕社長は、国産IaaSが採択されなかったことについて「日本のIaaSベン
Smoozユーザーデータの取り扱いに関する調査結果とお詫び – Smooz Blog
当社開発のウェブブラウザ「Smooz」におけるユーザーデータの取り扱いについて、ご利用者の皆様、関係者の皆様に、多大なるご迷惑とご心配をお掛けしておりますことを深くお詫び申し上げます。当社では2020年12月23日に「Smoozのサービス終了」についてブログにてご案内させていただきました。その後Smoozにおけるユーザーデータの取り扱いに関して、外部専門家とともに調査を実施しましたので、その結果についてご報告申し上げます。 記 Smoozで取得していたユーザーデータについてユーザーデータの取扱いにおける問題点(1) ユーザーデータの容易照合性(2) 本文における個人情報の混入可能性(3) 第三者への行動履歴情報の提供(4) 適切な情報開示の不足本件の対応と再発防止策(1) サービスの終了とデータの削除(2) 外部専門家による監査 1.Smoozで取得していたユーザーデータについて Smoo
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
C向けサービスで 使われている認証方式と安全な使い方
日本と海外のクラウドサービスのセキュリティチェックシートの現状と課題｜Conoris VRM Labo
【セキュリティ】AWS Cognito/Google Identity/Azure AD B2C/Auth0結局の認証サービス(IDaaS/IAM)はどう言った基準で採用すれば良いのかまとめてみました。 – Self branding