公開鍵暗号方式だからフィッシング対策できるって意見、もうええでしょう｜ritou
定期ってつけてるぐらいいつも言ってることなのですが、公開鍵暗号方式にしたらフィッシング対策もできてすんばらしいみたいな表現には反対です。 何が課題なのかパスワード認証とフィッシング攻撃における課題はいくつかあります。 フィッシングサイトにパスワードそのものが盗まれ、それを使ってログインされてしまう (クレデンシャルスタッフィング) フィッシングサイトの中継により、ログインセッションが盗まれてしまう(MiTM, AiTM) OTP、TOTP、認証アプリなどの認証を追加してもやられてしまう 前者については明示的ですね。そもそもSMS OTPは認証イベントに紐づいていますし、TOTPは時間に紐づけられています。なので前者のような再利用の課題へは元から対策されているとも言えます。Webアプリケーションやネイティブアプリが正規なものに対してのみパスワードが入力されるような仕組みが必要とされていたわけ
RHEL, OpenShiftのFIPS準拠モード
はじめに 本記事では、Red Hat製品、特にRHELとOpenShiftをFIPS準拠モードで使用するためにはどうするか、どのような仕組みによってFIPS準拠モードで稼働するか、について調べた内容を書きました。 KubernetesをFIPS準拠させるのはなかなか大変で、実際Red Hatも「OpenShiftはFIPSに対応していたつもりが実はできてませんでしたすみません」というCVEを発行したりしています (CVEの技術的背景等はこちらに解説があります)。 なお、本ドキュメントでは便宜上、FIPSの承認ステータスがFIPS validatedなものもModules in Progressなものもまとめて「RHEL(もしくはOpenShift)はFIPS準拠している」「FIPS準拠した暗号化モジュールを使って」のような表現をしていますのでご注意ください。正確にはざっくりRHEL 8系は
特別勉強会：国際的な動きと私たちのセキュリティ技術/PKIのこれまでとこれから - 松本泰氏をお招きして - 開催のお知らせ - JPNIC
2024年3月1日 各位 一般社団法人日本ネットワークインフォメーションセンター 特別勉強会： 国際的な動きと私たちのセキュリティ技術/PKIのこれまでとこれから - 松本泰氏をお招きして - 開催のお知らせ 本イベントは既に終了しました。 公開鍵基盤の技術であるPKIをはじめとする国内で展開されるセキュリティ技術に関し、 IETFといった標準化団体やPKIに関わる業界団体等で、 相互運用性、国際化、認証業務における透明性、近年ではIoT等のセキュリティに関する活動など、 組織を超えた幅広い議論と取り組みが行われてきました。 この度、JNSA PKI相互運用技術WGをはじめとしてInternet Week等でも活躍され、 長年にわたりPKI技術について貢献されている松本泰氏を中心に、 さまざまな分野で活躍されている方々をお招きし、 「PKIのこれまでとこれから」の講演とそれを受けた議論を行
トラストのためのデジタル署名検証解説|JNSA電子署名ワーキンググループ
目的 さまざまなサービスがデジタル化し、ネットワークを介して提供され、デジタルデータが国境を越えて飛び交う中で、何をどうやって信用するかは重要な課題です。中でもデータについては、流通するデータ量が膨大になるにつれ、１つ１つを確認することは容易ではなく信頼できる根拠が必要となり、それは「電子署名」の役割と言えます。 さまざまな電子署名方式について紹介し、標準化の進んでいるデジタル署名について、単なる検証処理だけでは確認できないトラストの要素について解説します。デジタル署名技術の専門家ではない利用者向けの導入から、最新の技術動向まで幅広く記載していますので、トラストを確保したい場合の参考としていただければと思います。 なお、合わせて2021年4月に公開した「デジタル署名検証ガイドライン」についても若干の誤記修正や情報の更新を行いましたので、v1.1として更新しています。 「デジタル署名検証ガイ
認証に電話網を使うのはそろそろやめよう
こんにちは、Azure Identity サポート チームの 高田 です。 本記事は、2020 年 11 月 10 日に米国の Microsoft Entra (Azure AD) Blog で公開された It’s Time to Hang Up on Phone Transports for Authentication の抄訳です。新着記事ではありませんが、以前より繰り返し様々な記事で参照されており、多くのお客様にとって有用であるため抄訳しました。ご不明点等ございましたらサポート チームまでお問い合わせください。 以前のブログ パスワードで攻撃は防げない - Your Pa$$word doesn’t matter では、パスワードに潜む脆弱性を明らかにしました。加えて、「でもパスワード以外の他の認証方法も侵害される可能性あるでしょ」という無数の DM や E メールに対する答えとして
ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita
pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。
秘密鍵のファイル周りの話
開発していると、公開鍵暗号の技術を利用する場面は多々ある。 EC2インスタンスへのSSHする時や、Snowflakeの認証時に RSA キーペアの秘密鍵を利用する 公開鍵証明書 ... いろんな用語、トピックがあり混乱するのでまとめてみた。 ここではとりあえず特にRSA暗号を念頭に置き話を進める。 規格群 そもそも公開鍵暗号に関する技術はいろいろな形で規格が定められていたり、標準化されていたりする。 PKCS Public-Key Cryptography Standards の略で、RSAセキュリティというソフトウェア会社が考案した公開鍵暗号の規格群のこと。元々はRSAセキュリティ社が自社の暗号技術に関する特許を利用促進するために発行したのがはじまり。 近年ではその一部は IETF などと標準化が進められており、 RFC として整備されているものも多い。 内容ごとに PKCS #1 など
IPAサイトの改変に袖を涙で濡らすPKIエンジニアが作った昔を懐かしむリンク集(仮)
2023年3月31に情報処理推進機構(IPA)のウェブサイトの大幅変更があり、過去に使えていたコンテンツが参照できなくなったり騒ぎになりました。かくいうPKIエンジニアをしている私も結構困ったので、PKIエンジニアがよく参照しそうなコンテンツがそのままなのか、移動したのか、廃止になってアーカイブされたのかなど調べて自分向けの「リンク集」を作っておきました。 よかったら使ってください。 [移動] TLS暗号設定ガイドライン 安全なウェブサイトのために（暗号設定対策編）(最終更新 2021.12月) https://www.ipa.go.jp/security/crypto/guideline/ssl_crypt_config.html (移動先) https://www.ipa.go.jp/security/crypto/ssl_crypt_config.html (旧リンク切れ) [移動]
HPKE とは何か | blog.jxck.io
Intro HPKE (Hybrid Public Key Encryption) が RFC 9180 として公開された。 RFC 9180: Hybrid Public Key Encryption https://www.rfc-editor.org/rfc/rfc9180.html HPKE は、公開鍵暗号方式と共通鍵暗号方式を組み合わせて(ハイブリッド)任意の平文を暗号化するための、汎用的な枠組みとして標準化されている。 この仕様は、多くのユースケースが想定されており、 RFC になる前から ECH (Encrypted Client Hello), MLS (Message Layer Security), OHTTP (Oblivious HTTP) など、さまざまな仕様から採用を検討されている。 本サイトで書く予定の他の記事でも HPKE は頻出する予定であり、今後より多く
HTTP/3 の特徴 HTTP/2とQUICの違い | REDBOX Labo
今回は改めてHTTP/3とはどのようなもので、QUICとは何か、HTTP/2時代からの改善点と我々はHTTP/3の波に乗るべきなのかチェックしていきたいと思います。時がたち次世代Web通信プロトコル「HTTP/3」の標準化プロセスが完了し、2022年6月に「RFC 9114」となりました。既に基盤となる「QUICプロトコル」の標準化プロセスも完了し、RFC9000としてRFCとなりました。もうHTTP/3は無視出来ないところまできています。 HTTP/3の誕生と歴史HTTP/3とは、HTTP/1.1 HTTP/2に続く新しいバージョンの約束事です。HTTP/1.1からHTTP/2は様々な点で劇的な進化を遂げましたが、HTTP/3はHTTP/2の根本的な課題をTCP・TLSの融合という形で解決し問題点を補うよう進化してきました。 1991年：HTTP/0.9（HTTPの始まりGETメソッドし
sigstoreによるコンテナイメージやソフトウェアの署名 - knqyf263's blog
恐ろしく長い上に割と複雑なので最後まで読む人はほとんどいないと思うのですが、将来確実に忘れてしまう自分のために書いたので別に悲しくありません。 まえがき 背景 sigstoreの概要 sigstoreを構成するツール群 Cosign Rekor Fulcio 署名方法 コンテナイメージ 鍵ペアの生成 署名 検証 Blobs 鍵ペアの生成 署名 検証 署名の仕組み コンテナイメージ OCI Registryについて 署名の保存先 署名フォーマット 署名検証 検証が不十分な例 Blobs 参考 まとめ まえがき 鍵の管理不要でソフトウェア署名を可能にするKeyless Signingについて解説を書こうと思い、まず前提知識を書いていたら信じられないぐらい長くなったので前提知識だけで1つの記事になりました。 後述するsigstoreは急速に開発が進んでいるプロジェクトであり、ここで書いている記述
CVE-2022-21449: Psychic Signatures in Java
The long-running BBC sci-fi show Doctor Who has a recurring plot device where the Doctor manages to get out of trouble by showing an identity card which is actually completely blank. Of course, this being Doctor Who, the card is really made out of a special “psychic paper“, which causes the person looking at it to see whatever the Doctor wants them to see: a security pass, a warrant, or whatever.
What are ssh-keygen best practices?
Most users would simply type ssh-keygen and accept what they're given by default. But what are the best practices for generating ssh keys with ssh-keygen? For example: Use -o for the OpenSSH key format rather than the older PEM format (OpenSSH 6.5 introduced this feature years ago on 2014-01-30) How should one calculate how many rounds of KDF to use with -a? Should -T be used to test the candidate
SSH Key Best Practices
Ensure Separation Ensure SSH Keys Are Associated With a Single Services Tie SSH keys back to an individual services, rather than just a generic key that is associated with multiple services github / acquia /aws etc . This will provide an effective SSH audit trail and more direct oversight. Use a separate key per client you SSH from So don’t copy the private key from your laptop to another laptop f
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Google Chrome」にCookieの盗難を防ぐ技術「DBSC」が導入へ／公開鍵暗号技術やTPMを活用して、セッション盗難の被害を最小限に
RFC 9500: Standard Public Key Cryptography (PKC) Test Keys
A Deep Dive into TPM-based BitLocker Drive Encryption – Sec Team Blog
Database Cryptography Fur the Rest of Us - Dhole Moments
https://www.java.com/en/jre-jdk-cryptoroadmap.html
SSH Key Management Overview & 10 Best Practices | BeyondTrust