FIDO認証＆パスキー総復習（認証の仕組みやパスキー登場までの経緯）
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは。サービス統括本部ID本部で認証サービスの開発運用を担当している服部です。 パスワードに代わる新たな認証手段としてパスキーが登場し、多くのサービスでも利用ができるようになってきていますが、みなさんはご活用されていますでしょうか。このパスキーとはパスワードに代わる認証情報で、Fast IDentity Online（FIDO）仕様というFIDOアライアンスによって規格策定されている技術をベースとしています。ヤフーでも2018年から「生体認証でログイン」としてFIDO認証に対応し、2023年よりパスキーをつかった認証にも対応しています。 この記事ではこのFIDO認証の技術的な説明から当時の課題と解決方法、そしてその解決方法を
Azure ADのパスワードレス認証 | Always on the clock
Always on the clock これまでに、セミナーやカンファレンス、書籍を通じてお会いした方々、そしてこれから出会うであろう方々のために Microsoft テクノロジーを中心とした情報を株式会社エストディアンの国井 傑 (くにい すぐる) が提供するブログです。 皆さんこんにちは。国井です。 セキュリティという観点でのオンプレミスとクラウドの違いを語るとき、オンプレミスではファイアウォールを使ったネットワークベースの境界で守るのに対して、クラウドの場合にはIDを利用したバーチャルな境界で守る、という話をよくします。 IDを利用したセキュリティ対策と言っても、それがユーザー名とパスワード(だけ)では心もとないです。かと言って、多要素認証を利用することになれば、手間ばかりが増えたという印象をユーザーに持たれてしまいます。そこで最近、Azure ADではユーザー名とパスワードに代わる
'シームレス SSO' と 'パススルー認証' の一般提供開始
こんにちは、コラボレーション担当の和田です。 以前のブログで、まだパブリック プレビューの段階ではありましたが、Azure AD Connect を使用した新しいシングル サインオンとユーザー認証、アクセス制御の方法をご紹介しました。 TITLE: Azure AD Connect のシングル サインオン & パススルー認証 (プレビュー) によるクラウド完結のユーザー認証インフラの実現 URL: https://blogs.technet.microsoft.com/office365-tech-japan/2017/03/08/aadconnect-sso-and-pass-through-authentication/ 先月 US で開催された Microsoft Ignite 2017 で正式にアナウンスされ、Azure AD Connect のシームレス SSO 機能と、パススル
Windows Hello を Web で使うための Web Authentication API (FIDO 2.0) について調べた - しばやん雑記
所有している MacBook Pro と Surface Pro 4 は両方とも顔認証を使った Windows Hello を使うようにしているので、そろそろ Web サービス側も Windows Hello で便利になって欲しいです。 Build 2016 で発表されてから、特に話題に上ることもなくなってしまいましたが、実装してみたいので Web Authentication API (FIDO 2.0) について調べました。 私が調べた範囲では Windows Hello に対応した Web サービスを見たことがないので、今のうちに一通りの実装を試しておいて、どこかで組み込むチャンスが来るのを狙うという寸法です。 W3C による標準化 元々提案された FIDO 2.0 と Web Authentication API の現在のドラフトが公開されてます。 FIDO 2.0: Web AP
OAuthとOpenIDとSAMLを整理 - TsuyoshiKusakaの日々思うこと その2
うちの製品（Questetra BPM Suite）でも使っているOAuthとOpenIDとSAMLについて、うまく整理がついてなかったため、あらためて調べてしっくりきたのでまとめておく。 最終的な自分の理解をざっくりまとめると OAuth：認証＆ほしいデータにもアクセスできる（OAuthの相手がデータも持っている） OpenID、SAML：認証だけ、ほしいデータにアクセスできるかはまた別の話（OpenID、SAMLの相手＝IDプロバイダはデータを持っていない） ほしいデータがどこにあるかと認証先がどこかを意識するとうまく整理がついた。 ※BASIC認証もOAuthと同じ分類に入る どう理解していったか。まず「認証」と「認可」の違いについて再整理。 ○認証と認可の違い http://www.itmedia.co.jp/enterprise/articles/0804/22/news044.
無料でも複数メンバーによるウェブアカウント共有を可能にする「OneLogin」
TwitterやEvernote、WordPressなどのアカウントを複数のユーザーで共有する場合、各ユーザーの設定やログイン情報の管理を徹底するのはなかなか煩わしいものですが、そんな悩みを解決してくれるのが「OneLogin」です。OneLoginは4000以上ものウェブサービスやアプリに対応し、ログインに必要な情報を登録しておけばワンクリックであらゆるサービスにログインすることが可能で、さらにパスワードを個別のユーザーに知らせることなくログインを許可することなどができるシングルサインオン(SSO)サービス。その他にも多くの実用的な機能が搭載されているOneLoginには無料で利用できるプランも用意されているので、どのように使えるのか実際に試してみました。 OneLogin | Identity Management Vendor - Single Sign-On Service Pro
パスワードにストレッチングは必要か。
ECナビさんのBlogを発端とした、パスワードの暗号強度を高めるためにストレッチングは行うべきかという専門家の方のつぶやきのまとめ。途中からパスワードの定期変更は不要なのかについても派生していっていますが、一緒にまとめました。
Googleの2段階認証で使われているOTPの仕様が気になった - r-weblife
こんばんは、ritouです。 最近、Googleでいわゆる2段階認証といわれる2要素認証のしくみが日本のモバイル端末でも利用可能になりました。 利用方法などは既にネット上に広まっているので今回は省略して、その中で使われている追加の認証機能に注目します。 Googleの2段階認証について 説明は公式のドキュメントを参考にしましょう。 2段階認証プロセス スタート ガイド 日本のモバイル端末でも利用可能になったということで説明されたエントリも出ています。 遂にｷﾀ - .∵･(ﾟ∀ﾟ)･∵. - ｯ!!大事なGoogleアカウントを堅牢に守りきる2段階認証プロセス日本語版がとうとう有効になりました！ - 適宜覚書-Fragments これでだいたいわかると思いますが、概要はこんな感じです。 Email/PWに加えて追加の認証を利用できる 認証コード通知方法(1) : 携帯電話へのメールで通知
FAQ：2要素認証について知っておくべきこと--Twitterなど大手サービスで進む不正アクセス対策
2要素認証（2FAと略されることが多い）によって、ユーザーの基本的なログイン手続きの手順が1つ増える。2FAがない場合は、ユーザー名とパスワードを入力するだけでログインは完了だ。パスワードは単一要素認証である。2つめの要素を追加することで、理論上はアカウントのセキュリティが強化される。 「Twitterは（2つめの要素を追加するために）SMSを利用する決定を下した。同社の立場からは、そうすることが理にかなっているからだ」。Duo Securityの最高技術責任者（CTO）であるJon Oberheide氏はこのように述べた。Duo Securityは身元の証明にアプリを利用している。SMSには「あらゆる場所で使われているという側面がある。必要なのは携帯電話だけだ」（Oberheide氏） しかし同氏は、非常に大きな注目を集めたTwitterハッキングの多くは法人のTwitterアカウントを
AWSがソーシャルログイン可能に。つまりAWSが事実上のMBaaSになった - snippets from shinichitomita’s journal
http://aws.typepad.com/aws_japan/2013/05/aws-iam-now-supports-amazon-facebook-and-google-identity-federation.html ほんとは言いたいことは表題だけで終了なんですが、とりあえず３行程度でまとめ。 AWSサービス群のAPIへアクセスするためのトークンを発行するサービス（STS）が、外部のアイデンティティプロバイダとの連携を開始した（Facebook、Googleなど） つまり、エンドユーザの認証のための中間サーバ（EC2も含め）を用意しなくても、AWSサービスを直接利用するモバイルアプリが作れるようになった（例：FacebookIDでログインし、S3上に割り当てられたユーザ専用のエリアに写真やファイルをアップして共有するアプリなど）。 これって、いわゆるMobile Backend
「パスワードでの保護は限界」と結論したGoogleが評価するセキュリティ技術
Googleは、2013年1月、セキュリティに関する研究結果を公表した。このレポートは「Authentication at Scale」というタイトルで、ユーザー認証技術についての評価報告である。Googleはこのレポートで、「パスワードとCookieで利用者を守ることはできない」と結論付け、新たな技術の導入を検討していることを明らかにした。 ユーザー認証にハードウエア・キーを利用 Googleが評価している技術の一つがYubiKey (ユビキー) という製品である。この製品は、Palo Alto (カリフォルニア州) に拠点を置く、Yubico (ユビカ) というベンチャー企業により開発されている。YubicoはRSA Conferenceに同社の最新技術を出展していた。 Yubicoのブースにおいて (上の写真、出展はすべてVentureClef)、John Salterから、製品デモ
Mozilla、Webサイト向けのユーザー認証システム「BrowserID」を公開 | OSDN Magazine
MozillaのIdentity teamは7月14日、Webサイト向けの新たなユーザー認証システム「BrowserID」を公開した。ユーザーとWeb開発者の両者にとって安全で使いやすい認証システムを目指すという。 Web開発者にとって、ユーザー認証をどのように実装するか、というのは難しい問題である。たとえば古典的な方法としてメールアドレスの入力を求めるというものがあるが、この場合ユーザーはサイトごとにメールアドレスやパスワードの登録を行う必要があり、また開発者もトークンの発行やメールの送信といった機能の実装を強いられるため不便である。また、FacebookやTwitter、Googleなどが提供しているユーザー認証システムを使うというオプションもあるが、これらは各サービス事業者に依存してしまうという問題がある。そこで開発されたのがBrowserIDだ。 BrowserIDはメールアドレス
アイデンティティシステムのデザイン時に考慮すべき国際規格
なにやらご大層な題名だが、もちろん総合的なリストなんかできるわけもないので、とりあえず開始点として思いつくものを書き連ねてゆこうと思う。他にもあったらコメント欄にでもどんどん追加していっていただきたい。 ◎市民的及び政治的権利に関する国際規約（国際人権規約） – International Covenant on Civil and Political Rights and UN Human Rights Committee(ICCPR) この規約の16条は“Everyone shall have the right to recognition everywhere as a person before the law.（すべての人はどこに於いても法の前に人間としての認められる権利を持つ）”と述べている。この「どこに於いても」は、デジタル・アイデンティティに対しても拡張して適用されるべき
オープンソースのIDアクセス管理「AccesStream」が登場 | OSDN Magazine
米AccesStreamは1月2日（米国時間）、ID・アクセス管理ソリューション「AccesStream」のベータ版をオープンソースとして公開した。同社Webサイトよりダウンロードが可能。エンタープライズ級のIDアクセス管理技術を目指す。 AccesStreamは、Javaベースのエンタープライズ向けIDアクセス管理技術プロジェクト。認証、監査、レポーティング、ユーザープロファイル管理、セキュリティポリシー、シングルサインオン、ディレクトリのサポートなどの機能開発を目指す。 今回のリリースはベータ1となり、SAML HTTP POSTバインディングを利用したシングルサインオン、JAAS（Java Authentication and Authorization Service）サポートなどを特徴とする。ライセンスはLGPL（GNU Library or Lesser General Pub
ホーム | (株)シー・オー・コンヴ
2024.05.13 第9回 関西教育 ICT 展 (2024.07.25～26 開催) に出展いたします。 2024.05.13 New Education Expo 2024 (2024.06.06～08 東京会場、2024.06.14～15 大阪会場) に出展いたします。 2024.05.13 第55回インターネット技術第 163 委員会研究会 -ITRC meet55- (2024.05.16～17 開催) に出展いたします。セッション5 にて発表を予定しています。 2024.03.05 第15回 教育ITソリューションEXPO (EDIX エディックス) (2024.05.08～10 開催) に出展し、AVD 対応製品を始め、最新の製品群をご紹介いたします。詳細はこちら 2023.11.27 年内の業務は12月22日をもって終了致します。年始は1月9日より営業致します。お急ぎの場
OpenID.ne.jp - OpenIDを使って10000サイト以上にたった１つのIDで入れます。あなたもOpenIDを作成しませんか？
最も安い引越し業者を探す方法は簡単です！ それは、引越し業者に１社ずつ見積もりを取ってもらい、比較すること。 しかし、 １社１社、見積もりを依頼するのは非効率で、 時間も労力もかかってしまいます。 そこで、おすすめなのが、 引越し業者一括見積もりサービス ご自身の荷物量と住所や引越し時期など、 概要を一度入力するだけで、 複数の引越し業者に対して見積もりを依頼することができます！ 一回の手間で見積り依頼が可能なので、 労力がかからない、時短！お役立ちサイトを使って、 賢く引越し業者を比較しましょう。 さらに、引越し業者一括見積もりサービスだと、 料金を比較される、ということを引っ越し業者も分かっているので、 通常の見積もりよりも安く提示してくれることが多いです。 安く引っ越したいなら、引越し業者一括見積もりサービスをフル活用しましょう。 引越し業者一括見積もりサービスおすすめ５社 サイトに
システムは生体認証とともに － TechTargetジャパン
企業ITシステムでは、PCローカル、ネットワーク、基幹システム、アプリケーションなど、ほとんどのレイヤーで「認証」を必要としている。昨今の企業情報漏えい事件における約80％が社内から発生していることを考えれば、システムを利用する権限を管理し、認証を行うアクセスセキュリティ対策はコーポレートガバナンスのいろはの“い”ともいえる。 アクセスセキュリティの礎である認証は多くの場合、あらかじめ利用を許可されたユーザーを認証するもので、多くの認証システムでユーザーIDとパスワードによる認証を採用している。しかし、ID／パスワードは単純な文字列の情報であり、セキュリティレベルを維持することは困難だ。ユーザーは利用するシステムごとにID／パスワードを覚え、管理し、認証ごとに入力しなければならない。その際、例えば備忘として付せんにID／パスワードを記入するといったユーザーの不用意な管理が原因となりID／パ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
QRコードを使ったワンタイムパスワード認証システムが提案される | スラド セキュリティ
http://japan.internet.com/webtech/20130508/2.html