More secure private attachments
May 9, 2023 Previously, all attached (drag-and-dropped) images and videos on GitHub Issues, Pull Requests, Discussions, and wikis were available to view without authentication if you knew their direct URL. Now, future attachments associated with private repositories can only be viewed after logging in. This doesn’t apply retroactively to existing attachments, which are obfuscated by having a long,
多要素認証(MFA)を回避するサイバー攻撃が流行、Microsoftが警告
Microsoftはこのほど、「Token tactics: How to prevent, detect, and respond to cloud token theft - Microsoft Security Blog」において、認証に用いられるトークンの盗難が急増していると伝えた。組織が多要素認証(MFA: Multi-Factor Authentication)の適用範囲を拡大するにつれ、サイバー攻撃者は企業のリソースを侵害できるよう、より洗練された手法に移行してきていると警告している。 Token tactics: How to prevent, detect, and respond to cloud token theft - Microsoft Security Blog サイバー攻撃の手口として、トークン盗難が増加していることがMicrosoft Detection
【認証】JWTについての説明書
はじめに この記事を読んでいるあなたはJWTについて知っているだろうか？JWTは、認証されたユーザを識別するために最も一般的に使用される。JWTは認証サーバから発行されて、クライアント・サーバで消費される。 今回の記事では、Webアプリケーションの認証方法として最も利用されているJWT認証を簡潔に解説する。 本記事の読者の対象 JWT認証について知らない人 JWTのメリット・デメリット、仕組みについて詳しく知りたい人 アプリケーションの認証方法について詳しく知りたい人 JWTとは JSON Web Token(JWT)とは、クライアント・サーバの間で情報を共有するために使われる規格の１つである。JWTには、共有が必要な情報を持つJSONオブジェクトが含まれている。さらに、各JWTはJSONのcontentsがクライアントあるいは悪意のあるパーティによって改ざんされないように、暗号(ハッシュ
Introducing fine-grained personal access tokens for GitHub
EnterpriseSecurityIntroducing fine-grained personal access tokens for GitHubFine-grained personal access tokens offer enhanced security to developers and organization owners, to reduce the risk to your data of compromised tokens. Stolen and compromised credentials are the number one cause of data breaches across the industry. GitHub has a long history of protecting developers and enterprises from
Google、パスワードレスを実現する「Passkey」の開発者向けサポート開始。Androidデバイス間の同期、Androidを使ってWin/MacでのWebサイトへのログインなど実現
Google、パスワードレスを実現する「Passkey」の開発者向けサポート開始。Androidデバイス間の同期、Androidを使ってWin/MacでのWebサイトへのログインなど実現 Googleは、パスワードレスを実現する「Passkey」のAndroidとChromeでの開発者向けのサポートを開始したと発表しました。 Google is bringing passkey support to Android and Chrome! Users can now create and use passkeys on Android devices. Passkeys are a significantly safer replacement for passwords and other phishable authentication factors Try passkey supp
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン
歯ぎしりの音をイヤフォンで拾い個人認証 米国チーム「ToothSonic」開発
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米フロリダ州立大学と米ラトガース大学の研究チームが開発した「ToothSonic: Earable Authentication via Acoustic Toothprint」は、ユーザーが歯のジェスチャーを行う際に発生する歯型による音波効果を利用したイヤフォンベースの認証システムだ。 人によって歯の大きさや並びは違い、そのため歯を互いに噛んだり滑らせたりした際の音は固有のものであり、その音を着用するイヤフォンで捉え解析することで個人認証を行うのがこのアプローチになる。 永久歯は通常32本で、16本が上顎、16本が下顎に生えている。歯は上下左右に対称であるため、4象限に分けることができる
開発者のアカウントを2要素認証(2FA)で保護
GitHubでは、GitHub.com上でソースコードの開発に貢献するすべてのユーザーに対して、2023年の終わりまでに1つ以上の2要素認証(2FA)形式を有効化することを決定しました。 ソフトウェアサプライチェーンのスタート地点は開発者です。そして、開発者のアカウントは頻繁にソーシャルエンジニアリングの攻撃対象になったり、アカウント乗っ取りのターゲットにされます。そのため、こうしたタイプの攻撃から開発者を保護することは、サプライチェーンの安全性を確保するための最初の一手であり最重要事項です。GitHubにはソフトウェア開発者を保護してきた長い歴史があり、不正アクセスを受けた既知のユーザーパスワードを見つけて無効化する、堅牢なWebAuthnセキュリティキーのサポートを提供する、すべてのnpmパブリッシャーを強化されたログイン検証に登録するなどの取り組みを行ってきました。今回の対応は、Gi
Security alert: Attack campaign involving stolen OAuth user tokens issued to two third-party integrators
SecuritySecurity alert: Attack campaign involving stolen OAuth user tokens issued to two third-party integratorsOn April 12, GitHub Security began an investigation that uncovered evidence that an attacker abused stolen OAuth user tokens issued to two third-party OAuth integrators, Heroku and Travis-CI, to download data from dozens of organizations, including npm. Read on to learn more about the im
心臓の音で個人認証、精度95％以上 音のリズムやピッチを分析
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 スペインのUniversity Carlos III of Madrid、イランのShahid Rajaee Teacher Training University、イランのInstitute for Research in Fundamental Sciences （IPM）による研究チームが開発した「ECGsound for human identification」は、心電図から取得した心拍音を分析し、その人が誰かを特定するバイオメトリクス技術だ。心電図（ECG）信号をオーディオ波形ファイルに変換し、5つの音楽的特性を分析することで識別する。 今回はこれまでと違い、ノイズ（直流成分や
If you’re not using SSH certificates you’re doing SSH wrong
If you’re not using SSH certificates you’re doing SSH wrongUpdated on: June 8, 2023 SSH is ubiquitous. It's the de-facto solution for remote administration of *nix systems. But SSH has some pretty gnarly issues when it comes to usability, operability, and security. You're probably familiar with these issues: SSH user experience is terrible. SSH user on-boarding is slow and manual. Connecting to ne
IDとPWのみでのGoogleアカウントへのログインが5月30日に終了。サードパーティ製アプリなどに影響 | スラド セキュリティ
もとの告知がいつ行われたのかはハッキリしないのだが、Googleは5月30日にユーザー名とパスワードのみでGoogle アカウントにログインする「安全性の低い」アプリとデバイスに関するサポートを終了するそうだ（安全性の低いアプリと Google アカウント）。これだけだと分かりにくいが過去記事に書かれたコメントによれば、同日以降はアプリ側でOAuth 2.0への対応が必須になるという意味だそうだ。OAuth 2.0非対応のメーラーなどを利用している場合は対策が必要になる。昨年話題となった秀丸メールでの対策事例が参考になると思われる（窓の杜）。 なお、Googleの告知ではAppleデバイスに関する注意も記載されている。Google側の説明によると、Appleデバイス上でユーザー名とパスワードのみを使用しているユーザーが最近ログインしていない場合、2月28日以降はGoogleアカウントの種類
OAuth 2.0 全フローの図解と動画 - Qiita
RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF
AWS cognitoとReactでログインを実装する
こんにちはハトです。業務でcognitoを利用していたのですがかなり躓いたので共有します。 つまづきポイント多すぎ まずAWSを利用している方でSPAで認証を実現しようとしてネットをあさるといろいろ情報があることに気づく cognitoの利用 Amplify の auth の利用 わけわかめとなる。次にAmplifyを調べる cliがあるよ cliでコマンド打てばGraphQLとか使えるよ Amplify Consoleあるよ。静的ホスティングが自動化できるよ ん？認証だけ使いたいのになんでGraphQLいれるの？みたいになる。 とりあえず、僕がつまずいたポイントや知見を共有しようと思います。 前提 すでにcreate-react-appなどで、何かしらのreactプロジェクトを作ってある。 AWSでconigtoを使うだけならamplifyはいらないけど、amplifyライブラリは便利だ
GitHub Actions: Secure cloud deployments with OpenID Connect
October 27, 2021 GitHub Actions now supports OpenID Connect (OIDC) for secure deployments to cloud, which uses short-lived tokens that are automatically rotated for each deployment. This enables: Seamless authentication between Cloud Providers and GitHub without the need for storing any long-lived cloud secrets in GitHub Cloud Admins can rely on the security mechanisms of their cloud provider to e
SAML入門
【累計3500部突破（商業版含む）🎉】 SAMLaiの道は果てしなく険しい。 本書では、SAML2.0で一般的に多く使用されるフローであるWeb Browser SSOのSP-initiatedとIdP-initiatedと呼ばれるものを中心に、SP側の目線でなるべく簡潔に解説します。 SAML認証に対応してほしいと言われても、もう頭を抱える必要はありません。 筆者自身も何もわからない状態からもがき苦しみながらSAML SPを実装し、数年間サービスを運用してきました。 そのつらい経験を踏まえて、SPを実装する上で今まで触れられることのなかった ・どういう設計が必要か？ ・何を気をつけなければならないか？ のエッセンスを詰め込みました。 SAMLはエンタープライズ用途では求められることが非常に多く、歴史もそれなりに長いものですが、実装する上で必要な体系的な情報はなぜかほとんどありません。
Token authentication requirements for Git operations
SecurityToken authentication requirements for Git operationsIn July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App installation token) for all authenticated Git operations.… In July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://twitter.com/mootastic/status/1612413906248699906
偽造困難な「呼気」で生体認証する実証に成功。東大/JSTら
Solved: Use codeowners to suggest reviewers, NOT automatic... - GitHub Community Forum