ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita
pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。
紙保存パスワードはネット経由で抜き取られるリスクが低いので優秀
紙保存は危険という考えが広まっていた時代はまだインターネットが貧弱で、ハッキングを食らう場合は現地に赴かれている場合が多かった。 だが現代におけるハッキングの大部分はインターネット経由であり、物理的に自分の身近にたどり着かれることは少ないので紙パスワードは優秀。 とみせかけて大きな問題が２つある。 １ ランダム生成が難しい ２ 複製（バックアップが難しい） この２つは結構大きな問題だ。 実は１番には逆転の発想での問題解決法がある。 それは「同じパスワードとユーザー名を使い回すことを決定したサイト同士」で管理してしまうという手法だ。 たとえば「ヤフーとグーグルとはてなは全部このパスワードとユーザー名」と決めてしまって手帳等のページを確保し、同じ基準に従うサイトを書き出すのだ。 これだと生成するパスワードの数は少なくて済むし、流出時にどれを更新しなければいいかが一目で分かる。 そして、２番につ
Hiromitsu Takagi on Twitter: "そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。）"
そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。）
【注意喚起】「7pay」でさっそくクレカ不正利用 相次ぐ高額チャージ→使用、ようやくセブンも認める
まず確認すべきもの 7pay のチャージ・利用履歴 クレジットカードの使用履歴 登録しているアドレスのメールボックス怪しいチャージを察知したら クレカ・デビットカードを紐付けしていれば →クレジットカード会社や銀行に連絡 不正に残高を使われていたら →7payお客様サポートセンター緊急ダイヤル：0570-012-113（24時間・年中無休） →お客様サポートセンター（フリーダイヤル）できました：TEL：0120‐192‐044 それらと同時に ログインIDやパスワードを推測しにくいものに変更 Tack C. @ttack1122 【写真】７payで不正アクセス被害に会いました。 今朝短時間に１９万円分の不正アクセスによるチャージと２回（９万５千円と１０万円）の高額決済被害に会った履歴のスクリーンショットの一部です。 １分間で３回のチャージとは、人間業でしょうか？ pic.twitter.c
荷物追跡アプリ「ウケトル」にヤマト運輸が注意喚起 「IDやパスワードが第三者に利用される危険性」アプリは反論
配達される荷物をスマホから一括で管理でき、再配達依頼もできるアプリ「ウケトル」の使用に関して、ヤマト運輸が利用者に対し、「個人情報が利用される恐れがある」とメールで注意喚起をしている。
「パスワードの定期的変更は、古びた時代遅れの極めて価値の低い対策」、Microsoftが次期大型アップデートでポリシー変更
Microsoftは4月24日（現地時間）、間もなくリリースされるWindows 10の次期大型アップデート「Windows 10バージョン1903」（19H1）と「Windows Serverバージョン1903」について、セキュリティベースライン設定のドラフト版を公開した。 今回のドラフトでは、「パスワードの定期的な変更を促していたポリシー」の廃止が盛り込まれたことが注目されている。Microsoftはこれについて、「パスワードセキュリティの現状に問題があることは疑いようがない」と認めている。 ユーザーが自分でパスワードを作成する場合、安易なパスワードを選びがちな傾向があるという。覚えにくいパスワードの作成を強要されたり、割り当てられたりすれば、目に見える場所に書きとめておく。パスワードの定期的な変更を強要されれば、既存のパスワードに予想可能な変更を少しだけ加えて済ませがちで、新しいパス
KINEZOは映画館の係員でもパスワードを覗ける - 35歳からの中二病エンジニア
KINEZOといえば、映画のチケット予約サービスだけれども、セキュリティー界隈では「数字4桁のログインパスワード」でお馴染みの有名所でもある。平成も終わりに差し掛かっているのにこれを貫いていることについては何と申せば良いのやら…。そんなKINEZOだが、今回は新宿バルト9で更なる深淵を覗いてしまったので、ここに書き記しておく。 暗証番号代わりのログインパスワード 昨日映画を観に行った所、生憎スマートフォンの調子が悪くてネットに繋がらなかったので、チケット発行用の予約番号は確認できたが、QRコードの確認ができなかった。そこで、予約番号からチケットを発券しようとした。 すると、求められたのはKINEZOのログインパスワード。 おいおい、ログインパスワードが暗証番号代わりかよ…。 と、その時点でセキュリティー的にアウトだろうとは思いつつも、仕方ないので入力する。が、どうにも通らない。暗証番号代わ
ランダムな文字列っぽい「ji32k7au4a83」というパスワードが大量のユーザーに使われていた理由とは？
by www.shopcatalog.com ユーザー認証などに使用するパスワードは外部から推測しにくいものが推奨されており、意味の通らない英字や数字の組み合わせはほかの人とパスワードがかぶりにくく、セキュリティが高いと思われがちです。しかし、エンジニアのRobert Ou氏は「ji32k7au4a83」という一見意味の通らないパスワードが多くの人に使われていることを発見し、「なぜこのようなランダムに見える文字列がたくさんの人に使われているのか？」という謎についてTwitterで発信しました。 Fun thing I learned today regarding secure passwords: the password "ji32k7au4a83" looks like it'd be decently secure, right? But if you check e.g. HIB
「世のエンジニア卒倒レベル」宅ふぁいる便が480万件の情報漏洩、暗号化もされてませんでした→ユーザー宛のメールも無茶苦茶
宅ふぁいる便 @takufailebin ファイル転送サービス「宅ふぁいる便」におきまして、一部サーバーに対する不正アクセスにより、お客さま情報のデータが外部に漏洩したことを確認いたしました。詳しくはこちらをご参照ください。 filesend.to 2019-01-26 03:08:26
21世紀の人類がZIPのパスワードを直後のメールで送るのは、なぜデスか？：こうしす！ こちら京姫鉄道 広報部システム課 ＠IT支線（11） - ＠IT
井二かけるの追い解説 今回の漫画のテーマは、ITエンジニアの間でしばしば批判される「後続メールでのパスワード別送」です。 ここでいう「後続メールでのパスワード別送」とは、メールで添付ファイルを送付する際、添付ファイルをパスワード付きzipとし、後続メールでパスワードを送付するという方式です。 現在、情報セキュリティ対策の一環として、「後続メールでのパスワード別送」を採用する企業が数多く存在します。漫画のようにパスワード別送をシステムで自動化している企業も少なくありません。 では「後続メールでのパスワード別送」は何が問題なのでしょうか。代表的な2つの点を挙げます。 1.後続メールでパスワードを別送しても、セキュリティはほぼ向上しない 電子メールはその仕組み上、基本的に相手に届くまでに複数のサーバを経由します。メール送信にTLS/SSLを用いても、暗号化が保証されるのは自分が使用しているメール
「変えたパスワードをいちいち覚えられるか！」という人に、今知って欲しい方法
先日、ユーザーの皆さんなら誰でもドキッとするようなメールを受け取りました。 件名には、私のメールアドレスと一緒に、私がいつか使っていた「パスワード」が記載されています。本文は英語で、「お前のパスワードは○○だと分かってるぞ。どうしてこんなメールが届いたのか、お前はさぞ驚いてるだろうな、えぇ？」という文言に続き、「お前のPCにウイルスを仕込んだ。お前が見ていたアダルトサイトの画面と一緒に、閲覧中のお前の姿を録画してある。もちろん連絡先も全て盗んだ。外にばらまいてほしくなければ、ビットコインで1000ドル分支払え」――という内容でした。 このようなメールは、複数の送信元から多数送られてきました。自分が使っているパスワードそのものが件名に書かれていたら、誰でもびっくりするでしょう。 ただし、1点だけ気になったことがありました。私に来たメールに書かれていたパスワードは、確かに以前使っていたものです
パスワード「頻繁に変更はNG」 総務省が方針転換 - 日本経済新聞
定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述
あのパスワード規則、実は失敗作だった - WSJ
パスワードに記号や大文字や数字を盛り込み、定期的に変更するというルールは間違いだったと当事者が告白。
【追記あり】（JIS配列のキーボードの場合）macOSのパスワードに、"|"を使ってはいけない（訳ではないが、注意が必要な話） - 新潟の空は今日も灰色/東京の空は今日も青空
macOS のパスワード変更画面では、記号の|（縦棒。よくプログラムの論理演算子で or を表現するときに使うあいつ）を入力することが出来る。また、管理者権限を求められる場合などのパスワード入力画面でも|を入力することが出来るし、コンソール上でも入力可能だ。*1 しかし、再起動後のログイン画面では、|を入力することが出来ないのである。*2 Shift+\ を押下しても無反応。それがなにを意味するか。すなわち「OSにログイン出来なくなる」ということなのである。 たとえば、パスワード作成のちょっとしたテクニックで、「aの代わりに@を使う」「l（小文字のL）の代わりに1（西洋数字の一）を使う」など、形の似た別の文字に置き換えて推測されにくくするというものがある。 なにも考えずにこれを適用し、「l（小文字のL）の代わりに|（記号の縦棒）」をmacOSのパスワードで採用すると、次OSを再起動したあと
「パスワードは定期的に変更してはいけない」--米政府 （ニューズウィーク日本版） - Yahoo!ニュース
＜アメリカの電子認証専門機関が、定期的なパスワード変更の推奨をやめると決めた。エンドユーザーもいずれ、代わりの新しい「パスフレーズ」を要求されるようになるはすだ＞ 米政府機関はもう、パスワードを定期的に変えるのを推奨しない。アメリカの企画標準化団体、米国立標準技術研究所（NIST）が発行する『電子認証に関するガイドライン』の新版からルールを変更する。 ウェブサイトやウェブサービスにも、サイトが乗っ取られたのでもない限り、「パスワードが長期間変更されていません」などの警告を定期的に表示するのを止めるよう勧告するという。銀行や病院のように人に知られてはいけない個人情報を扱う機関も同じだという。 【参考記事】パスワード不要の世界は、もう実現されている？！ 実は近年、情報セキュリティー専門家の間でも、特別の理由がない限り、ユーザーにパスワード変更を求めるべきではないという考え方が増えてきた
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ヤマト運輸が「再配達の改善」を謳う野良アプリの利用に注意喚起した内容に見る世も末感(山本一郎) - 個人 - Yahoo!ニュース
東京大学「新しいパスワードは必ず30文字以上」→実は納得できる理由があった「さすが東大」
Expired
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
Expired