氏名と生年月日でパスワードを割り出していたSNSの不正アクセス事案についてまとめてみた - piyolog
2022年1月6日、愛知県警はプライベートを盗み見する目的で不正アクセスを行っていたなどとして不正アクセス禁止法違反の容疑で男を逮捕しました。ここでは関連する情報をまとめます。 4年前から毎日不正アクセスと供述 愛知県警豊田署、足助署、県警サイバー犯罪対策課は2020年3月22日から2021年2月10日の4回に渡り愛知県内の女性のInstagramに自分のスマートフォンから不正アクセスを行った他、2021年3月から10月までに不正入手した東京都の女性タレントのInstagramのログインID、パスワードを自分のGmailアカウントに保管していたとして、不正アクセス禁止法違反の容疑で男を逮捕。*1 男は2021年10月に別件の不正アクセス事件で摘発を受けており、自宅のスマートフォンを押収し解析した結果今回の件が判明した。容疑を認めており、動機について「1500人ぐらいのSNSの覗きを行った。
史上最大規模のパスワードが漏洩 | Ubergizmo JAPAN
時々、パスワード漏洩を引き起こすデータ流出について聞くことがあります。これが多くの人に影響を及ぼすのは明らかですが、最新の流出はこれまでで最大のパスワード漏洩となる可能性がありそうです。CyberNewsからの報告によると、100GBに及ぶテキストファイルが有名なハッカーフォーラムに投稿されたようです。 テキストファイルそのものは非常に小さい容量なので、それが100GB分となると、84億個ものパスワードが含まれることになり、非常に心配されます。これほど多くのユーザーを抱えるサービスは単体で存在しない(Facebookでも20億人強)ことを考えると、これは過去のデータ漏洩や流出で盗まれたものも合わせたパスワードの数であると考えて間違いありません。 あなたがこの影響を受けるかどうかについては、その可能性が十分にあるでしょう。Have I Been Pwnedのように、Eメールアドレスにデータ侵
OWASPに学ぶパスワードの安全なハッシュ化 | DevelopersIO
Dropbox はソルトとペッパーを利用 次の Dropbox 技術ブログによると、2016年9月時点の Dropbox は、パスワードをソルト化とペッパー化のコンボで保存していました。 How Dropbox securely stores your passwords - Dropbox 具体的には パスワードを SHA512 でハッシュ化 このハッシュ値をソルトとともに bcrypt でハッシュ化 最後にペッパーを鍵に AES256 で暗号化 というようにパスワードを多段で保護してデータベースに保存していました(AES256(BCRYPT(SHA512(PASSWORD) + SALT), PEPPER))。 ※ 図はブログ記事より引用 Dropbox はあくまでもペッパーの実例として紹介しました。 bcrypt の項でお伝えしたように、bcrypt 処理前にパスワードをハッシュ化す
「パスワードは複雑さより長さが大切」 FBIが指南
パスワードは複雑にする必要はない。ただ長くすればいい――。米連邦捜査局（FBI）のそんな勧告が話題になっている。根拠としているのは、米国立標準技術研究所（NIST）がまとめた最新版のガイドライン。破られにくく、かつ覚えやすい文字列を作り出すため、パスワードではなく「パスフレーズ」の使用を勧めている。 これまでパスワードといえば、アルファベットの大文字と小文字、数字や記号を使ってできるだけ複雑にするのが望ましいとされてきた。ところがNISTの勧告では、パスワードの複雑さよりも、長さの方が、ずっと大切だと説く。 そこで、長くてしかも覚えやすい文字列をつくりだす手段として提言しているのが、複数の単語を組み合わせたり文章をつなげたりするパスフレーズ。FBIは強いパスフレーズの一例として、「VoicesProtected2020WeAre」「DirectorMonthLearnTruck」などを挙げ
「パスワードレス認証」が進行中 FIDOで変わる、セキュリティの常識
「素因数分解」を覚えていますか？ ある自然数を素数の積で変換する計算です。例えば「15」なら「3×5」。この例であれば簡単ですが、では「11088899」は？ ――これを見ただけで素因数分解できる方はほとんどいないでしょう。正解は、「3329×3331」。 しかし、これが「3329×3331は？」という問題であれば、計算は簡単です。つまり「3329×3331＝11088899」という計算式には、3329と3331の積算は簡単なのに、11088899の素因数分解は難しいという非対称の関係があるのです。この性質は一方向性関数と呼ばれ、暗号にも活用されています。 閉める鍵と開ける鍵が別にある「公開鍵暗号方式」 セキュリティ技術の代表「暗号化」においては、サーバ側と自分で共通の鍵を持つ「共通鍵暗号方式」がすぐに思い浮かぶと思います。共通鍵は玄関の鍵に例えられる通り、情報の発信者と受信者で同じ秘密を
パスワードを決める画面でのアホなルールを集めたリポジトリ dumb-password-rules | 秋元@サイボウズラボ・プログラマー・ブログ
dumb-password-rules/dumb-password-rules パスワードの登録や更新画面で出てきたおかしな制約やエラーを募集している GitHub リポジトリがあります。 あほなパスワードの文字制限を分類 多数の事例が載っていますが、代表的なものをグループ化してみます。 文字種や記号を謎に制限 「% は使えません」「\ は使えません」 – 内部でエスケープしちゃうんですねわかります。ちゃんと作ってあればこんな特例要らないと思うんですが。 「記号で使えるのは ? ! $ €% & * _ = – +. ,:; / () {} [] ~ @ # だけです」 「記号はアンダースコアとハイフンだけ使えます」 「数字や記号は使えません」 「使える記号がありますが、どの記号が使えるかは秘密です」 「パスワードは5-15文字です(が、スペースは文字数としてカウントしません)」 「パスワ
セキュリティ専門家が「パスワードの複雑さはそれほど重要ではない」と主張するのはなぜか？
by stevepb 「パスワードは長く、英数字を混ぜた方がいい」「他人に推測されないパスワードを作ることが重要」といった意見は広く受け入れられていますが、Microsoftの個人情報部門セキュリティ保護チームに勤務するアレックス・ヴァイネルト氏は、「パスワードについての言説は誇張されたものが多く、実際にはパスワードの長さや複雑さはそれほど重要ではない」と解説しています。 Your Pa$$word doesn't matter - Microsoft Tech Community - 731984 https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Your-Pa-word-doesn-t-matter/ba-p/731984 Microsoftでセキュリティに関する仕事に従事しているヴァイネルト氏
7iDのパスワード再発行がセキュリティ的に最悪な件：パスワード変更しても無意味な状況（会見後追記）
本サイトはアフィリエイト広告を利用しています。なお本記載は景品表示法改正に伴うASPからの要請に基づく表記であり、依頼された記事などは別途記載を実施しています。 追記：酷い記者会見と無意味な対策 今日の14時に記者会見が行われましたが、もう開いた口が塞がらないどころかため息が出るレベルの酷い記者会見でした。 二段階認証をまともに理解していない？チャージと登録を停止するが、決済は停止しない補償はするとは言ったが、方法などはまだ未確定 もうさっさとサービス終了したほうが今後のためじゃないですかね。 パスワード再発行の件は対策した（風にみせかけ） 何人か指摘している人も居ますけども、あまり詳しく言うのは問題になりかねないので言いませんが、下記に記載のあるパスワード再発行の件は内部の処理は結局対策されてません。それだけは言っておきましょう。 なので、下記の会員IDの変更などは早急に行ってください。
ランダムな文字列っぽい「ji32k7au4a83」というパスワードが大量のユーザーに使われていた理由とは？
by www.shopcatalog.com ユーザー認証などに使用するパスワードは外部から推測しにくいものが推奨されており、意味の通らない英字や数字の組み合わせはほかの人とパスワードがかぶりにくく、セキュリティが高いと思われがちです。しかし、エンジニアのRobert Ou氏は「ji32k7au4a83」という一見意味の通らないパスワードが多くの人に使われていることを発見し、「なぜこのようなランダムに見える文字列がたくさんの人に使われているのか？」という謎についてTwitterで発信しました。 Fun thing I learned today regarding secure passwords: the password "ji32k7au4a83" looks like it'd be decently secure, right? But if you check e.g. HIB
PINとパスワードは何が違う？ 意外と知らない「知識認証」のハナシ
PINとパスワードは何が違う？ 意外と知らない「知識認証」のハナシ：今さら聞けない「認証」のハナシ（1/4 ページ） ほとんどの人が日常的に行っている、ログイン、サインインなどの認証作業。認証で利用したパスワードが漏えいして第三者からの不正アクセスを受けたりするなど、認証をめぐるセキュリティの問題は後を絶ちません。こうした課題を解決するには、サービス提供者側だけで対策するだけでなく、サービスの利用者も正しい知識を持っておくことが必要でしょう。 本連載記事では、認証の仕組みや課題、周辺の情報について、できるだけ分かりやすくお伝えしていきます。 連載：今さら聞けない「認証」のハナシ 専門用語が飛び交いがちなセキュリティの知識・話題について、「認証」関連分野を中心にできるだけ分かりやすく紹介します。 執筆は、業務用の「トークンレス・ワンタイムパスワード」認証サービスを提供する認証セキュリティ専門
パスワード定期的変更の効能について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題のパスワードの定期的変更について、本当のところ効果がないのか、その効能についてご説明いただきます。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。いつもはパスワードの定期的変更にはあまり意味がないと主張していますが、今日はパスワードの定期的変更を擁護する立場なんですね。面白そうです。よろしくお願いします。 高橋: まず問題の整理についてです。IPAより9月3日に『「ID・パスワードのセキュリティ対策促進に関する広告等業務」 係る企画競争 』の仕様書(PDF)が公開されました。その仕様書中の行動喚起を促す対策事例の一つに「ID・パスワードは定期的に変更する」 があったので、セキュリティクラスタが騒ぎ出し、その結果かどうかは分かりませんが、9月9日に同仕様書が改定され、パスワードの定期的変更は対策例から削除されました。一連の議
Google Chrome、保存したパスワードをCSVファイルへエクスポート可能に | スラド セキュリティ
Google Chromeで保存したパスワードをCSVファイルにエクスポートする機能が利用可能になっている(Android Policeの記事、 The Next Webの記事)。 この機能を使用するには、chrome://flagsで「Password export (chrome://flags/#PasswordExport)」を「Enabled」にしてChromeを再起動すればいい。これにより、設定画面のパスワード管理ページ(Windows版では「パスワードを管理→保存したパスワード」の右側)にメニューボタンが追加され、メニューからエクスポートが実行可能になる。 エクスポートを実行する際、Windows版ではWindowsのログインパスワード、Android版では画面ロックの解除操作を要求された。エクスポートしたファイルはCSV形式なので、扱いには注意が必要だ。このCSVファイルは
認証ビジネスの“ゲームチェンジャー”と評される「MIRACL Trust ZFA」
サーバ側のパスワード管理や専用認証デバイスを不要にした強固な認証システム「MIRACL Trust ZFA（Zero-Factor Authentication）」は、既にNTTソフトウェアなどが自社ソリューションに組み込んで提供している。今回は開発元である英国MIRACLの日本法人にZFAの仕組みや可能性について話を伺った。 EC（電子商取引）サイトやインターネットバンキングなど、我々の生活に直結するサービスがオンライン化する現状を踏まえ、認証システムの重要性に注目が集まっている。これまでのID・パスワードでは物足りず、セキュリティトークンも多くの問題を潜在的に抱えており、指紋認証に代表される生体認証が広まりつつあるのが現状だ。だが、ID・パスワードは利用者側から見れば面倒なパスワード管理を強いられ、管理者側から見れば認証情報の保管や管理が求められる。セキュリティトークンはハードウェアや
input type = password autocomplete = off は使ってはいけない
従来のWebアプリケーションとSPAの違いに着目し、Spring Boot × Vue.jsでSPAを作る際のポイントやハマりどころを紹介します。
初心者にもわかる「暗号化」の仕組みと方法：パソコンの守り方 | ライフハッカー・ジャパン
「暗号化」という言葉は、これまでに何度も耳にしたことがあるでしょう。でも、暗号化がどういうものかはっきりとはわからない、という方も多いと思います。 心配はありません。今回の記事では、暗号化の基本的な手順をご紹介していきます。暗号化はどんなときに行ったら良いのか、そして、暗号化はどのような手順で行っていくのかなどについてご説明しましょう。 暗号化とは？ 暗号化とは、望ましくない人たちにデータを見られないよう保護するための方法のひとつです。例えばAmazonでクレジットカードを利用して買い物をする時、あなたのパソコンは、決済の情報を暗号化します。これは、あなたの個人情報が送信される際に、その情報が他人から盗み取られないようにするためです。 同様に、あなたのパソコンの中に他人には知られたくないファイルがある場合、そのファイルを暗号化すれば、パスワードを知らない人は誰も開けないようにすることができ
ユーザーのパスワードを安全に保管する方法について - 11月 - 2013 - ソフォス プレス リリース、セキュリティニュース、ソフォスに関するニュース記事 - Sophos Press Office | Sophos News and Press Releases
※この記事は本社サイト 「Naked Security」掲載の記事を翻訳したものです※ by Paul Ducklin on November 20, 2013 この記事に関する最新の更新情報は Naked Security 掲載記事をご確認ください。 読者の方は、Adobe 社で 2013 年 10 月に発生したデータ侵害のインシデントについてはご存じでしょう。 これは、1 億 5 千万件のレコードが漏えいした史上最大級のユーザー情報データベースに関するインシデントであるだけではありません。今回のインシデントから別の問題も見えてきました。 漏えいしたデータから、Adobe 社がユーザーのパスワードを不適切な方法で保管していたことが明らかになりました。同社の利用した方法よりも格段に安全でパスワードを保管する方法はあります。またそれが、決して難しくないことを考えると、セキュリティの観点からす
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News