パスキーの安全性について - cockscomblog?
パスキーによる認証を開発したとき、パスキーの安全性をどう評価するのが妥当なのか検討していた。もちろんフィッシング耐性が高いというような特性については把握していて、サービス利用者にとって便益の多い認証であることはわかっている。ただそれが、例えばパスワードとTOTPを組み合わせた多要素認証に対して、どちらがより安全と言えるのか。これを一言に表すのはあまり簡単ではない。 パスキーは多要素認証なのか 多要素認証というのは、something you know、something you have、something you are の3種類の要素のうち複数を組み合わせる認証を言う語だ。 多要素認証は単一種類の要素による認証と較べて飛躍的に安全である。例えば、物理的な鍵は something you have であるが、それが盗まれてしまえば安全ではない。鍵が複数あっても、一度に盗まれてしまうかもし
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
【ドコモ口座】4ケタパスワードの分布と傾向
ACTIVE GALACTIC @active_galactic 悪巧みをする人間は賢いな．確かに口座番号・暗証番号・氏名の組み合わせは工夫すれば手に入ってしまう．口座番号を入力すると振込先の宛名を表示してくれるサービスはあるし，語呂合わせのような使っている人が多い暗証番号で口座番号を片っ端から試していくと，一定確率で貫通するだろう．>RT 2020-09-09 20:45:35 ACTIVE GALACTIC @active_galactic リバースブルートフォースアタック：物理学科のロッカーで暗証番号を137決め打ちで片っ端から試して，貫通したロッカーから貴重品を盗む泥棒を想像した．数学科なら1729とかだろうか． 2020-09-09 20:49:28
Meltdown and Spectre
Meltdown and Spectre Vulnerabilities in modern computers leak passwords and sensitive data. Meltdown and Spectre exploit critical vulnerabilities in modern processors. These hardware vulnerabilities allow programs to steal data which is currently processed on the computer. While programs are typically not permitted to read data from other programs, a malicious program can exploit Meltdown and Spec
ファイアウォール内のサーバに対するShellshockを利用した攻撃 - 葉っぱ日記
2014-09-27: 該当サイト上にXSSがなくても攻撃可能であることが id:mayuki さんのコメントで判明しましたので全面的に書き直しました。ファイアウォール内であっても攻撃者はファイアウォール内のShellshock攻撃が通用するCGIのURLがわかっているだけで攻撃可能ですので早急に対応が必要です！会社のブログにも書いてますが、ファイアウォール内に置いてあるサーバで攻撃者が直接アクセスできないからといってbashの更新を怠っていると、条件によっては攻撃が可能となります。 条件としては、 そのサーバにはシェルを経由して外部コマンドを起動するCGI等が動いている(通常のShellshockの攻撃と同条件) 攻撃者がそのURLを事前に知っている(あるいは推測可能) となります。 攻撃者は、ユーザーを罠URLへ誘導し、以下のようなJavaScriptを罠ページ上で動かし、攻撃対象のW
そんな大綱で大丈夫か？―第2回プライバシーフリーク・カフェ（前編）
高木 山本さん遅刻ですね。間もなく到着だそうですが。さて、第1回からずいぶん経ちましたが、いつでしたっけ？前回は。 鈴木 もう半年前ですね。 高木 そんな前ですか。で、どうしましょうか。司会者いらっしゃらないので、ちょっと状況を。えーと、大綱が出ました。先週決定されました。その名も、なんでしたっけ？ 鈴木 「パーソナルデータの利活用に関する制度改正大綱（PDF)」ですね。 高木 あれ？パーソナルデータの保護とか、そういうんじゃないんですか？保護じゃない？ 鈴木 利活用大綱ですね。 高木 利活用！利活用制度大綱。こんなんありですか？ 鈴木 んーまあ、そもそもこのミッションがアベノミクスの三本の矢の経済成長ですからね。まえがきには「ビッグデータ」という言葉が躍っていますから、産業界からの強い意向を受けてですね、まさに、ビッグデータで経済成長のために改正しようと。こういう内容です。 高木 はい。
オンプレミスと同水準の安全を保ちつつ、AWS上で個人情報を取り扱う
リクルートグループのリクルートライフスタイルは、iPhoneおよびAndroidスマートフォンをターゲットとした新アプリ「DAYMORE」（デイモア）を、2013年3月にリリースした。友だちとの約束やちょっとした集まりの日程調整を簡単・気軽に行え、大切な思い出をアルバムとして残しておくこともできるコミュニケーション型スケジューラーである。 この種のソーシャルアプリは、ユーザー数やアクセスがどれくらいのペースで伸びていくのか、正確な需要予測を行うことが極めて困難だ。そのため、サービス提供を支えるITインフラへの最適投資が読みづらい。 そこで同社は、こうしたチャレンジングな新規事業を展開する場合、その時々の負荷やレスポンスに応じて、各サーバーやディスク容量などのリソースを柔軟に拡張・縮小できる「アマゾン ウェブ サービス（AWS）」を活用している。 しかし、そこにも大きな問題があった。先述した
無線LANが不安定な原因「チャンネル干渉」を調べるのに役立つフリーソフト「inSSIDer」
Windowsに標準で搭載されている無線LANアクセスポイントを発見するシステムにはなぜかチャンネルを表示するという機能が欠落しており、結果的に気がついたら無線LANのチャンネルが実は干渉しまくっていて不安定になってブチブチ接続が切れたり、速度が出たりでなかったりを繰り返したり……といったことが発生します。 無線LANアクセスポイントによっては自動的に周囲と干渉しない空きチャンネルを探してくれたりするものもあるのですが、そういう機器でない場合は手動で設定を変更する必要があります。そういうときに使えるのがこのフリーソフト「inSSIDer」です。周囲にある無線LANアクセスポイントをリストアップし、さらにチャンネルや電波の強度などを表示してくれるため、「近所に新しくできたこのアクセスポイントのせいで不安定になっていたのか！」というようなことが見るだけでわかります。 ダウンロードとインストール
CAPTCHA - Wikipedia
この記事には複数の問題があります。 改善やノートページでの議論にご協力ください。 出典がまったく示されていないか不十分です。内容に関する文献や情報源が必要です。（2021年3月） 古い情報を更新する必要があります。（2021年3月） 独自研究が含まれているおそれがあります。（2020年5月） 出典検索?: "CAPTCHA" – ニュース · 書籍 · スカラー · CiNii · J-STAGE · NDL · dlib.jp · ジャパンサーチ · TWL 初期のCAPTCHAの例。 人間はこれを「HTKEHS」と認識できるが、機械にとっては困難である。 CAPTCHA（キャプチャ）は、チャレンジ/レスポンス型テスト（英語版）の一種で、応答者がコンピュータではなく生身の人間であることを確認するために使われる。 ウィキペディアにおいても、ログインしていない状態のユーザ(IPユーザー)が外
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
純国産エンドポイントセキュリティFFRI yarai - 株式会社ＦＦＲＩセキュリティ
British Airways Flight Attendant Turns the Tables on a Racist Passenger - CLARK LOG - Yahoo!ジオシティーズ
外部委託における情報セキュリティ対策（内閣官房.pdf
https://www.nisc.go.jp/active/general/pdf/dm6-03-101_sample.pdf