2018年のパスワードハッシュ - Qiita
数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもはや"悪"です。 まずログイン認証と称してmd5とかsha1とか書いてあるソースはゴミなので投げ捨てましょう。 hashやcryptは上記に比べればずっとマシですが、使い方によっては簡単に脆弱になりえます。 あと『パスワードを暗号化する』って表現してるところも見なくていいです。 PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。 というか、これ以外を使ってはいけません。 以下はフレームワークを使わずに実装する際の例示です。 フレームワークを使っている場合は当然その流儀に従っておきましょう。 ハッシュの実装 データベース ユーザ情報を保存するテーブルを作成します。 パスワードカラムの文字数は、システム上のパスワ
spwdというパスワード管理ツールを作った
はじめに みなさんパスワード管理どうしてますか？ Webサービスのアカウントならブラウザや LastPass のようなサービスが利用できるけど、まだまだパスワードでログインしなければいけないサーバがあったり psql や mysql コマンドでパスワード入力したりしなければならなかったりしませんか？ 全部が秘密鍵で済むような環境になればいいけど、少なくとも自分を取り巻く環境はそうなっていません。 意味のある文字列ならまだしも、ランダムな英数字とか覚えておくにも限界があるし、いざ入力するときも手間がかかる。 まだまだ僕たちはパスワード管理から自由になれないようです。ならせめてセキュアにパスワード管理できて、入力補助的なことができるととうれしい。 というわけで pinzolo/spwd: Secret file based password management tool というものを作ってみ
俺専用パスワード管理ツールを作った - kuenishi's blog
github.com 恥ずかしながらわたし、つい最近まで類似のパスワードを適当に記憶に頼って数種類使い分けるという運用をしていた。しかしながら、次のようなメールが期間をおいていくつか届き、類似のパスワードを使っている他のサービスに被害が及ぶのを恐れて、ランダムにパスワードを生成して保存するツールを作った。 いくつかのECサイト、特に小規模ECサイトは2要素認証が設定できないものが多く*1、あのアマゾンでさえ…と思ったら、いつのまにか2要素認証できるようになっていた。そうはいっても一部のサイトではクレジットカード情報を保存しておきながら2要素認証しないとか不安しかないので、自分でパスワード管理できるプログラムを練習がてら作って運用をまるごと変えることにした。既存のパスワード管理のソフトウェアやサービスがいくつもあるが、以下の理由でやめた 無料サービスは信用できない 有料サービスはちょっと躊躇
パスワードをかけていないVNCサーバーのスクリーンショットをまとめた「World of VNC」
by Gawain Bai ネットワーク越しに別のPCの画面を呼び出して遠隔操作できるVNCは、セキュリティ対策のため、パスワードを設定するようにとマニュアルや多くのサイトに書かれています。しかし、それでもパスワードをかけない人は少なくないため、「World of VNC」というサイトでは啓蒙の意味をこめて、パスワードのかかっていないVNCサーバーのスクリーンショットを撮影して掲載しています。 World of VNC https://worldofvnc.net/ サイトの情報によると、スキャンが実行されたのは2016年3月31日。パスワードなしで画面を取得できたサーバーが3567あったので、そのスクリーンショットを公開しているとのこと。 World of VNCのTwitterアカウント(@worldofvnc)では、スクリーンショットに一言添えての投稿が行われています。 セキュリティ
GitHub にパスワードとかセンシティブなファイルを push してしまったときの対処法 - Qiita
.gitignore し忘れて他人に見えちゃマズいファイル（パスワードをベタ書きしたファイルや AWS_SECRET_ACCESS_KEY を書いたファイルとか）を git commit しちゃった！そんなときは すればすぐ何もなかったことにできます。 が！そこで気付かずに GitHub へ git push してしまった！こうなると容易に何もなかったことにはできません。 この記事では、こういうときに何もなかったことにする方法を紹介します。 そのデータを無効にする 特に Public Repository の場合はすでにそのデータが他人の目に触れていた…ということも十分ありえます。AWS_SECRET_ACCESS_KEY なんかは取得用のクローラが存在するとも聞きます。ので、まずは不正利用されても影響が出ないように、パスワードの書き換えやトークンの無効化を施しましょう。 （この時点でもう
パスワードはハッシュ化して保存していても簡単に見えちゃう問題と対策用Gemのblinkersについて
freeeのkakkunpakkun(略してkp)といいます。マイクロサービスおじさんです。 freeeではモバイルバーサーカーとかフロントエンド革命家など、独自の名前が多いですが、私は「分割おじさん」「認証おじさん」「rspecおじさん」などと呼ばれたりしてきました。 バーサーカーや革命家と比べてかっこ良くないのがなんだか気になる今日このごろです。 今日はおじさんらしく細かくて面倒な話をして、その対策としてfreeeで使ってるgemを公開したのでその説明をしようと思います。 パスワードはDBでハッシュ化していても簡単に見えてしまう 「パスワードが見えてしまう」というのはすごい不安になる言葉ですが、あまり考えずにサービスを開発していると簡単に起こる事象です。 ではどこでそういうことが起こりやすいのでしょうか。 DBにハッシュ化したパスワードを保存するのはかなり一般的になり、各種ライブラリも
シェルスクリプトの平文パスワードをセキュアにする方法 - 余白の書きなぐり
追記: (2015/8/3) 大量のはてブが付いたので 続き を書きました。 sshを使用している人は文字列を手軽に暗号化・復号化できるという話。 このテクニックを使えば色々セキュアになるのでおすすめ。 今回はシェルスクリプト中の平文パスワードをセキュアに代替する。 平文パスワードはやめよう シェルスクリプト中でパスワードが必要になったとき、 とりあえず平文で書いてしまいがち。 #!/bin/sh PASSWORD="hoge" これをセキュアにしたい。 面倒くさいのは嫌なので、なるべく手持ちのツールで暗号化、復号化したい。 ssh用の rsa 秘密鍵と、openssl(大抵の環境に入っている)を使って改善しよう。 秘密鍵の準備 パスワードを暗号化するにあたって、秘密鍵を使用する． sshを常用している場合は ~/.ssh/id_rsa という秘密鍵が存在するだろう。 もし秘密鍵が無ければ
東京大学への不正アクセスによる情報流出被害について | 東京大学
東京大学が管理する業務用PCがマルウェアに感染し、情報の流出被害が確認されましたので、経緯と今後の対応についてお知らせします。 平成27年6月30日に、東京大学の教職員の一部と学生の一部のメールを管理する学内メールサーバの管理画面の設定（モード）が変更されていることを発見し、調査を行ったところ、同PCに保存されていた東京大学が学内向けに行っているサービスの業務用アカウントが流出していたことが確認されました。このほか同PC及び同サービスのサーバ等に保存されていた情報が流出した可能性があることが判明しました。東京大学としては直ちに、流出した可能性のある全てのパスワードの変更等の対応を実施するとともに、同PCを隔離保全するという対策を取り、被害拡大防止措置を実施しました。 今回の不正アクセスにより流出した可能性がある情報は、 (1) 平成25年度と平成26年度の学部入学者及び平成24年度と平成2
インフラエンジニアじゃなくても押さえておきたいSSHの基礎知識 - Qiita
最近はクラウド上のサーバーを利用する事も多くなってきた。 サーバーの用意やネットワーク周りの設定はインフラ部門がやってくれるけど、アプリのデプロイ／設定は開発者がする事が多いので、開発メインでやってるエンジニアでも最低限SSHの知識は必要になる。 また、Vagrant等でローカル環境にVMを作成する事もあるので、ローカル環境内でSSHを使用するケースも増えてきた。 というわけでインフラエンジニアじゃなくてもSSHクライアントの知識は必須になってきているので、改めてSSHの再学習をしてみることにした。 SSHとは 暗号や認証の技術を利用して、安全にリモートコンピュータと通信するためのプロトコル。 SSHでは以下の点で従来のTelnetより安全な通信が行える。1 パスワードやデータを暗号化して通信する。 クライアントがサーバーに接続する時に、接続先が意図しないサーバーに誘導されていないか厳密に
首都大のNASが踏み台に、スパム10万通送信 管理パスワード初期値のまま運用
首都大学東京は2月2日、学内のNAS（ネットワーク接続ストレージ）が踏み台に悪用され、学外へ約10万通の迷惑メールを送っていたことが分かったと発表した。NASに格納していた個人情報への不正アクセスの形跡は確認していないが、流出の可能性は否定しきれないという。 同大学は1月19日に、学生や教員らのべ約5万1000人分の個人情報を保存したNASが外部に公開（FTP共有）された状態になっていたことで情報が流出した可能性があると発表したばかり。 同大の報告によると1月27日、南大沢キャンパス（東京都八王子市）内の社会福祉学教室が管理するNASから大量のスパムメールが送信されていることを、学術情報基盤センターが検知。すぐにNASをネットワークから切り離し、被害状況を調べたところ、同日午後3時6分から4時37分の約1時間半の間に約10万通送信されていたという。 NASはFTP共有を無効にしていたが、管
【緊急】LINE乗っ取り多発中。いますぐパスコードを設定せよ!!
最近、LINEのアカウント乗っ取りが多発しているという。 ＜不正ログイン＞「パスワード使い回した」 被害者が悔やむ 他のサービスからメルアドとパスワードが流出したのが売られているんだろう。LINEのアカウントが乗っ取られ、友人に一斉配信で「プリペイドカードを買って送ってくれ」というメッセージが送られる。中国語が混じるそうで「また、あいつらか」という感じ。楽天の場合はアカウント乗っ取られると高価な商品を買われて転売担当に送られるのだが、LINEモールではお金の受け渡しが直接じゃ無いのでそれはないだろう。しかしこれからなにするかはマジでわかりません。なにせ犯罪者集団だ。 友人に対してなんらかの詐欺行為が行われた場合、「乗っ取ったヤツが悪いので自分は知らない」と言い切れるか。友人は「アカウント乗っ取られるようなお前が悪いんだから、弁償しろ」くらいは言うでしょう。友人関係もメタメタです。いったいど
インターネットに公開するサーバーの基本的なセキュリティ設定 | 774::Blog
定期的にこういう内容を書いて公開している気がする。昔の記事もあるのでそちらを読めばいいのだが、また書く必要性が生じてきたのであらためて書きます。 現代では AWS のようなクラウドや VPS など格安で手軽にインターネット上にサーバーを持てるようになった。しかしインターネットで誰でもアクセスできる環境でサーバーを稼働させるということは、常に人間やロボットの攻撃に晒されるということを同時に意味している。したがって初心者だからだとか、会社の中ではこうやって仕事をしているからといった言い訳は一切通用しない。セキュリティ設定をきちんとしなければ内部への侵入をたやすく許し、思わぬデータの漏洩につながるのである。とはいえセキュリティというのはトレードオフを考慮しなければいくらでも強化できるものでありキリがない。ここでは最低限これだけはやっておこうという現実的な落とし所を提示し、人々への啓蒙をはかるもの
当社サーバへの不正なアクセスについて Yahoo! JAPAN - プレスリリース
指定されたURLは存在しません。 URLが正しく入力されていないか、このページが削除された可能性があります。
「当社サーバへの不正なアクセスについて」（5/17発表）の追加発表 - Yahoo! JAPAN - プレスリリース
指定されたURLは存在しません。 URLが正しく入力されていないか、このページが削除された可能性があります。
Webアプリでパスワード保護はどこまでやればいいか
Mercari JPのモノリスサービスをKubernetesに移行した話 PHP Conference 2022 9/24Shin Ohno
パスワード認証を回避してWindowsにログインする方法 - うさぎ文学日記
目の前にPCがあるのに、パスワードがわからずログインできないという状況ありますよね。合法的な状況なのであれば、パスワードなしでログインする方法を試してみてはいかがでしょうか。 今日現在、最新状態のWindows7で実行可能です。当たり前ですが、自分に権限のないPCなどで試さないようにして下さいね。 方法は以下の通り簡単です。 Ubuntuなどでブートして、Windowsドライブをマウント C:\Windows\System32以下の「Utilman.exe」を「Utilman.old」にリネーム C:\Windows\System32以下の「cmd.exe」を「Utilman.exe」にコピー 再起動して、Windowsの起動画面で「Windowsキー + U」でコマンドプロンプトが起動 あとは、「explorer.exe」などを実行することもできます。 実験 Ubuntu(ここではBac
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webアプリケーションにおけるパスワードの管理について