Developers Summit 2023にてパスキーについて講演しました
ritou です。 Developers Summit 2023にてパスキーについて講演させていただきました。 資料も公開しました。難しい話ではないです。 同じ時間帯の他の講演者の方々が豪華なのでワンチャン誰も聞いていなかった説がありますが、それもいいでしょう。とりあえず無事に終わりましたというところで、発表内容全部書き出してみたをやってみます。 講演内容 (省略) 今回の内容です。コンシューマ向けサービスにおけるこれまでの認証方式を振り返り、最近話題のパスキーとはどういうものかを紹介します。そして、実際に導入を検討する際に考えるべきポイントをいくつか紹介できればと思います。 早速、これまでのユーザー認証について振り返りましょう。 最初はパスワード認証です。知識要素を利用する認証方式であり、ユーザーとサービスがパスワードを共有します。 このパスワード認証を安全に利用するために、ユーザーとサ
ブラウザのクレデンシャル管理と連携するCredential Managementを試す - ASnoKaze blog
Credential Management クレデンシャル管理機能と連携するためのAPI仕様「Credential Management」がW3Cで議論されています。 https://www.w3.org/TR/credential-management/ ブラウザは、Webサイトにログインするためのユーザ名・パスワードといった資格情報(クレデンシャル)を独自に管理しています。そしてログインフォームなどを検出すると自動入力等も行います。 Credential Managementでは、このブラウザが持つクレデンシャル管理機能とWebサイト側が連携する仕組みを提供し、ユーザがスムーズにログイン処理を行えるようになります。 JavaScriptからクレデンシャルをストアさせたり、とりだしてログイン処理を行ったりできるようになります。 例えば、まずはストアされているクレデンシャルを用いてログイン
パスワード入力不要のワンタップ サインアップと自動ログイン - Smart Lock for Passwords のアップデート
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Storing Passwords in a Highly Parallelized World
Why “Use bcrypt.” is not the best recommendation (anymore). Preamble: if you’re hashing your passwords with bcrypt / scrypt / PBKDF2 today, there’s nothing to worry about in the immediate future. This article is for you if you’re choosing a password hash today and want a future-proof solution. Not a call for action. The PastFive years ago, the world was a simpler place. You could shame other peopl
企業やチーム内でのクソなパスワード管理から脱却するMeldiumのすすめ - トランスリミット創業記.author = 高場大樹
今回は、私自身がずっと課題に感じていた「企業やチームでのパスワード管理」について。 前職で全社の情報システム部に所属していたことがあるので、以前から企業セキュリティにはかなり興味があるのですが、大企業では、セキュリティがガチガチで利便性が無い。逆にスタートアップは、セキュリティ？みたいな感じが非常に多いと思います。大抵の場合「セキュリティねえ、わかるよ、わかるけど面倒だよね」みたいな考えを持っている人が多く、あまり積極的では無いような気がします。一度失敗した経験が無いとあまり身近に感じないのではないでしょうか。 セキュリティ対策というとやることはたくさんあるけど、どの企業も抜けているんではないかと課題視していたのが、チームでのパスワード管理。自分自身もリスクあるなあと思いながら暗中模索していたんですが、ようやくそんな悩みを解決できるMeldiumというサービスを見つけてしまいました。しかも
パスワードの最適変更間隔とその定量的効果の評価
パスワードの最適変更間隔とその定量的効果の評価 twitter:@pseudoidentifie CC0 簡単のために、ユーザが候補とするパスワード選択空間と攻撃者が想定する攻撃パスワード空間は同一とし、個のパスワード候補が含まれるとする。また、攻撃者は、パスワード空間中から、ランダムに攻撃パスワードを順次選択し、攻撃を行うものとする（本攻撃方法は決して典型的な攻撃方法とは限りません）。また攻撃は、秒間隔で実施されるものとする。 ユーザがパスワードの変更を行わない場合、秒で、全パスワードの攻撃が可能であり、ユーザのパスワードを攻撃者は知ることができる。攻撃者がパスワードを知るのにかかる平均時間は以下となる。 次に、ユーザは、をより小さい自然数として、秒間隔でパスワードの定期変更を行う場合を考える（ユーザは個のパスワード候補からランダムにパスワードを選択するものとする）。また、簡単のために、
Java 8 でのパスワードハッシュのデモプログラム。
Java8PasswordHashDemo.java P�k�U �)��U import javax.crypto.SecretKeyFactory; import javax.crypto.spec.PBEKeySpec; import java.security.NoSuchAlgorithmException; import java.security.SecureRandom; import java.security.spec.InvalidKeySpecException; import java.util.Base64; /** * パスワードハッシュのデモ。 */ public class Java8PasswordHashDemo { static final int NUM_SALT_BYTES = 32; static final int NUM_ITERATION
パスワード定期的変更の効能について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題のパスワードの定期的変更について、本当のところ効果がないのか、その効能についてご説明いただきます。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。いつもはパスワードの定期的変更にはあまり意味がないと主張していますが、今日はパスワードの定期的変更を擁護する立場なんですね。面白そうです。よろしくお願いします。 高橋: まず問題の整理についてです。IPAより9月3日に『「ID・パスワードのセキュリティ対策促進に関する広告等業務」 係る企画競争 』の仕様書(PDF)が公開されました。その仕様書中の行動喚起を促す対策事例の一つに「ID・パスワードは定期的に変更する」 があったので、セキュリティクラスタが騒ぎ出し、その結果かどうかは分かりませんが、9月9日に同仕様書が改定され、パスワードの定期的変更は対策例から削除されました。一連の議
ForgeRock - OpenAM | ForgeRock
Single sign-on (SSO) allows a user to sign on with one set of credentials and gain access to multiple applications and services. SSO increases security and provides a better user experience for customers, employees and partners by reducing the number of required accounts/passwords for all the apps and services they need.
パスワードの定期的変更について徳丸さんに聞いてみた(1)
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、パスワードの定期的変更問題についてお話を伺います。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。よろしくお願いします。 高橋: まず、お伺いしたいことですが、パスワードを定期的に変更すべしという根拠には、どのようなものがあるのでしょうか? 徳丸: 大きく分けて2つの理由が挙げられていると思います。一つは、パスワードを定期的に変更すると、パスワードを破って侵入する攻撃の予防になるというもの、すなわち事前の予防策です。もう一つは、パスワードが漏洩した際に、被害を軽減できるというもので、事後の緩和策ということですね。 高橋: もう少し詳しくお願いします。 徳丸: まず、「事前」の方ですが、オンライン攻撃とオフライン攻撃があります。 高橋: オンライン攻撃とはどのようなものでしょうか? 徳丸: オンライン攻撃は、ネット経由でパスワード
パスワードのハッシュに使うべきPBKDF2、Bcrypt、HMACの各言語実装一覧 - このブログはURLが変更になりました
いつも忘れるのでメモ。 元ネタ:Are you sure SHA-1+salt is enough for passwords? 日本語訳:「SHA-1+salt」はパスワードに十分だと思いますか？ こうしたスキームをいくつか選ぶことができる： PBKDF2 http://en.wikipedia.org/wiki/PBKDF2 Bcrypt http://www.openwall.com/crypt/ HMAC http://en.wikipedia.org/wiki/HMAC 各選択肢はそれぞれの強みと弱みがあるが、これらは全てSHA1+saltのような汎用ハッシュのインプリメンテーションより、はるかに強力だ。 ということで、各言語での実装を調べてみた。実装が正しいかは調べてない。別実装もあるかもしれない。 言語 PBKDF2 Bcrypt HMAC Java Bouncy Castl
パスワードやID専用の情報管理端末、パスワードマネージャー「ミルパス」PW10 発売 | 2012年ニュースアーカイブ | ファイルとテプラのキングジム
パスワードやID専用の情報管理端末 パスワードマネージャー「ミルパス」PW10 発売 ～最大200件のＩＤとパスワードをまとめて管理！～ 株式会社キングジム(本社：東京都千代田区)は、複数のパスワードやIDなどの情報を管理して、必要な時に閲覧することができるパスワードマネージャー「ミルパス」を2012年10月5日(金)より発売いたします。初年度販売目標数量は3万台です。 近年WEBサービス等の増加に伴い、個人で管理するパスワードやIDの数も増加しています。また、セキュリティ強化のためにパスワードの文字列を長くすることや、他のサービスと異なるパスワードにする機会も増え、ますますパスワードの管理は難しくなっています。 「ミルパス」はこのような背景に着目して開発した、パスワードやIDといったアカウントを記録するための小型情報管理端末です。「ミルパス」起動時に必要なマスターパスワードを覚えていれば
パスワード定期変更云々 - pochi-pの絵日記
「定期的にパスワードを変更」すべきか否か、セキュリティの話でたびたび繰り返されるテーマです。 だいたいの話は徳丸浩さんが昨年書かれたエントリで完結してると思います。 （私も定期的に変更するのはあまり意味が無いと思ってます） ところで、↑のエントリのコメントの一つを、高木浩光さんがブックマークしてました。 「総当りで試し終わる前にパスワードが変わってしまうことになります」< これが（私の待ち望んでいた）典型的誤解。パスワード変更しても突破確率はたいして変わらない。これが直感でわからない人達がいるのが原因。 http://b.hatena.ne.jp/HiromitsuTakagi/20090806#bookmark-15186383 一応直感で分かってる（つもり）のpochi-pですが、（自分が）間違ってる可能性もあるので一度きっちり検証してみたいと思います。 そんな訳で、夏休みの自由研究は
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
zxcvbn: realistic password strength estimation | Dropbox Tech Blog
Hardware | ZDNET
DarKai Valves Login