2段階認証ノススメ (まとめ) - セキュリティは楽しいかね？ Part 2
(2013-08-07 更新あり) 主要なサービスで 2段階認証に対応する動きが拡がってきたので、ちょっとまとめておきます。金融系のサービスやマイナーなものはいれてません*1。こうやって並べて比べてみると、細かいところで違いがあっておもしろいですね。なお現時点で Appleと Twitterは日本ではまだ正式対応されていません。 (注: Twitterは 8/7にアプリを利用した認証方式に対応し、日本でも利用できるようになりました。) サービス 名称 認証アプリ SMS/メール/音声 アプリ用パスワード 信頼できる端末 復旧用コード Apple 2段階認証 (two-step verification) ◯ (*1) SMS (*4) - ◯ ◯ Dropbox 2段階認証 (two-step verification) ◯ (TOTP) SMS - ◯ ◯ Evernote 2段階認証
パスワード攻撃に対抗するWebサイト側セキュリティ強化策
Webサイトのパスワード認証を狙った攻撃が大きな脅威になっています。 Tサイト（プレスリリース） goo（プレスリリース） フレッツ光メンバーズクラブ（プレスリリース） eBook Japan（プレスリリース） My JR-EAST（プレスリリース） これらの事例のうちいくつか（あるいは全て）は、別のサイトで漏洩したIDとパスワードの一覧表を用いた「パスワードリスト攻撃（後述）」であると考えられています。パスワードリスト攻撃を含めて、パスワードを狙った攻撃が成立してしまう原因は、利用者のパスワード管理に問題がある場合が多く、攻撃を受けたWebサイト側には、直接の責任はないケースが多いと考えられます。 しかしながら、 大半の利用者はパスワード管理に興味がない パスワード認証を採用している理由は、コスト上の理由、すなわちサイト側の経済的な事情 インターネットが「とても危険なもの」となるとネット
Yahoo! JAPANがワンタイムパスワードを実装したようです - r-weblife
こんにちは, ritouです. この前は気のせいかと思っていたのですがリリースされていたようです. Yahoo! JAPAN IDを守る「ワンタイムパスワード」がついに登場 - Yahoo! JAPAN Tech Blog ワンタイムパスワード（OTP） - Yahoo! JAPAN IDガイド スマートフォンからの使い方がブログで説明されているようですので、PC画面の方を試してみました。 ワンタイムパスワードの説明 さっそくログインして上記URLにアクセスします. すると説明画面が出てきました. ワンタイムパスワードは毎回メールで送る 確認済みメールアドレスのうちのどれかを設定できる PC/スマートフォンからのログインに対応 というように書いてあります. 名前にログインなんちゃらというネーミングをつけないところも新鮮！ Cookieが普通に使える環境が対象ということでしょう. メール周り
今日こそわかる、安全なWebアプリの作り方2010
Internet Week 2010 S3 今日こそわかる、安全なWebアプリの作り方2010 http://www.nic.ad.jp/iw2010/program/s3/ Read less
実は厄介、ケータイWebのセッション管理
実は厄介、ケータイWebのセッション管理：再考・ケータイWebのセキュリティ（3）（1/3 ページ） “特殊だ”と形容されることの多い日本の携帯電話向けWebサイト。そこには、さまざまな思い込みや性善説の上しか成り立たないセキュリティが横行しています。本連載は、ケータイWebの特殊性をていねいに解説し、正しいケータイWebセキュリティのあるべき姿を考えます（編集部） 「Cookieを使えない端末」でセッションを管理する方法は？ 第2回「間違いだらけの『かんたんログイン』実装法」ですが、多くの方に読んでいただきありがとうございました。 今回は、前回に引き続き架空のSNSサイト「グダグダSNS」のケータイ対応を題材として、ケータイWebのセッション管理の問題点について説明します。携帯電話向けWebアプリケーション（ケータイWeb）のセッション管理は、かんたんログインよりも対策が難しく、厄介な問
TwitterでOAuth認証するアプリケーションのアクセスレベルに「DMへのアクセス権限」が追加された - F.Ko-Jiの「一秒後は未来」
これまでTwitterのOAuth認証にはアクセスレベルが「Readのみ」「ReadとWrite」という2段階しかなく、認証を許可してしまうとダイレクトメッセージの内容までアプリケーション側から読めてしまうという問題がありましたが、ようやくこの問題が解決するようです。 Beginning today, we’re giving you more control over what information you share with third-party applications. Apps that you use to access your direct messages will ask for your permission again. » Twitter Blog: Mission: Permission 公式にアナウンスされているように、Twitterアプリケーションのア
情報セキュリティ学術研究マップ - 4403 is not prime.
【告知】「だれが/どこが、どんな研究をしているんだろう？」そんな要求にこたえる「情報セキュリティ学術研究マップ」α版を公開しました！http://4403.biz/ISAM/ 通称はイサムです！明日のSCIS 2011 ナイトセッションで全貌を紹介します！ ＃SCIS20112011年1月26日 17:53 via webakirakanaoka Akira KANAOKA (金岡 晃) 本日未明，@akirakanaokaさんによって，情報セキュリティ学術研究マップ，通称イサムがリリースされました． イサムってなに？ 情報セキュリティの世界で、主に日本の研究者がどんな研究をしているかを検索できるサービスです。 基になっているデータは「暗号と情報セキュリティシンポジウム（SCIS）」の2001～2010年、「コンピュータセキュリティシンポジウム（CSS）」の1999～2010年、のプログラ
【レポート】HTTPSにまつわる7つの誤解 | エンタープライズ | マイコミジャーナル
HttpWatch is an HTTP viewer and debugger that integrates with IE and Firefox to provide seamless HTTP and HTTPS monitoring without leaving the browser window. ブラウザの通信内容を解析してグラフィカルに操作できるようにするアドオンHttpWatchのブログに、HTTPSにまつわる7つのよく誤解される内容が掲載されている。HTTPSに関する説明として参考になる。紹介されている誤解は次のとおり。 1. ログインページにだけHTTPSが必要 Firesheepの登場で注目されるようになったように、ログインページにだけHTTPSを使っている場合、パブリックWifiなどを使う場合にHTTPセッションハイジャックを受ける可能性がある。ログインペー
高木浩光＠自宅の日記 - 「ライフログ活用サービス」という欺瞞
■ 「ライフログ活用サービス」という欺瞞 実は、今年3月、総務省の「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」からは、有識者ヒアリングとして意見を述べる機会を頂いた。ただし、私に発言の機会が与えられたのは、「ライフログWG」における検討内容のうち、「より信頼されるサービスに向けて(配慮原則の提言)」の部分についてのみで、それ以外の部分については対象外だった。 あまり重大な指摘をする余地のない部分であったが、私としては与えられた使命を全うすべく可能な限り改善点を洗い出して、意見として列挙した。 この「配慮原則の提言」は、報告書案では「ライフログ活用サービス」という表現を使っているが、実質的には、これはすべて「行動ターゲティング広告」を対象としたものになっている。「ライフログ活用サービス」というと、利用者が自ら望んで活用する話に聞こえるが、行動ターゲティング広告では、基本的
[OAuth] 携帯でfoursquareのOAuthを無理やりやってみた
モバイルフォースクエアの開発初期に、OAuthでfoursquareの認証をやろうとしていた時に試した結果です。手元にあったAU,docomoの端末で確認しています。 AU(W61CA)でfoursquareのOAuthをやってみた ログイン画面 承認画面 日本語文字化け… 文字化け＆Denyが押せないが、動作はOK！ docomo Cookie対応機種(N-07A)でfoursquareのOAuthをやってみたログイン画面 承認画面 デザインは崩れるが、動作はOK! デザインは崩れるが、動作はOK! docomo Cookie非対応機種(SH704i)でfoursquareのOAuthをやってみたログイン画面→表示が崩れ、ログインボタンを押しても同じ画面が繰り返し表示されるだけ…。 ※当時はログインできていた記憶が…、サーバ側の実装が変わったかもしれないです まとめCookie対応機なら
![[OAuth] 携帯でfoursquareのOAuthを無理やりやってみた](https://cdn-ak-scissors.b.st-hatena.com/image/square/a903da7cbef1e8e8cfab1fe784e6d2186742d401/height=288;version=1;width=512/http%3A%2F%2F4.bp.blogspot.com%2F_IngpC7Xbw78%2FS-6ZdSwmKrI%2FAAAAAAAAAM8%2FA2Unl5Z7vLA%2Fw1200-h630-p-k-no-nu%2Fw61ca-4sq-login.JPG)
[OAuth] 携帯でTwitterのOAuthを無理やりやってみた
2011-07-04追記： 今はTwitterのOAuth画面もガラケー対応されてます。自動でリダイレクトはされないのでユーザによるクリックは相変わらず必要ですが。 モバイルフォースクエアの開発初期に、OAuthでTwitterの認証をやろうとしていた時に試した結果です。手元にあったAU,docomoの端末で確認しています。 AU(W61CA)でTwitterのOAuthをやってみた ログイン画面 承認画面 特に問題なし！ 自動でリダイレクトはされないが、リンクを手動でクリックすれば動作はOK！ docomo Cookie対応機種(N-07A)でTwitterのOAuthをやってみた ログイン画面 承認画面 文字化けがひどいが、ID・パスワード欄っぽいところに入れて1つ目のボタン（ログイン）を押せば承認画面に飛ぶ。 自動でリダイレクトはされないが、リンクを手動でクリックすれば動作はOK！
![[OAuth] 携帯でTwitterのOAuthを無理やりやってみた](https://cdn-ak-scissors.b.st-hatena.com/image/square/95ebfb30e1bf95e1c7e554c2f92b295c1f4a00b9/height=288;version=1;width=512/http%3A%2F%2F1.bp.blogspot.com%2F_IngpC7Xbw78%2FS-6gEadv-xI%2FAAAAAAAAAN0%2FgvviZI0-zTU%2Fw1200-h630-p-k-no-nu%2Fw61ca-tw-login2.JPG)
Web Application Exploits and Defenses
A Codelab by Bruce Leban, Mugdha Bendre, and Parisa Tabriz Want to beat the hackers at their own game? Learn how hackers find security vulnerabilities! Learn how hackers exploit web applications! Learn how to stop them! This codelab shows how web application vulnerabilities can be exploited and how to defend against these attacks. The best way to learn things is by doing, so you'll get a chance to
Twitter OAuth の非プログラマ向けの説明
今日はアルファアライグマ記念日！ww てことでプログラマとかその辺じゃない人に知っといてもらいたい Twitter OAuth のご説明をお送りしたいと思います。ちなみに OAuth はオースと読みます。いかりや長さんですねww OAuth 認証 まず OAuth の認証ページについて。 OAuth アプリに付与されるアクセス権限 このキャプチャは Twit Delay のものですが、OAuth 認証時に表示されるメッセージはどのアプリでも同じではありません。 重要なのは、Twit Delay by sakuratan.biz would like the ability to access and update の部分。Twit Delay と sakuratan.biz はアプリケーション名と運営者ですが、その後の access and update が、そのアプリがどのような種類の処
Twitter, OAuth and Passwords - Oh My!
Twitter has a gaping security hole. Changing your password won't stop malicious users logging in as you! I received a rather worrying email from Twitter. Apparently they thought my password had been compromised and needed to be reset. After checking to see if it was valid, I went and changed my password. Any site which relied on a cookie to post to Twitter would have been blocked out. Ha! Gotch
[ニュース] 複数金融機関の口座情報を一括確認できる「みんなの口座管理。」
株式会社セブン銀行と株式会社野村総合研究所（NRI）は、複数の金融機関の口座情報などを一括して確認できる口座管理サービス「みんなの口座管理。」を26日から開始する。利用は無料。 「みんなの口座管理。」では、利用している複数の金融機関を登録しておくことで、口座残高や取引履歴をまとめて確認できる。また、登録している各金融機関のサイトへ、「みんなの口座管理。」の管理画面からログインすることも可能だ。 「みんなの口座管理。」で設定したIDとパスワードだけで、複数のサイトの情報を確認できるのが特徴。管理画面で、利用中の金融機関が提供するネットバンキングのIDとパスワードを登録する。登録できる金融機関は、今回のサービスに賛同した60社。 発表によれば、同様のサービスは一部の銀行や証券会社でも提供されているが、サービス運営元の銀行の口座を持っていなくても無料でサービスが利用できるのは、国内で初めてになる
グーグルの研究が示すメモリエラーの真実--明らかになった高い発生率
どうしてまたコンピュータがクラッシュしたのかと不思議に思ってはいないだろうか。Googleの実環境での研究によれば、それはメモリが原因かもしれないという。この研究では、メモリのエラー率が、これまでの研究で示されていたよりも高いことが分かった。 Googleは、同社のデータセンターにある膨大な数のコンピュータを使って、それらのマシンの実際の稼働状況についての実環境データを大量に収集することができる。それがまさに、エラー率が驚くほど高いことを明らかにした研究論文のために、同社が行ったことだ。 トロント大学教授Bianca Schroeder氏と、GoogleのEduardo Pinheiro氏ならびにWolf-Dietrich Weber氏の共著である同研究論文によれば、「メモリエラーの発生回数や、さまざまなDIMMにおけるエラー率の範囲が、以前報告されていたよりもずっと高いことが分かった。メ
パスワードの作り方、Google方式 | エンタープライズ | マイコミジャーナル
Gmail - Web mail powered by Google Google Blog、Choosing a smart passwordにおいてパスワードを作るときの注意が紹介されている。Googleの提供しているWebサービスはGmailのメールアドレスとパスワードがアカウントになっている。Gmailのパスワードが漏れると、ほかのすべてのサービスへのアクセスも危険に晒されることを意味する。推測されにくいパスワードを作成することがとても重要だ。紹介されている注意点は次のとおり。 問題: 複数のWebサイトで同じパスワードを使いまわす 電子メール、オンラインバンキング、ソーシャルネットワーク、ショッピングサイトなどパスワードを要求するサービスが増え続けている。このため、これらアカウントで同じパスワードを使う人が多いのは想像に難しくない。しかしながらこれは危険な状況といえる。どれかひと
MD5を解析するWebのサービス - うさぎ文学日記
MD5が脆弱と言われていて、もう使っちゃダメと烙印を押されていても、さすがにハッシュ値から逆算して解析するアルゴリズムが存在するわけもなく、解析にはレインボーテーブルを使っています。レインボーテーブルというのは、平文とそのハッシュ値をDBのテーブルに格納しておいて、ハッシュ値で検索するというテクニックです。（この場合はレインボーテーブルじゃなくて、ただの平文とハッシュ値のテーブルかも。 参照レインボーテーブル - Wikipedia） たとえば、「password」という平文をMD5でハッシュ化すると「5f4dcc3b5aa765d61d8327deb882cf99」となります。こういった対応を表にたくさん入れておくことで、MD5のハッシュ値で検索すると元の平文が見つかるというわけです。 MD5のレインボーテーブルがWeb上から使えるサイトは結構あるようで、いくつかをピックアップ。どのサイ
twitter OAuth利用時の文言調査＋α - r-weblife
twitter周りでひとつネタふられました。 変なテンションなのでこのエントリは長編になります。 Mobster WorldのスパムDMについて - tzmtkのブログ ■ 宿題 「This application plans to use Twitter for logging you in in the future.」だけ異なるのは、 Twitter側からuseridを受け取っているか、いないかだけの違いによってTwitter側で文言をon/offさせているのだと思います。 （おしえてid:ritou） Mobster WorldのスパムDMについて - tzmtkのブログ ■ しくみ 全てはConsumerアプリケーションの登録画面にあります。 とりあえずこんな感じのやつですね。 ポイントは、赤丸ついてるとこのさらに下の部分。 Use Twitter for login: □ Ye
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Widespread Weak Keys in Network Devices - factorable.net