2014年に発生した不正ログインインシデントをまとめてみた。 - piyolog
2014年内に発生(発表)した不正ログインの事例をまとめます。リスト型攻撃、ブルートフォースによる攻撃を原因とするものを取り上げています。2014年のWebクリップの寄せ集めなので漏れあれば教えて頂けると助かります。 2014年に発生した不正ログイン事例 発表日 被害企業/サービス名 期間 不正ログイン 成功件数 不正ログイン 試行件数(成功率) 発端 被害 対策 1月8日 グレテックジャパン GOM Player 13年12月20日〜1月8日午前 不明 不明 不明 無し (1)(2)(3)(4) 1月21日 NTTコムオンライン・マーケティング・ソリューション Potora 1月19日〜1月21日 323件 不明 自社 (1) (3)(4)(6) 1月22日 スタイライフ Stylife 13年9月1日〜1月14日 最大24,158件 不明 外部 (1)(3) (3)(9)(10)(11
JNSA Bitcoin 勉強会 佐藤 20140602
3. Copyright © 2014 SECOM Co., Ltd. All rights reserved. 自己紹介 • 佐藤 雅史 （さとう まさし） • 普段は主に電子署名屋さんです。 • 標準化とかやっています。 – JIS X 5092:2008 CMS利用電子署名(CAdES)の長期署名プロファイル – JIS X 5093:2008 XML署名利用電子署名(XAdES)の長期署名プロファ イル – ISO 14533-1:2012, Long term signature profiles – Part 1: Long term signature profiles for CMS Advanced Electronic Signatures (CAdES) – ISO 14533-2:2012, Long term signature profiles – Part 2
OpenAMのOpenID Connectへの対応
連載目次 OpenAMが提供するフェデレーションサービス 第4回はOpenAMのOpenID Connectへの対応について紹介します。その前に、まずはOpenAMがこれまでに対応してきたフェデレーション（注1）プロトコルについて簡単に解説し、今後主流になると思われるOpenID Connectの概要とOpenAMの対応内容について説明します。 注1 フェデレーション（Federation）：異なるサービス間の連携をすること。一般的には、SAMLなどの標準的なプロトコルを使用して複数のクラウドサービスへSSOできるようにすることを意味します。 OpenAMが対応するフェデレーションプロトコル OpenAMは、あらゆるサービスへのSSOを実現できるように、これまで多くのフェデレーションプロトコルに対応してきました。SAML 1.0の実装から始まり、WS-Federation 1.1やID-F
ブルース・シュナイアーさんの安全なパスワード文字列の作り方
前回は、サービスごとにユニークなパスワードを作る方法を提案しました。 今日一緒にランチを食べていた、元同僚からこんなことを教わりました。 「似たことを、ブルース・シュナイアーが言ってたよ」 ブルース・シュナイアー（Bruce Schneier、1963年1月15日 – ）は、アメリカ合衆国の暗号研究者、コンピュータのセキュリティ専門家、作家。BT Counterpaneのコンピュータセキュリティと暗号に関する著作があり、Counterpaneインターネットセキュリティ社[1]の創設者であり、最高技術責任者（CTO）でもある それはこちらのエントリでした。 興味深かったのでざっくりサマって見ます。 私の英語力は非常に残念なので、ミスがあったらぜひ教えて下さい。 Passwords / paul.orear はじめに 一番良いパスワードは、それが壊れた言葉であることです。 と言うのは攻撃者はた
パスワードに頼るパスワード代替技術
「もうパスワードの時代は終わった。これからは、パスワードに代わる新しい技術の時代だ」――。こうしたかけ声とともに、次のような技術がマスメディアに登場しています。 （1）ID連携：SSO（Single Sign On：シングルサインオン）やパスワード管理ツール （2）いわゆるワンタイム・パスワード （3）2要素認証 （4）PKI（公開鍵暗号基盤） （5）生体認証（バイオメトリクス） しかし、いずれの技術も、どのように考えてもパスワードの補完ないし拡大利用方法とは呼べてもパスワードの代替策とは呼べません。なぜなら、それぞれがパスワードに依存しているからです。 具体的には、ID連携はマスターパスワードと呼ばれる1つのパスワードに全面的に依存します。いわゆるワンタイム・パスワードは本人の認証には関与しません。2要素認証では、1つの要素は常にパスワードですし、PKIも必ずパスワードと一緒に運用されて
新しい暗号技術
2. 自己紹介 大学時代 京都大学数理解析研究所では代数幾何 コンピュータとは縁のない世界 暗号にも興味を持つ mp3エンコーダ「午後のこ～だ」の開発(LGPL2) 就職後 IPAからの依頼で暗号解読プログラムの作成(2004年) 『機械学習の学習』(CCA-BY3) 2012年ジュンク堂のコンピュータ書籍売り上げ3位 http://compbook.g.hatena.ne.jp/compbook/20130110 暗号の高速な実装(2013/8の時点で世界最速) The Realm of the Pairings(SAC2013) http://sac2013.irmacs.sfu.ca/sched.html 2013/11 2 /58 3. 目次 暗号 mod pの世界 巾乗の計算 離散対数問題 ElGamal暗号
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
世の中に満ち溢れる「パスワードの定期的変更」についてまとめてみた。 - piyolog
いつも盛り上がる「パスワードの定期的な変更」ネタですが、多くの組織でこの対策が推奨されているということをTwitterで知りました。ここではパスワードの定期的変更についてまとめます。 パスワードの定期的変更の考察・関連記事 まずはここを読みましょう。 Bruce Schneier Schneier on Security: Changing Passwords 徳丸さんの記事 パスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記 続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記 「管理者パスワードは何日ごとに変更すればよいか」に関する質疑応答 - ockeghem(徳丸浩)の日記 パスワードを定期的に変更する理由は何ですか? - QA@IT パスワードの定期的変更に関する徳丸の意見まとめ パスワードの定期的変更について徳丸さんに聞いてみた(1
アダルトサイトのDMから分かった顧客情報の漏えい原因
「ヘンなアダルトサイトのDMが来る」とレンタルショップ会社にクレームが来た。顧客情報の漏えいが判明し、調査に乗り出してみると、意外な部分が原因だと分かった。それは……。 九州のX県にあるレンタルDVDショップ運営のA社は、Y市に大きな本社ビルを構えて営業していた。X県だけで20店舗以上あり、近隣の県を含めた九州全体を商圏として計35店舗を展開していた。インターネット上でも活発に営業し、現在ではその売上が全店舗の売上の4割以上に匹敵するほどの成長をみせている。 そのA社で突如、情報漏えいが発生した。それは、L興業が運営する某アダルトサイトのダイレクトメール（DM）から発覚したのである。L興行は電子メールでも盛んに営業していたが、売上を伸ばすために今では珍しくDMを利用した。そのDMのあて名ラベルの左下に、小さくA社の顧客管理番号が印刷されていたのである。さて、今回はどういう状況だったのだろう
パスワード攻撃に対抗するWebサイト側セキュリティ強化策
Webサイトのパスワード認証を狙った攻撃が大きな脅威になっています。 Tサイト（プレスリリース） goo（プレスリリース） フレッツ光メンバーズクラブ（プレスリリース） eBook Japan（プレスリリース） My JR-EAST（プレスリリース） これらの事例のうちいくつか（あるいは全て）は、別のサイトで漏洩したIDとパスワードの一覧表を用いた「パスワードリスト攻撃（後述）」であると考えられています。パスワードリスト攻撃を含めて、パスワードを狙った攻撃が成立してしまう原因は、利用者のパスワード管理に問題がある場合が多く、攻撃を受けたWebサイト側には、直接の責任はないケースが多いと考えられます。 しかしながら、 大半の利用者はパスワード管理に興味がない パスワード認証を採用している理由は、コスト上の理由、すなわちサイト側の経済的な事情 インターネットが「とても危険なもの」となるとネット
情報セキュリティ技術動向調査（2011 年下期）：IPA 独立行政法人 情報処理推進機構
SP 800-63-1文書[1]は、米国NIST（National Institute of Standards and Technology：国立標準技術研究所, NIST）が発行するSP（Special Publications）シリーズのひとつであり、米国OMB（Office of Management and Budget：行政管理予算局）が米国各省庁および各政府機関長官宛に発行したガイダンスOMB M-04-04「連邦政府機関向けの電子認証にかかわるガイダンス（E-Authentication Guidance for Federal Agencies）」を上位ポリシーとしたガイドラインである。 ガイドラインはOMB M-04-04にある4レベルの保証をベースに、認証に係る作業（登録、本人確認、トークン、認証プロトコル）について記載されている。 SP 800-63自体は2004年
米Gizmodoが行った｢パスワードの日｣とは？
自分で自分を守る、それがパスワードです。 パスワードは定期的に変更しましょう。もちろん安全のためです。複数サービスで同じパスワードを使い回すのはやめましょう。もちろん安全のためです。...実行しています？ 何年も同じお馴染みのパスワード使ってません？ かく言う自分は、もうアレとアレとアレの3パターンくらいをここ8年は使いまわしていますよ。メールアカウントのパスワードなんて最初に設定して以来なーんもしとらんたい！ だって面倒くさいっちゃもん！ どうせみんなそうなんだろ？ というわけで米Gizが2月1日をパスワードの日として｢みんなでパスワード変更しようぜ！｣ってなことをやっていました。 米Gizの中の皆さんのパスワードの現状 ■Matt Buchanan記者 セキュリティのレベルによって変更したルートパスワードを使っている。メールアカウントと金融関連のものは違うパスワードにして、その他の所で
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
2011年、ワーストパスワード25。あなたのパスワードはランクされていませんか？
2011年、ワーストパスワード25。あなたのパスワードはランクされていませんか？2011.11.27 12:00 まぁ大抵、人間なんてたいした想像力もなく、そして怠惰なものです。えっ、そんなことないって？？ まぁ、他の分野に関してはそもかく、パスワードに関してはそういう人も多いのではないでしょうか？ 今回ご紹介するのは、 2011年のワーストパスワード25、つまり他人に推測されやすいパスワードです。まぁ2011年といったって、別に昨年のものと比べて大きな違いがあるわけではないんですけどね。でもそれだって当然ですよね。パスワード界には大きな変化なんて起きていませんもの。 この、パスワードのランキングはSplashDataによって作成されています。2011年にハッカーが盗み、オンラインで公表した何百万ものパスワードを集めて作りました。 1. password 2. 123456 3. 1234
RESTに対する７つの誤解
海外に行くと、既に REST対SOAPの決着は付いている[1]（エンタープライズでもコンシューマでも）ように見えるのだが、日本国内で話していると、まだまだ混乱しているようだ。さながら2009年ごろの状況を見るようだ。そこで、今日は RESTに関わる誤解について、幾つか書いてみたいと思う。（殴り書きだが、あんまり聞かれるのでFAQとして。なお、以下の多くは、[2] サービスステーション：RESTの詳細でより詳細に書かれている。） 誤解1. RESTはマッシュアップ用のプロトコルで、サーバ間通信には適さないのではないか？ どこからこのような誤解が来ているのか理解に苦しむ。ひょっとすると、RESTはHTTPベースということが、ブラウザとWebサーバのやり取りという風に誤って捉えられているのかもしれない。 もちろん間違いである。 ブラウザとWebサーバとの間同様、サーバからサーバへの通信にもHTT
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Bitcoinを技術的に理解する
「個人を特定する情報が個人情報である」と信じているすべての方へ―第1回プライバシーフリーク・カフェ（前編）
Two Factor Auth | BrainStation®
異常行動検出入門（改）
確実に記憶できるID・パスワードは平均3.1個～野村総研調べ 