Firebase Authentication 7つの落とし穴 - 脆弱性を生むIDaaSの不適切な利用 - Flatt Security Blog
はじめに こんにちは、株式会社 Flatt Security セキュリティエンジニアのぴざきゃっと (@pizzacat83) です。 認証機構を自作せずに導入できる Firebase Authentication は様々なアプリケーションにて利用されていますが、その特性を十分に理解せずに導入すると、実は不具合や脆弱性が生じることがあります。そこで本稿では Firebase Authentication を利用するうえで、注意しなければ不具合や脆弱性に繋がりうる 7 個の「落とし穴」について解説します。 はじめに IDaaS の利点と欠点 落とし穴 1. 自己サインアップ リスク 対策 不十分な対策 落とし穴 2. ユーザーが自身を削除できる 対策 落とし穴 3. 他人のメールアドレスを用いたユーザー登録 リスク リスク 3-1. メールアドレス誤入力によるユーザー乗っ取り リスク 3-2
超強固なセキュリティを誇る「ProtonMail」のクラウドドライブはどのように築き上げられているのか？
ランサムウェア攻撃の身代金要求の連絡手段にも利用されるほど強固なプライバシー保護とセキュリティを誇るメールサービス「ProtonMail」が、自社で開発中のクラウドストレージサービス「ProtonDrive」のシステム構造を公開しています。 The ProtonDrive security model - ProtonMail Blog https://protonmail.com/blog/protondrive-security/ ProtonDriveは「ボリューム」「ノード」「リンク」と呼ばれる3つの要素によってデータを保有しているとのこと。ボリュームは各ユーザーに割り当てられたストレージ容量のことで、ProtonDriveにアップロードしたデータは木構造に従いボリュームに保存されます。保存されたデータはブロックに分割され、データのタイプや容量、更新日時などとともにノードに紐づけさ
Mac TimeMachineのバックアップデータを削除する3つの方法
TimeMachineのバックアップを通常のファイルと同様に削除するのはよくありません。 思わぬエラーを被る前に正しいバックアップの削除方法を確認しましょう。 TimeMachineのバックアップデータを削除する方法はいくつかありどのように削除するかによって方法が違います。 今回はTimeMachineアプリ・ディスクユーティリティアプリ・ターミナルアプリから行う方法を説明します。 TimeMachineから日付・フォルダを指定して削除 TimeMachineから削除するには上部メニューバーの アイコンを選択し、「TimeMachineに入る」を選択します。 メニューバーにTimeMachineのアイコンが無い場合は「システム環境設定」➡︎「TimeMachine」を開き、下部にある「TimeMachineをメニューバーに表示」にチェックを入れてください。 TimeMachineからは指定
インタフェースデザインのお約束
デジタル製品のデザインに役立つ101の指針。製品のユーザビリティや性能を高める上で必須かつ基本のツボ、マスターすれば時間を節約し顧客満足度をアップできるテクニックが101のコンパクトなルールにまとめられています。メッセージが明確で説明もわかりやすいので短時間で気軽に読むことができます。101のルールは、タイポグラフィ、コントロール、カスタマージャーニー、各種要素の統一、UX全般に関わるプラクティスに分類されているのでリファレンス的に読むことも可能です。「よくある落とし穴」を巧みに回避し、自信をもってユーザーのために闘い、すばらしいユーザーエクスペリエンスを提供するプロへと成長させてくれる一冊です。 ●翻訳者による「日本語版のサポートページ」。 ●日本語版独自の8つの追加ルールが収録された「訳者あとがき」のPDF（6MB）。 というわけで、この長すぎる「訳者あとがき」では、原著者があげなかっ
21世紀の人類がZIPのパスワードを直後のメールで送るのは、なぜデスか？：こうしす！ こちら京姫鉄道 広報部システム課 ＠IT支線（11） - ＠IT
井二かけるの追い解説 今回の漫画のテーマは、ITエンジニアの間でしばしば批判される「後続メールでのパスワード別送」です。 ここでいう「後続メールでのパスワード別送」とは、メールで添付ファイルを送付する際、添付ファイルをパスワード付きzipとし、後続メールでパスワードを送付するという方式です。 現在、情報セキュリティ対策の一環として、「後続メールでのパスワード別送」を採用する企業が数多く存在します。漫画のようにパスワード別送をシステムで自動化している企業も少なくありません。 では「後続メールでのパスワード別送」は何が問題なのでしょうか。代表的な2つの点を挙げます。 1.後続メールでパスワードを別送しても、セキュリティはほぼ向上しない 電子メールはその仕組み上、基本的に相手に届くまでに複数のサーバを経由します。メール送信にTLS/SSLを用いても、暗号化が保証されるのは自分が使用しているメール
分散ユーザー管理システム「etcdpasswd」の紹介 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、アプリ基盤チーム兼Necoプロジェクト所属の @ueokande です。 本日はNecoで開発しているUNIXユーザーの管理ツールである「etcdpasswd」を紹介します。 github.com etcdpasswdは、etcdをバックエンドに持つ分散型のユーザー管理システムです。 etcdpasswdは自律型の分散システムで、一時的にホストがダウンしても、次回起動時にetcdのユーザーを参照して同期します。 etcdpasswdはLDAPのようなNSS (Name Service Switch) が外部サービスに問い合わせるのではなく、etcdpasswdが各ホストにある /etc/passwd を更新します。 なぜetcdpasswdなのか 現在のcybozu.comデータセンターでは、各ホストのユーザー追加・更新は、MySQLでユーザー管理されており、管理者が適用したタ
Pwman3 - ターミナル用のパスワード管理
MOONGIFTはオープンソース・ソフトウェアを紹介するブログです。2021年07月16日で更新停止しました 今時、パスワード管理を使っていなかったり、Excelやテキストファイルで管理しているといった方はいないと思います。しかし多くのパスワード管理はWebベースだったり、Webブラウザに紐付いていたり、さらにGUIアプリケーションです。サーバ管理者にとっては使い勝手がよくありません。 そこでターミナルでも使えるパスワード管理を導入しましょう。それがPwman3です。 Pwman3の使い方 Pwman3は専用のコンソールを使います。newで新しいパスワードを登録します。 pwman> new Username: goofmint Password (leave empty to create one): Password length (default: 8):12 Url: https:
インフラエンジニアが一切コードを書かずにWebサーバーに認証機能を実装した話 ｜ Developers.IO
コンニチハ、千葉です。 AWSのサービスを組み合わせれば、独自の認証基盤を構築できます。例えば、WordPressを限定的に公開する、Apache、 Nginx、カスタムWebアプリなどなど、簡単に認証をかけたい場合、ベーシック認証は昔から利用されてきました。ただし、これはスケーラビリティや運用面でどうしてもつらい場面がでてきます。 そこで、ALBに素敵すぎる組み込みの認証機能が追加されたのでこちらを利用し、コードを一切書かずに認証を導入します。また、OIDCなど認証プロトコルに対応していますが、今回はシンプルにCognitoのユーザープールを利用し、ユーザー管理自体もCognitoに任せます。 要件 今回の想定する要件です。 Nginxを社内ユーザーのみに公開 スタンドアローンのユーザープールを用意(AD、OICD、SAMLなどによる連携なしで、独自でユーザーを管理) ユーザーは管理者が
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
Bizコンパス -ITによるビジネス課題解決事例満載！
【お客さま各位】 Bizコンパスは2021年9月30日（木）をもちましてサービスを終了致しました。 2021年10月20日（水）より、Smart Worldの未来を探求するメディア「OPEN HUB Journal」としてリニューアルオープンしました。 本ページは、5秒後に「OPEN HUB Journal」サイトへ自動的に遷移します。 自動的に遷移しない場合は、こちらをクリックしてください
iOSのポップアップを偽装し、Apple IDやそのパスワードを盗み取るPoCが公開される。
iOSのポップアップを偽装し、Apple IDやそのパスワードを盗み取るPoCが公開されています。詳細は以下から。 iOSを利用しているとiTunes Storeやアプリ内課金などを行うプロセスでApple IDのパスワード入力を求められると思いますが、悪意のある攻撃者がこのポップアップを偽装し簡単にApple IDのパスワードをユーザーから盗み出すコンセプト(以下、PoC:Proof of Concept)をGoogleのエンジニアFelix Krauseさんが公開し、話題になっています。 📝 One of these is Apple asking you for your password and the other one is a phishing popup that steals your password https://t.co/PdOJcthqL7 pic.twitt
Buttercup - Electron製のパスワード管理
MOONGIFTはオープンソース・ソフトウェアを紹介するブログです。2021年07月16日で更新停止しました 今時の開発者でパスワード管理を使っていないという人はほぼいないでしょう。むしろ対象サービスやソフトウェアが多くて選定に困るかも知れません。選定の要素になり得るのがマルチプラットフォーム対応ではないでしょうか。 WindowsやmacOSでも動き、さらに部署や権限毎にファイルを分けて管理できると便利です。ということで今回はButtercupを紹介します。 Buttercupの使い方 メイン画面です。複数のファイルに分けて使えるのが便利そうです。 新しく作る場合にはマスターパスワードを設定します。 こちらがメイン画面です。フォルダに分けて管理できます。 パスワードの強度も表示されます。 エントリーに登録されました。 ButtercupはElectron製なので、Windows/macO
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【最新＆完全版】Google Analytics指標＆ディメンションチートシート | Life Design Edit