パスワードをインターネットに公開してはならない | らんだむけんきゅうじょ
何を言ってるんだ？当たり前じゃない？と思う方がいると思いますが、思わぬ形でパスワードがわかってしまうことがありますよ、という話。もう時効だと思うので、記事にしてみようかなと。 2013年の3月に遡ります。事の発端はとあるGigazineの記事でした。 各ブラウザからパスワードを抜き出すフリーソフト「WebBrowserPassView」 この記事にパスワードをモザイク処理した画像が乗っていました。(現在パスワードは変更済みです)具体的にはWindows標準のnotepadでパスワードのリストを表示させたものでした。 これを見て、もしかしたらパスワードわかるんじゃない？と。 理由としては、確か、 ・フォントがMSゴシックだとわかる ・フォントサイズが12ptなのでビットマップフォントになっている ・モザイクが小さく、綺麗に処理されている だったからだと思います。 で簡単なスクリ
パスワード定期的変更の効能について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題のパスワードの定期的変更について、本当のところ効果がないのか、その効能についてご説明いただきます。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。いつもはパスワードの定期的変更にはあまり意味がないと主張していますが、今日はパスワードの定期的変更を擁護する立場なんですね。面白そうです。よろしくお願いします。 高橋: まず問題の整理についてです。IPAより9月3日に『「ID・パスワードのセキュリティ対策促進に関する広告等業務」 係る企画競争 』の仕様書(PDF)が公開されました。その仕様書中の行動喚起を促す対策事例の一つに「ID・パスワードは定期的に変更する」 があったので、セキュリティクラスタが騒ぎ出し、その結果かどうかは分かりませんが、9月9日に同仕様書が改定され、パスワードの定期的変更は対策例から削除されました。一連の議
ついに終わりつつあるパスワードの時代―それに代わるものは？ - WSJ
筆者が5万1000件を超えるつぶやきを投稿したツイッター TWTR -0.05% Twitter Inc. U.S.: NYSE $38.31 -0.02 -0.05% July 14, 2014 4:00 pm 出来高 (遅延15分) : 19.44M 時間外取引 $38.15 -0.16 -0.42% July 14, 2014 7:59 pm 出来高 (遅延15分): 264,386 PER N/A 時価総額 $22.61 Billion 配当利回り N/A 従業員当たり売上高 $295,368 07/14/14 Marketers Hope Soccer Is New F... 07/14/14 Adidas Declares World Cup Vict... 07/13/14 The Password Is Finally Dying.... 詳細の株式情報とニュース »
NHK NEWS WEB パスワードの使い回しにご用心
ＳＮＳやショッピングなど、インターネットを利用するのに欠かせないパスワード。 「覚えられないから」と、ついつい、同じものを使い回している人も多いのではないでしょうか？ しかし、最近、こうしたパスワードの使い回しが原因とみられるＩＤの乗っ取りが急増しています。 友人からの信用を失ったり、金銭の被害まで起きねない、こうした乗っ取り。 どうすれば巻き込まれないで済むのか、また、パスワードの使い回しをやめるには、どうすればいいのか。 科学文化部の田辺幹夫記者が解説します。 乗っ取りは突然に ６月上旬、名古屋市に住む２０代の会社員の女性は、友人からかかってきた電話に耳を疑いました。 「『電子マネーを買ってほしい』って、どういうこと？何かあったの？」。 身に覚えがなかったため、詳しく聞くと、この友人のもとに、女性の名前でメッセージが送られてきたというのです。 見せてもらうと、「コンビニ
「パスワード使い回しは危険」、注意されても状況変わらず
今回の調査で、パスワードを使いまわす理由に「忘れてしまうから」（74.7％）や「考えるのが面倒」（46.5％）が挙げられた。 同社によれば、不正ログインでは複数のWebサービスに対して同じIDやパスワードを使い回すユーザーの情報を使った「アカウントリスト攻撃」が実行される。2013年は68万件以上のアカウントへの不正ログインが確認されたという。 こうした状況に対し、セキュリティ業界からは「長く複雑な文字列にする」「使い回しをしない」「定期的に変更する」「メモ書きは禁止」といった対応が推奨されてきた。しかし、「1人のユーザーが利用するサービスが増加し管理が煩雑になった」と指摘する専門家もおり、業界の推奨策がユーザーの実態に即していない様子もうかがえる。 不正ログインを抑止する観点ではワンタイムパスワードのような2段階認証を導入するサービスも増えているが、ユーザーによる「パスワードの使い回し」
PHP でパスワードを保存するなら Blowfish でハッシュしよう | バシャログ。
今週末に劇場公開される『平成ライダー対昭和ライダー 仮面ライダー大戦 feat.スーパー戦隊』に草加雅人が登場するときいて期待よりも不安に駆られている kagata です。仮面ライダーが30人も出てくるお祭り映画で、彼の腐りきった性根もとい、複雑に屈折したキャラクターを描ききることができるのでしょうか。いきなりいい奴になってたらどうしよう…そう、たとえば劇場版ジャイアンのように…。 さて、今回は PHP とパスワードハッシュのお話です。パスワードを平文で管理していた時代は遠く過ぎ去りました（と思いたい）。またパスワードハッシュのアルゴリズムも、かつてよく使われた MD5 や SHA1 よりも安全とされるものが登場しています。そんな中、今現在のベストプラクティスはどうなっているのか、PHP マニュアルの公式（？）見解をひもといてみました。 PHP マニュアルの見解 PHP マニュアルにはその
セキュリティアナリストのつぶやき
2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...
セキュリティアナリストのつぶやき
2022.03.09 Azure AD導入環境に対するペネトレーションテストの資格「Certified Az Red Te...
PHP5.5.0 から導入されたパスワードハッシュ関数を使ってみた - mikanmarusanのブログ
概要 パスワードのハッシュ パスワードハッシュ API は crypt() を手軽に使えるようにしたラッパーで、 パスワードの作成や管理を安全な方法で行えます。 crypt() を利用すればパスワードハッシュの生成は可能なんだけど、経験上煩雑なコードになりやすい気がして（自分がPHPを書くのが下手なだけかもしれないけど）ちょっと勉強してみた。 環境構築 vagrantでUbuntu(raring)を用意し、php5.5.7をLaunchpadのPersonal Package Archiveでインストール。 $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 13.04 Release: 13.04 Codename: raring $ php -v PHP 5.
弱いパスワードを使わないためにできること
Award-winning news, opinion, advice and research from SOPHOS Naked Securityに掲載された記事「Are our passwords really that bad? And does it really matter?」が、先日発表されたよく使われるパスワードの記事を引用する形で、安易なパスワードの使用を巡るいくつかの視点を伝えた。記事ではパスワードに関してどういった意識を持ち、または援助するツールなどについても簡単に説明がある。タイトルに対して結論を出すような内容ではないが、日々増え続けるパスワードに関する意識を持つ点において参考になる。 オンラインバンクで使用するパスワードと、1回だけソフトウェアをダウンロードするために入力するパスワード、どちらに対しても同じ意識を持って臨むというのはなかなか難しい。そして結局複数
よく使われるパスワード 2013年版 - セキュリティは楽しいかね？ Part 2
先週 SpalshData が "Worst Passwords of 2013" のリストを発表しました。SpalshDataはパスワード管理ソフトなどスマートフォン向けの製品を開発している会社ですが、その年に起きた情報漏洩事件のデータをもとに、ユーザがよく使うパスワードのトップ25を調べて、2011年から毎年発表しています。 2013年 "Password" unseated by "123456" on SplashData’s annual "Worst Passwords" list 2012年 Scary Logins: Worst Passwords of 2012 — and How to Fix Them 2011年 When "Most Popular" Isn't A Good Thing: Worst Passwords of the Year – And How
なぜ僕らはまだパスワードリスト攻撃に悩まされ続けるのか
なぜ僕らはまだパスワードリスト攻撃に悩まされ続けるのか：Japan Identity ＆ Cloud Summit 2014レポート 2014年1月14日と15日の2日間にわたって、「アイデンティティ」という切り口からビッグデータや番号制度、セキュリティなどの問題について議論するカンファレンス「Japan Identity＆Cloud Summit」が開催された。その初日の模様をレポートする。 2014年1月14～15日の2日間にわたって、「アイデンティティ」という切り口からビッグデータや番号制度、セキュリティなどの問題について議論するカンファレンス「Japan Identity＆Cloud Summit」が開催された。 ユーザーデータの活用には透明性の確保が前提 1日目、最初のプログラムでは「ビッグデータとアイデンティティ～ビッグデータ活用の高度化にあたり、われわれは『利用者のID』とど
【Windows 10対応】パスワードを忘れたWindows OSにログオン（サインイン）する
退社した人のPCや前の管理者が管理していた共有PCなど、パスワードが分からなくなり、仕方なくWindows OSを再インストールする羽目になった、ということもあるのではないだろうか。実は、パスワードが分からなくなっても、ちょっとした操作でパスワードの再設定ができる。ただし悪用は厳禁である。他人のPCに対して許可なく、以下の方法でログオン（サインイン）すると犯罪になる。 以下、Windows 10のインストールメディアを使い、Windows 10のパスワードを解除する手順を紹介する。他のバージョンのインストールメディアやWindows 7／8／8.1でも同じ手順でパスワードの再設定が可能だ。 Windows OSのパスワードをリセットする裏技 パスワードを再設定するには、ちょっとした裏技（？）を利用する。Windows 7／8／8.1／10のログオン（サインイン）画面にある［コンピューターの
【企業サイトへの不正アクセス急増中！】あなたのパスワードを守る対策とは？
みなさんが普段使っているパスワードは、もう何年使っていますか？ 同じパスワードをいろんなところで使い回していませんか？ 「だって違うパスワードにして忘れたら困るしなー」 ・・・なんて方は大変危険です！！Σ(゜Д゜) 企業サイトへの不正アクセスのニュースがあとを絶たないこのご時世、 同じパスワードを複数サイトで使いまわすのは危険過ぎる行為です！ もしも企業サイトが不正アクセスされて、ユーザーの個人情報が流出してしまうと、 多くの場合パスワードも流出してしまいます。 本当にこわいですよね(>_<) そんな大事なパスワードなのに、今年10月のAdobe不正アクセス事件で なんと190万人が「123456」使用していたことが判明したとか。 何十万人もの人が「123456789」「password」などの簡単なパスワードを使っていたんです。 そんな単純なパスワードなんて、驚く方も多いでしょうが、 内
GitHubに大規模な不正ログイン試行 | 徳丸浩の日記
GitHubのブログおよび国内の報道によると、GitHubに対して大規模な不正ログインが試みられたようです。 GitHubは米国時間の2013年11月19日、ブルートフォース攻撃を受けたことを明らかにした。攻撃の時期や被害を受けたアカウント数は公にしていないが、今回の攻撃を踏まえ、より強固なパスワードや二要素認証などを利用するようユーザーに呼び掛けている。 GitHubにブルートフォース攻撃、一部のパスワードが破られるより引用 私もGitHubアカウントがありますのでSecurity Historyページを確認したところ、不正ログインの試行が確認されました。IPアドレスは、ベネズエラ、タイ、ブラジルのものです。 GitHubアカウントをお持ちの方は、念のためSecurity Historyを確認することを推奨します。 今回の不正ログインの特徴は以下のようなものです。 少数の「弱いパスワード
Adobeでよく使われるパスワード Top 10 - セキュリティは楽しいかね？ Part 2
Adobeから大規模な情報漏洩が起きたことが先月明らかになったが、漏洩規模は当初想定よりもかなり大きく、およそ1億5千万件のアカウント情報が漏洩している(アクティブなアカウント約3,800万件を含む)。このうち 3DES (ECBモード) で暗号化されたパスワードがおよそ 1億3千万件含まれており、これまでにさまざまな分析が行われている。SCG (Stricture Consulting Group) のセキュリティ研究者は、暗号化パスワードとともに漏洩した平文のパスワードヒントなどを手掛かりとしてパスワードの解読を試みており、Top 100パスワードリストを公開している。最も多く使われていたパスワードは「123456」で約191万件、これは全体の約 1.5%に相当する。 Adobeの情報流出で判明した安易なパスワードの実態、190万人が「123456」使用 - ITmedia エンタープ
Adobeサイトから漏えいした暗号化パスワードはなぜ解読されたか
Adobe社のサイトの不正アクセス（参照、参照）によって、少なくとも3800万人のIDと暗号化されたパスワードが漏えいしたと言われています。既に報告したように、私のアカウントも漏えいしていました。 その後、『Adobeの情報流出で判明した安易なパスワードの実態、190万人が「123456」使用』というニュースが流れてきました。安易なパスワードが使われている統計は今までもあり、「パスワードの実態」に関しては「そんなものだろうな」と思いましたが、問題は、どうやって「暗号化パスワード」を解読したかです。 別の報道では、Adobeサイトがパスワードの暗号化に用いていたアルゴリズムはトリプルDESだったということです。トリプルDESは電子政府推奨暗号リストの今年の改訂でもしぶとく生き残り広く使われている暗号化アルゴリズムです。そんなに簡単に解読されたのでは問題ですが、実際には、「トリプルDESが解読
「管理者パスワードは何日ごとに変更すればよいか」に関する質疑応答 - ockeghem's blog
昨日Webサイトを守るためのセキュリティ講習会の講師を担当しました。講習会の終了後、受講生から「管理者パスワードの定期的変更」に関する質問がありました。備忘の為、質疑内容を以下に記録します。 Q1:上位ポリシーにて、管理者パスワードは定期的に変更するように義務づけられているが、何日毎に変更するのが正しいのか。最近の専門家の見解をお伺いしたい A1:専門家の見解は分かれているとお答えしました 現在の主流はパスワードを定期的に変更するべしという考え方ですが、それに異論を持つ人もいて、私もその一人です。 一般ユーザのパスワードとは異なり、管理者パスワードは、業務の必要上複数の人が知っている状況があります。その状況では、「定期的に変更」するのではなく、管理者パスワードを知っている人が、他業務に異動、あるいは退職するタイミングで遅滞なく変更するべきです。そうしないと、「管理者でなくなった人が管理者パ
いまさら聞けないパスワードの取り扱い方
そうだったのか！ よくわかる process.nextTick() node.jsのイベントループを理解するshigeki_ohtsu
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
