今だから白状すると、昔、運営していたサービスの一般ユーザーのパスワードをハッシュ化（暗号化）せずに平文でDBに保存していたことがある。 言いわけは、幾つかある。 一つは、今では当たり前のようについているパスワードリマインダーの仕組みが当時は一般的ではなかったこと。 ユーザーがパスワードを忘れた、と問い合わせしてきた時に、最も自然な方法はまさに当人が設定した「パスワード」を一言一句違わず登録メールアドレスに送信することだった。あなたのパスワードは○○○です。ああそうそう、そうだったね。こういう感じだ。 当時のユーザーはそれを不審がらなかった。 またサポートコストの問題があった、パスワードの再発行を、そのためのトークンを含んだ長いURLを、大半のユーザーが嫌がっていた。 サポート部門はOutlookExpressに表示された長すぎるURLのリンクが途中で切れててクリックできない、という苦情にい

この記事は認証セキュリティ情報サイト「せぐなべ」に掲載された「架空世界 認証セキュリティセミナー 第21回『近未来のウェアラブル端末と認証【プリンセスコネクト！】」（2018年5月10日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。当時未発売だった製品やサービスの記述などは、本記事掲載時の状況に合わせて編集しています。 今回の題材は人気のソーシャルゲーム「プリンセスコネクト！」と、その続編「プリンセスコネクト！Re:Dive」。プレイしていない人もいると思うため、今回は詳しく解説していくので安心してほしい。それでは早速紹介していこう。 「困ったときはお互いさまさま、だよ」 では基本データから紹介しよう。 プリンセスコネクト！はサイバーエージェントAmeba事業本部と、数々の人気ゲームをリリースしているCygamesの共同企画・開発によるタイトルで、2015年2月に

小説やマンガや映画やアニメやゲームといった「架空の世界に現れる、認証的なモノ」を伝える連載「架空世界 認証セキュリティセミナー」を転載。ITを活用する上で無視できない認証とセキュリティの話題を、楽しく分かりやすく伝える認証セキュリティの情報サイト「せぐなべ」内のコンテンツです。

□ パスワードの文字列は、長めにする（12文字以上を推奨） □ インターネットサービスで利用できる様々な文字種（大小英字、数字、記号）を組み合わせると、より強固になる □ 推測されやすい単語、生年月日、数字、キーボードの配列順などの単純な文字の並びやログインIDは避ける □ 他のサービスで使用しているパスワードは使用しない これまでは、英大文字・小文字、数字に加えて記号を混ぜ込むことが多々推奨されてきました。しかし、「アルファベットを数字や記号に置き換える」等の方法では、憶えやすさが損なわれたり（※後述のコラムを参照）、「p@ssword」（aをアットマーク「@」に置き換え）のような置き換えの場合、辞書攻撃であらかじめ推測されている恐れがあります。したがって、現在では、これまでの方法より数文字でも多くの文字を使うことが望ましいと考えられています。 例えば、8文字で英大小文字＋数字＋記号（9

「他のセキュリティ対策ソフトはもういらない」とアピールするWindows Defenderの現状：鈴木淳也の「Windowsフロントライン」（1/4 ページ） Windows標準のセキュリティ対策機能は“オマケ程度”という認識はもう過去のもの。Windows 10の世代では、Microsoftがセキュリティ対策を大幅に強化しており、最新のセキュリティ動向を考慮したアップデートも続けているのだ。

どこの会社でも「1行直すだけでしょ？　そんなに大変なの？」ということを何度も聞かれる (もしくは言外にそのニュアンスを含められる) ので毎度説明するのだけれど、「いや、そう思うだろうけれど大変なんですよ」以外に答えられていなくて、自分でもあまりうまい答えではないなと感じるのでまじめに考えてみた。 まず大前提として1行を修正するのに本当に言われるがままにその1行を直すのであればそれは作業者で世の中にエンジニアなんて職業はいらないわけで、ぼくらの付加価値は1行を直すときに1行の外にあるものを想起できるから価値があるわけです。 じゃあ、どんなことを考えているかというと、まずたいていそんなすぐに安請け合いできないシステムというのは1行を直すときに影響を受ける行数というのは10行や20行ではないことが多い。そこで影響範囲を考えます。途端にこれが1万行になったりする。すると、1万行へ影響が出るのにこれ

ミスティーノは、仮想通貨でも遊べるオンラインカジノです。仮想通貨での入金には、Bitcoin、Ethereum、Litecoin、Bitcoin Cashなどが使用できます。また、出金も仮想通貨で行うことができます。 また、ミスティーノでは、スロットやテーブルゲーム、ライブカジノ、ポーカー、ビデオポーカー、バカラ、サイコロなど、様々なオンラインカジノゲームが楽しめます。さらに、スマートフォンやタブレットでのプレイも可能ですので、いつでもどこでもカジノゲームを楽しむことができます。 実際にミスティーノで遊んでみた感想 ミスティーノでは、新規登録や入金などに応じて、さまざまなボーナスが提供されています。 新規登録ボーナスとしては、入金不要で手に入る「フリースピン」があります。また、入金ボーナスとしては、入金額に応じた「マッチボーナス」が提供されることがあります。さらに、プレイヤーのレベルが上が

商品詳細ページを閲覧すると、ここに履歴が表示されます。チェックした商品詳細ページに簡単に戻る事が出来ます。

中目黒にある鍵屋さん、カトウロックサービス。普段は鍵交換や合鍵作成をされているとのことですが、ひとたび店内に入るとそこにはものすごい種類の鍵のコレクションが。アフリカからインドまで古今東西の鍵が500本以上。中には『からくり錠』という一風変わった鍵も！　今回はそのコレクションの解説と、鍵の複製ってどうするのかなど、鍵についての率直なギモンを伺ってきました。 こんにちは、ライターの神田です。 私は最近東京に引っ越してきたのですが、今日は家の合鍵を作ってもらうため、鍵屋さんにやってきました。 訪れたのは職場である目黒区・中目黒のカトウロックサービス。 通勤時に前を通るたび、「なんか変わった店だな」と思っていたんですが、店に入るとその予感は的中。 どうしてこんなに鍵が……？ 10や20じゃない、ものすごい数の鍵がショーケースに並べられていたのです。 この鍵屋さん、只者じゃない… ということで、合

イベント名: セキュリティとUXの◯◯な関係 講演タイトル: セキュリティの都市伝説を暴く 2017年6月9日 ヤフー株式会社 コワーキングスペース LODGE https://connpass.com/event/55559/

フィッシング対策の業界団体であるフィッシング対策協議会は2017年1月、TLS/SSLを使っているWebサイトにアクセスすると、正規のサイトであっても「信頼できないサイトです」といった警告が表示される場合があるとして注意を呼びかけた。「SHA-1」と呼ばれる暗号技術を使っているサーバー証明書が「安全ではないサイトの証明書」と見なされるようになったためだ。 安全でないサイトと見なされると、Webブラウザーによっては警告の表示どころか、アクセスの続行すらできない。国内にもそんなWebサイトが数％残っているのだ。 「SHA-1」は安全ではない SHA-1とは、任意のデータを固定長のデータに変換する暗号学的ハッシュ関数の一種。サーバー証明書の署名（デジタル署名）を作成する際などに使われている。米国家安全保障局（NSA）が設計し、米国立標準技術研究所（NIST）によって1995年に「FIPS PUB

オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら

徳丸浩さんといえば、通称「徳丸本」こと『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』でご存知の方も多い通り、Webアプリケーションのセキュリティ専門家としてよく知られています。 今回はWordCamp Toyko 2016にご登壇いただく徳丸さんに、セッションの内容や最近のセキュリティ事情などについてうかがって来ました。当日の目玉セッションの一つである「CMS四天王への攻撃デモを通じて、WordPressの効果的な防御法を学ぼう」を楽しみにされている方は、ぜひご覧ください。参加登録がまだの方はこちら！ 場所 HASHコンサルティング 聞き手 高橋文樹（WordCamp Tokyo 2016 実行委員長） ——本日はお時間いただき、ありがとうございました。まずは、ふだん徳丸さん自身が代表を務めるHASHコンサルティングでのお仕事についてお聞かせくださ

こんなことを想像してみてください。 あなたは大企業で働いています。仕事はかなり退屈です。端的に言えば、あなたの顔も見たくないという経理担当の3人しか使わないようなアプリケーションのために定型的なコードを書いて、才能を無駄にしているという状況です。 あなたが本当に情熱を注げるのはセキュリティです。毎日、 r/netsec を読み、仕事の後にはバグ報奨金プログラムに参加しています。ここ3カ月間は手の込んだ株式取引ゲームをプレイし、報奨金を得ています。ヒープベースのバッファオーバーフローを発見し、優良株を選ぶ手助けとなるAVRシェルコードをいくつか書いたからです。 あなたが取り組んできたビデオゲームが、実は巧妙な偽装のリクルートツールであったと判明し、全てが変わります。世界最高のセキュリティコンサルタント会社、Mont Piperが人材を募集していて、あなたは面接に行くことになったのです！ 飛行

(訳注：2016/9/28、頂きましたフィードバックを元に記事を修正いたしました。) ことの始まりは、あるスパムキャンペーンでした。画像1は、スパム向けに仕掛けた罠に最近引っかかった、疑わしいドキュメントファイルが添付されたメールです。文面の英語がとても稚拙なことに気付くかと思いますが、この稚拙さがメール受信者への警告サインとなります。 画像1：スパムサンプル 添付のファイルは、”.doc”のファイル拡張子を使っていますが、実際はRTF（リッチテキストファイル）ファイル形式で、特別に細工されたRTFファイルによるスタックオーバーフローの脆弱性が含まれています。この脆弱性は、CVE-2010-3333で文書化されており、”pFragments”の形をしたプロパティを扱う際にMicrosoft Word RFTパーサを攻撃するものです。これに対する修正モジュールは5年以上前にパッチされています

ジェイティービー（JTB）は2016年6月24日、個人情報が流出した可能性がある問題で観光庁に報告書を提出、引き続いて国土交通省で2回目の会見を開いた（関連記事：「経営課題という認識が不足」、679万人のJTB情報漏洩可能性が残す教訓）。 JTBは会見で、「観光庁への報告書とほぼ同じ内容」（JTB）とする報道用資料を配布。同社のWebサイトなどでの公表予定はないというが、マルウエアの感染からJTBの子会社やセキュリティ会社がどう対応していったかが詳細に記されている貴重な資料と言える。以下ではその内容を記述する。自分ならどう対応できたか、想像しながらお読みいただきたい。 発端は2016年3月15日。旅行商品をインターネット販売する子会社であるi.JTB（アイドットジェイティービー）がWebサイトで公開する、問い合わせを受け付ける代表メールアドレスに、攻撃者が取引先になりすました標的型メールを

※この記事にちょいちょい出てくる上の方は、教授のことです。職場ではありません。 タイトルの通り、Macbook Proがマルウェアっぽいやつ(どちらかというとアドウェア？)に感染しました。(めんどくさいので便宜上この記事では以下ウィルスと呼びます。) 適当にしか探してないですが、似たような症状の記事とかが見つからなかったので、閉じ込めて少しだけ分析してみました。 が、最近セキュリティ以外のアルバイトや研究が忙しくてブログ書く時間が取れず、詳細を書いている時間がないのですが、これ以上溜め込んでおくのは鮮度が落ちる？し適当にまとめて載せておきます。 あと、詳しく書くと悪用する奴が出てくるからやめとけととあるお方から言われたのでコード省略してます。 感染源 これが本当に調べるの辛くて… 気力の限りlogを遡ったりしたのですが、わからなかったです… 症状 感染すると、以下のような症状が出ました。