何故パスワードをハッシュ化して保存するだけでは駄目なのか？ - NRIネットコムBlog
不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認
LINEの「パスワード変更したらスタンププレゼント」キャンペーンは、長い目で見ると実はかなりマズい
最近SNS上で話題になっていたのが、LINEの乗っとり騒動。ただ、LINEのサービス自体から情報が流出したわけではなく、他のサービス等と共有しているメールアドレスとパスワードの組み合わせで不正ログインをされているようだ。 そこでLINEが行ったのが、「パスワード変更した方全員にLINEキャラ特製スタンププレゼント」という、こちらのキャンペーン。 メールアドレスやパスワードを設定/変更する面倒さを、スタンプというインセンティブで乗り越えられるという、LINEにとってもユーザーにとってもwin-winの施策だ。よく考えたなぁ！ …と思っていた。以下のツイートを見るまでは。 一見有効なように見えるけど、LINEパスワード入力したらスタンプもらえるって情弱に誤学習させてしまって、フィッシングサイト乱立する気もする http://t.co/XWiYWDrfed — oʇoɯıɥsɐɥ oɥs (@s
無料でGmailなどの2段階認証を誰でも簡単にオフラインで実行できるアプリ「Authy」
FacebookやTwitter、Gmailなど便利なウェブサービスが多くの人の生活の中に溶け込んでいますが、OCNでIDとパスワードが流出したり、Yahoo!JAPANのパスワードと「秘密の質問」が流出したりと、ただパスワードを設定しているだけでは少し不安に感じることもあります。いくつかのウェブサービスでは2段階認証というセキュリティ機能が使用可能になってきており、これをスマートフォンを使って簡単かつセキュアに利用できるアプリが「Authy」です。20秒ごとにランダムな2段階認証用のトークンを発行し、オフラインでもどこでも使用可能になっています。 対応しているのはGmail・Dropbox・Facebook・LastPass・Linode・Amazon・Outlookとなっており、さらにSSHやWordPressのログインも2段階認証化させることが可能です。 Authy https://
痛いニュース(ﾉ∀`) : スマホ販売店でGoogleのパスワードと秘密の質問の記入を求められる謎の用紙が話題に - ライブドアブログ
スマホ販売店でGoogleのパスワードと秘密の質問の記入を求められる謎の用紙が話題に 1 名前： ターキッシュアンゴラ(東京都)：2013/03/21(木) 14:15:49.44 ID:bsfgQEOZ0 auの店頭でGooglアカウントとパスワードの記入を求められた用紙 あり得ない事だけど常態化してる様子。誰も指摘しないのだろうか？ http://twitter.com/sei_n/status/314373067050717184 松浦 豊 biomax 去年 私が契約した SB でもやってた。何が問題か、もわかってないんだろうね。ガラケーからの乗り換えだとこんなこと解らんって人も多いんじゃないかな。 http://twitter.com/biomax/status/314373977692852224 翻訳茶 3才 honyakucha ドコモで同様の例が。キャリア
WindowsのパスワードはGPUを25個使えば約6分から6時間で突破が可能、毎秒3500億通りもの総当たりが可能な方法とは？
一般的な企業で使用されているWindowsのパスコードを6時間以内に突破できるGPUクラスターを使用したクラッキングのシステムが開発された、とArs Technicaが報じています。 25-GPU cluster cracks every standard Windows password in 6 hours | Ars Technica http://arstechnica.com/security/2012/12/25-gpu-cluster-cracks-every-standard-windows-password-in-6-hours/" このシステムを開発したのはStricture Consulting Group社のCEOであるJeremi M Gosney氏で、ノルウェーのオスロで開催されたPasswords^12 conferenceにてその詳細を発表しました。 Gos
ABlog これからの携帯端末には、すべて逆パスワード機能をつけて欲しい
先日、こんな記事を見かけました。 iPhoneの画面ロックを解除するためのパスワードに、かなりの人が『1234』や『0000』を使っているという記事です。ロックの意味がありません。こういうの、あらゆる場面でもう100万回くらい警告されているはずですが、一向になくならないですね。人間は痛い目に遭って初めて学習するので、まあ仕方ない事です。 で、多分何度か言っている事ですが、iPhoneなどの端末に、パスワードの逆の働きをする『逆パスワード』をつけて欲しいです。『0000』や『1234』、自分の生年月日などを逆パスワードに設定しておくと、そのワードが入力されたら起動ロック、カメラで写真を撮り、GPSで現在位置を取得して、あらかじめ決めてあるメールアドレスに送信する、という機能です。 この機能があると、端末を盗んだり拾ったりしても、うかつに適当なパスワードを入れてみる、という事がしづらくなります
ログインパスワードを解析して監視ソフトをインストールできる「FinFireWire」
相手のパソコンが常に電源オン状態であり、パスワードで保護されたスクリーンセーバーが動いているであるとか、ターゲットとなるユーザーがログインしておらずユーザー名とパスワードを求める画面のままであるという状態でも、パスワードを解析してログインし、相手のパソコンの中にリモート監視ソフトをインストールできるのがこの「FinFireWire」です。その名の通り、FireWireポート経由で監視ソフトを送り込むことが可能となっています。 これは政府・警察・軍隊・情報機関向けにいろいろな人々を監視・盗聴するシステムを販売している企業を検索できるWikileaksの新プロジェクト「The Spy Files」にて列挙されている企業の一つであるイギリスの「Gamma」社の製品で、実際のプレゼンテーション用のPDFファイルとムービーが公開されています。 The Spy Files - Tactical IT
本当は怖いパスワードの話 ハッシュとソルト、ストレッチングを正しく理解する － ＠IT
PSN侵入の件から始めよう 今年のセキュリティの話題の中でも特に注目されたものとして、4月20日に起こったPSN侵入事件があります。5月1日にソニーが記者会見をネット中継したことから、ゴールデンウィーク中にもかかわらず多くの方がネット中継を視聴し、感想をTwitterに流しました。もちろん、筆者もその1人です。 このときの様子は、「セキュリティクラスタまとめのまとめ」を連載している山本洋介山さんが、Togetterでまとめています。 Togetterのまとめを読むと、漏えいしたパスワードがどのように保護されていたかが非常に注目されていることが分かります。Togetterのタイムラインで、14:48ごろにいったん「パスワードは平文保存されていた」と発表されると、「そんな馬鹿な」という、呆れたり、驚いたりのつぶやきが非常に多数流れます。 しかし、15:03ごろに「パスワードは暗号化されてなかっ
パスワード認証を回避してWindowsにログインする方法 - うさぎ文学日記
目の前にPCがあるのに、パスワードがわからずログインできないという状況ありますよね。合法的な状況なのであれば、パスワードなしでログインする方法を試してみてはいかがでしょうか。 今日現在、最新状態のWindows7で実行可能です。当たり前ですが、自分に権限のないPCなどで試さないようにして下さいね。 方法は以下の通り簡単です。 Ubuntuなどでブートして、Windowsドライブをマウント C:\Windows\System32以下の「Utilman.exe」を「Utilman.old」にリネーム C:\Windows\System32以下の「cmd.exe」を「Utilman.exe」にコピー 再起動して、Windowsの起動画面で「Windowsキー + U」でコマンドプロンプトが起動 あとは、「explorer.exe」などを実行することもできます。 実験 Ubuntu(ここではBac
無線LANのWPA/WPA2-PSKをGPUで超高速解析してパスワードを見つけるフリーのオープンソースソフト「Pyrit」
ATI Stream テクノロジー/Nvidia CUDA/OpenCLを駆使し、WPA/WPA2-PSKを突破するために必要となる巨大なデータベースを事前に作成することによって極めて高速にパスワードを解析できるのがフリーのオープンソースソフト「Pyrit」です。厳密なライセンスはGNU GPL v3となっています。 pyrit - WPA/WPA2-PSK and a world of affordable many-core platforms - Google Project Hosting http://code.google.com/p/pyrit/ 事前に巨大なデータベースを作成しておくため、ハードディスクの容量は割と必要となりますが、それとトレードオフで解析速度を高速化しようというアプローチになっており、FreeBSD・MacOS X・Linux上で動作し、MinGWを使うこ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
