ログイン情報の複数デバイス間同期に対応した「Google Authenticator(Google認証システム)」のクラウドバックアップにおいて、エンドツーエンド(E2E)暗号化が行われていないことがセキュリティ研究者の調べで明らかになりました。Googleはこの懸念を受けて、Google Authenticatorの将来的なE2E対応を表明しています。 Google has just updated its 2FA Authenticator app and added a much-needed feature: the ability to sync secrets across devices. TL;DR: Don't turn it on. The new update allows users to sign in with their Google Account and

Help protect your applications and websites against denial of service and web attacks.

13 best practices for user account, authentication, and password management Editor's note: This post includes updated best practices including the latest from Google's Best Practices for Password Management whitepapers for both users and system designers. Account management, authentication and password management can be tricky. Often, account management is a dark corner that isn't a top priority f

サーバレスアーキテクチャで構築する際の認証認可、アクセス制限のパターンを何となく説明しています

🤔 前書き 稀によくある 、AWS を不正利用されちゃう話、 AWSで不正利用され80000ドルの請求が来た話 - Qiita 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita AWSが不正利用され300万円の請求が届いてから免除までの一部始終 - Qiita ブコメ等で GitHub にはアクセスキーを検索するBOTが常に動いていて、公開するとすぐに抜かれて不正利用される 的なコメントがつくのを何度か目にしたのですが、 本当にそんな BOT が動いているの？ どのくらいの時間でキーを抜かれて、不正利用が始まるの？ というのが気になったので、検証してみました。 GitHub にそれっぽいパブリックリポジトリを作成、権限が一つもついてない AWS のアクセスキー＆シークレットアクセスキーをうっかり公開、外部から利用されるまでの時間を計測します。

今年初め、私たちは Google Trust Services を設立したことを発表しました。Google と Alphabet 向けのルート認証局を自ら運営するためです。準備は急ピッチで進んでおり、Google サービス（Compute Engine、Gmail、その他の Google Cloud サービスを含む）をご利用の皆さんは、Google が以前とは異なる認証局（CA）をまもなく使い始めることにお気づきでしょう。認証局が切り替わっても大多数のお客様は影響を受けないと、私たちは考えています。 Google サービスとお客様の通信をセキュアなものにするため、Google は TLS（以前は SSL と呼ばれていたもの）を使用しています。TLS の場合、サーバーは認証局の署名を受けた証明書という形で自らの身元を証明する必要があります。この証明書については、Google は “GeoTr

Amazon Web Services ブログ Amazon S3バケットのアクセス設定に関する注意喚起メールにつきまして 2017年7月19日前後より、Amazon Web Services(AWS)の一部のお客様に対し、“Securing Amazon S3 Buckets” という件名のメールをご送付させていただきました。Amazon S3 のバケットポリシーやアクセスコントロールリスト(ACL)の設定の不備によって、Amazon S3 上の重要なデータが漏洩するセキュリティリスクに対する注意喚起となります。Amazon S3 のバケットポリシーや ACLの設定について、この注意喚起メールを必要な設定の見直しのきっかけにしていただければと思います。なお、メールを受け取られたお客様に、必ずしも問題があることを示すものではありません。 メールが送られた契機について 重要なデータが漏洩した

I was preparing some AWS Security related training. Soon, I realized that this topic is too huge to fit into my brain. So I structured my thoughts in a mind map1. Within a couple of minutes2 I came up with this: What is your first reaction? Mine was pretty much surprised: Let me summarize how AWS Security works to make sure you are not surprised one day. This post received over 200 points on Hacke

悪用されればPVゲストが全てのシステムメモリにアクセスできてしまう恐れがあり、権限を昇格されたり、ホストのクラッシュや情報流出を引き起こす可能性がある。 オープンソースの仮想化ソフト「Xen」に、PV（ParaVirtualization／準仮想化）ゲストから脱出できる脆弱（ぜいじゃく）性が発見され、4月4日、修正のためのパッチが公開された。 Xenのセキュリティ情報によれば、この脆弱性を悪用された場合、PVゲストが全てのシステムメモリにアクセスできてしまう恐れがあり、権限を昇格されたり、ホストのクラッシュや情報流出を引き起こす可能性がある。 脆弱性はXen 4.8.x、Xen 4.7.x、Xen 4.6.x、Xen 4.5.x、Xen 4.4.xの各バージョンに存在していて、4日にリリースされた「xsa212.patch」のパッチで修正された。影響を受けるのはx86システムのみで、ARM

We’re happy to be able to announce that Cloudflare is the second courageous client in EFF’s long-running lawsuit challenging the government’s unconstitutional national security letter (NSL) authority. Cloudflare, a provider of web performance and security services, just published its new transparency report announcing it has been fighting the NSL statute since 2013. Like EFF’s other client, CREDO,

Help us understand the problem. What is going on with this article? TL;DR AWSの二段階認証（Multi-Factor Authentication）を利用しているとき、認証端末を無くすとAWSのサポートが必要になる 電話番号での認証ができない場合には本人確認書類を提出して二段階認証を解除する必要がある 本人確認書類には公証人のサインが必要で、アメリカ大使館でサインをしてもらうことができる AWSアカウントにはMFAを設定しよう、というプラクティス AWSを利用しているアカウントが不正利用され、高額な請求を受けてしまうケースが話題となり、個人であってもルートアカウントでMFAを設定することが当たり前な世の中になりました。 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita

So you’ve pwned an AWS account — congratulations — now what? You’re eager to get to the data theft, amirite? Not so fast whipper snapper, have you disrupted logging? Do you know what you have? Sweet! Time to get settled in. Maintaining persistence in AWS is only limited by your imagination but there are few obvious and oft used techniques everyone should know and watch for. No one wants to get loc

Linux CVE-2016-4997 (local privilege escalation) and CVE-2016-4998 (out of bounds memory access) From: Jesse Hertz <Jesse.Hertz@nccgroup.trust> Date: Fri, 24 Jun 2016 18:53:53 +0000 Hi All, As part of a kernel fuzzing project by myself and my colleague Tim Newsham, we are disclosing two vulnerabilities which have been assigned CVEs. Full details of the fuzzing project (with analysis of the vulnera

シンジです。AWSに新機能「AWS Certificate Manager」が追加されました。SSL証明書がまさかの無料発行！ただしAWSのELBとCloudfrontに限る制限付きだけど！なので、EC2だけ〜とかでは使えませんのでご注意を。とはいえELBを挟むのもCloudfront使うのもありがちな構成なので、さくっとSSL暗号化通信したいときは無料だし便利ですよね。無料でワイルドカード使えるのはかなり便利。 ソースはこちら New – AWS Certificate Manager – Deploy SSL/TLS-Based Apps on AWS | AWS Official Blog https://aws.amazon.com/jp/blogs/aws/new-aws-certificate-manager-deploy-ssltls-based-apps-on-aws/ や

AWS Certificate Manager (ACM) handles the complexity of creating, storing, and renewing public and private SSL/TLS X.509 certificates and keys that protect your AWS websites and applications. You can provide certificates for your integrated AWS services either by issuing them directly with ACM or by importing third-party certificates into the ACM management system. ACM certificates can secure sing