パスワード変更用のURLを明示すためのwell-known URL for Changing Passwordsという仕様について
作成日 2023-05-31 更新日 2023-06-02 author @bokken_ tag well-known, appsec はじめに パスワード変更のためのURLを示すための、A Well-Known URL for Changing Passwords という仕様が存在する。¶ この仕様は主にクライアントサイドのパスワード管理ツールで使われる想定の仕様だ。¶ 本記事ではこの仕様がどういうものか、どういった利点があるのかについてまとめる。¶ パスワード管理ソフトとその課題 パスワード管理ツールはクロスサイトでのパスワードの再利用を防いだり、オートフィルをしてユーザビリティを高めてくれる良いツールだ。 ブラウザにもパスワード管理ツールが搭載されていたり、有名どころでは1PasswordやBitwardenのようなツールがある。¶ これらのツールの中にはパスワードの強度を教えてく
大量の IP アドレスは「IPInfoOffline」で調べよう - 午前７時のしなもんぶろぐ
以前ある筋から、とあるキャンペーンに関係しているとされる IP アドレスのリストの提供を受けたことがあります。 それ自体はありがたいことではあるのですが、その数なんと数万個。 しかも関連情報が一切付属しておらず、それぞれの IP アドレスがどこの何なのか、本当に怪しいのかどうかもさっぱりわからない状態です。 幸い関連しているとされるキャンペーン自体が大したものではなかったのでその場は放置したのですが、大量の IP アドレスについて効率よく調べる手段がほしいな～と思うようになりました。 そこで調べていたらちょうど良さそうなものを見つけたので紹介します。 Nirsoft と IpInfoOffline IPInfoOffline の特徴 大量の IP アドレスを高速に処理する ネットワーク接続を必要としない 使い方がシンプル 複数形式で出力できる 情報が古い 得られる情報に限りがある 使用例
スマホは後ろからどれくらいのぞかれている？ 魚眼レンズで後方を自動撮影して調査
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ドイツのUniversity of Duisburg-Essen、University of the Bundeswehr、KUKAに所属する研究者らが発表した論文「An Investigation of Shoulder Surfing Attacks on Touch-Based Unlock Events」は、スマートフォンを後方からのぞき見られている状況を調査した研究報告だ。 スマートフォンのロック解除などの認証イベントの際に魚眼レンズで後方を自動撮影し、どれくらいの割合で人から見られているかを調査した。またその際に、ユーザー本人に危機感があるのかを調査した。 スマートフォンで一般
パスワードのない世界に向けて ～TechFeed Conference 2022講演より | gihyo.jp
本記事は、2022年5月に開催されたTechFeed Conference 2022のセッション書き起こし記事「パスワードのない世界に向けて（えーじ） — TechFeed Conference 2022講演より」を転載したものです。オリジナルはTechFeedをご覧ください。 皆さんこんにちは。えーじです。今日は「パスワードのない世界に向けて」というお話をしたいと思います。 パスワードだけでは守りきれない世の中に 皆さんご存知のように、今多くのWebサイトはパスワードを使ったログインが主流です。 しかし、どんなに堅牢なシステムでも、ユーザーさんが弱いパスワードを作ってしまったり、同じパスワードを複数サイトで使い回してしまったり、フィッシングに引っかかってしまえばアカウントは乗っ取られてしまいます。 近年フィッシングが急増していることからもわかるように、パスワードだけのシステムでは守り
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン
特権アクセス保護／特権ID管理の本質、歴史、ID管理基盤／IDaaS（ID as a Service）との違い
特権アクセス保護／特権ID管理の本質、歴史、ID管理基盤／IDaaS（ID as a Service）との違い：ゼロトラスト時代の特権IDの守り方（2） 古くて新しい「特権アクセス保護」について技術的内容を分かりやすく解説する連載。今回は、特権アクセス保護（PAM）の歴史と本質、具体的にどのように機能するのか、ID管理基盤／IDaaS（ID as a Service）との違いなどについて解説する。 古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説する本連載「ゼロトラスト時代の特権IDの守り方」。連載初回の前回では、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理しました。 今回は、PAMの歴史と本質、具体的にどのように機能するのか、ID管理基盤／IDaaS（ID as a Ser
まさか自分が、しかも2度も！クレカを不正利用された記者が得た教訓
ネットショッピングや電子マネーへのチャージにクレジットカードを利用している人は多い。記者は普段の買い物を電子マネーやクレジットカードで支払うため、現金を利用する機会はほぼなくなった。ただクレジットカードは便利な半面、セキュリティーに注意しなければ思わぬトラブルに発展してしまう。 例えばクレジットカードの不正利用だ。その被害額は増加傾向にある。日本クレジット協会の調査によれば、クレジットカード番号の盗用による不正利用の被害額は2022年1～3月に94億6000万円と、前年同期と比較して約38％増である。 2022年4月、恥ずかしながら記者はクレジットカードの不正利用に遭ってしまった。たまたま早期に不正利用を発見できたが、気づかなければそのまま支払っていた可能性が高い。記者の失敗を他山の石として注意していただきたい。 カード解約時に判明 複数枚のクレジットカードを所持している人も多いだろう。記
RPKIとは何か ～起源といま～ – JPNIC Blog
tech_team 2022年7月27日 IPアドレス インターネットの技術 はじめに 国内では2015年に試験提供が始まったリソースPKI（Resource Public Key Infrastructure; RPKI）は、徐々にその利用が広まり、RPKIを使って作成されるROA（Route Origin Authorization）による、JPNICから分配されたIPアドレスに対するカバー率は、IPv4が45.6%、IPv6は57.1%になりました（*1）。本稿では、RPKIの起源やデザインコンセプト、そして最近の話題を紹介します。 RPKIは、IPsecの考案者として知られるステファン・ケント（Stephen Kent）氏によって1997年頃に考案されたもので（*2）、IPアドレスやAS番号といった番号資源が分配されると、それを証明する電子証明書が発行される仕組みです。当時は、Se
NEC森田社長に聞くDXを推進する「3つのキーワード」 指針は「長期利益の最大化、短期利益の最適化」
DX推進なくして企業の発展は望めない――。NECがデジタル化の波に乗って飛躍しようとしている。DXを進めるために必要な技術開発、人材の育成を含めて取り組んだことにより、経済産業省が東京証券取引所と共同で選定する「DX銘柄2021」に選ばれた。 かつてのNECにはみられなかったチャレンジ精神によって、デジタル化のリーダー役を担っている。その旗振り役である森田隆之社長にインタビューした。 森田隆之（もりた・たかゆき）1960年生まれ。1983年にNEC入社、2002年に事業開発部長、2008年に執行役員、16年に取締役、18年に副社長、21年4月から社長兼CEO。大阪府出身（撮影：山崎裕一） 関連記事 NEC「新卒年収1000万円」の衝撃 年功序列の廃止か、「3流国への没落」か NEC、ソニー、NTTコミュニケーションズ、DeNA、富士通……。高い報酬を払ってでも新卒の優秀な技術者を採用したい
Windows CryptoAPIの脆弱性によるECC証明書の偽造(CVE-2020-0601) - ぼちぼち日記
1. はじめに つい先日のWindowsのセキュリティアップデートでWindowsのCryptoAPIの楕円曲線暗号処理に関連した脆弱性の修正が行われました。 「CVE-2020-0601 | Windows CryptoAPI Spoofing Vulnerability」 これがまぁ世界の暗号専門家を中心にセキュリティ業界を驚かせ、いろいろ騒がしています。 その驚きの一つは、この脆弱性の報告者がNSA(米国家安全保障局)だったことです。NSAはMicrosoftのアナウンスとは別により詳しい内容でこの脆弱性を警告するアナウンスを出しています。 「Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers」 これまで数々の諜報活動をインターネット上で行ってきたNSAが、この脆弱性を
暗号初期化ベクトルは役に立つのか?｜徳丸 浩｜note
Peingで表題のような質問をいただきました。少し長くなるので、こちらで回答します。 現在、暗号化ではIV（暗号初期化ベクトル）が不要なECBモードは推奨されず、それらが使用されるCBC等が推奨されています。 しかし、暗号化後の文章も、暗号化初期ベクトル（平文）も同様にDBに直接保存される為、結局のところ意味をなすのでしょうか？ 暗号化後の文章が漏れる≒IVが漏れると思いますが、どのような時にIVを設定したことによる恩恵が受けられるのでしょうか？ https://peing.net/ja/q/c63a9669-0d8e-4a23-b7f8-67869bf9e0b0 より引用結論から言えば、IVは必須です。詳しくは暗号の教科書（手っ取り早いところではWikipediaの暗号利用モードなど）を読んでいただければよいのですが、わかりやすい例を２つ紹介します。 まずは、以下の２つの住所をAES-2
「え、ウチのCSIRTってレベル低すぎ……？」を確認する方法
「え、ウチのCSIRTってレベル低すぎ……？」を確認する方法：ITmedia エンタープライズ セキュリティセミナーレポート（1/3 ページ） CSIRTのミッションは何か、どういった業務を行うのか、どんな役割の人間やスキルが必要になるのか――こういったCSIRTの基本から、立ち上げたCSIRTの成熟度を評価する方法をANAシステムズの阿部氏が解説。読者の皆さんも試してみては？ 国内外でセキュリティインシデントが増え続ける中、組織的なセキュリティ対策として、CSIRT（Computer Security Incident Response Team）を整備する機運が高まっている。しかし、CSIRTのミッションは何か、どういった業務を行うのか、どんな役割の人間やスキルが必要になるのか――こういった基本的なポイントを改めて問われると、明確に答えられない人もいるのではないだろうか。 2018年1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Security of Passkeys in the Google Password Manager
Appleのロックダウンモード
NISTのポスト量子暗号標準
MicrosoftがIDガバナンスを強化へ セキュリティ新ブランド「Microsoft Entra」発表
https://twitter.com/__gfx__/status/1531430228006141952
Dell、EMC買収で獲得したセキュリティ企業RSAを21億ドルで売却
AVAST社が声明を発表 ～無料ウイルス対策で収集した閲覧データを第三者に販売との報道を受け／「アバスト」「AVG」拡張機能のストア締め出しに続く不祥事
5Gが実装されても、すぐにセキュリティがアップグレードされるとは限らない