安全なウェブサイトの作り方改訂第7版の変更点と変わらない点
IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定
パスワードの最適変更間隔とその定量的効果の評価
パスワードの最適変更間隔とその定量的効果の評価 twitter:@pseudoidentifie CC0 簡単のために、ユーザが候補とするパスワード選択空間と攻撃者が想定する攻撃パスワード空間は同一とし、個のパスワード候補が含まれるとする。また、攻撃者は、パスワード空間中から、ランダムに攻撃パスワードを順次選択し、攻撃を行うものとする（本攻撃方法は決して典型的な攻撃方法とは限りません）。また攻撃は、秒間隔で実施されるものとする。 ユーザがパスワードの変更を行わない場合、秒で、全パスワードの攻撃が可能であり、ユーザのパスワードを攻撃者は知ることができる。攻撃者がパスワードを知るのにかかる平均時間は以下となる。 次に、ユーザは、をより小さい自然数として、秒間隔でパスワードの定期変更を行う場合を考える（ユーザは個のパスワード候補からランダムにパスワードを選択するものとする）。また、簡単のために、
330万パターンから分析 絶対に設定してはいけない最悪のパスワード25 - 週刊アスキー
なんて悲惨な結果…… 5位のqwertyにちょっと創意工夫を感じたが、他はまあ……そうだな、野球とドラゴンとサッカーが好きなんだな。うん。 英語圏なので日本人とはやや感性が異なるが、誕生日を除けば似たような結果が出てくるような気もする。「123456」などは以前にツイッターが使用を禁じた370パターンのパスワードにも含まれており、危険な状況は変わっていない。 暗号の歴史は、数学と計算機（コンピューター）の進化の歴史でもある。グーグルも目をつけている量子コンピューターの研究も進む中、昔ながらのパスワードに代わる技術は出てこないものか。 写真：Yuri Samoilov ■関連サイト Splashdata Facebook
パスワードを平文で送ってくるっぽいサイトまとめ
パスワードを平文で送ってくるっぽいサイトまとめ パスワードを平文で送ってくるっぽいサイトをまとめています。サイトと関連ツイートを参照できます。
ソニーはパスワード数千個を｢パスワード｣というフォルダに保管していた
ソニーはパスワード数千個を｢パスワード｣というフォルダに保管していた2014.12.05 12:305,509 satomi それはあまりにも当たり前の場所だった。 北朝鮮（？）のハックで、社員6800人の給与がリークし年収1億円超えの経営陣が白人男性ばっかり（9割弱）なことが判明したソニー・ピクチャーズ・エンターテイメント。 ITの中の人かわいそうに…今ごろ死んでるだろうな…と心底同情していたら、こんなものが出てきました。 大事なパスワード保管庫の名前が｢Password｣って…壁に何発か頭ぶつけてよしだよ！ どうりで昨日第2弾のデータの山がリークされたら、あっという間にBuzzfeedがFacebook、MySpace、YouTube、Twitterの｢映画大作の公式アカウントのユーザー名とパスワード｣を探し当ててしまったわけですよ。仕事早いと思ったらなんのことはない。｢Passwor
マルウェアの次の狙いはパスワードマネージャー、IBMの考える解決策とは
By Pierre Lecourt 各社が提供しているパスワードマネージャーは、安全なインターネット・アクセスを確保できるシンプルな解決策とされており、ユーザーは強力なマスターパスワードを1つ設定するだけで、全てのウェブサイトへ簡単にアクセスできるようになります。さらに、サービスごとに「登録デバイス」「暗証カード」のような物理的認証や、「ソフトウェア証明書」「デジタル署名」を要求することでユーザーを判別する「追加認証システム」を採用するサービスも増加していますが、これらのコンビネーションを突破するマルウェアが、サイバー犯罪防止に取り組むIBM Trusteerの調査で見つかりました。 Cybercriminals Use Citadel to Compromise Password Management and Authentication Solutions http://securit
第40回 MOPS：安全性の高いパスワードハッシュ作成ツール - phpass | gihyo.jp
第32回 PHPセキュリティ月間（Month of PHP Sercurity）で「PHPセキュリティ月間」（MOPS - Month of PHP Security）について簡単に紹介しました。 今回はパスワードを安全に保存するツールの紹介です。今まで数回に渡ってMOPSの成果の一部を紹介してきましたが、今回で最後です。 MOPS Submission 10: How to manage a PHP application’s users and passwords http://www.php-security.org/2010/05/26/mops-submission-10-how-to-manage-a-php-applications-users-and-passwords/index.html この論文は1位を取得した論文です。Drupal 7でこのライブラリが利用されてい
自宅の鍵を定期的に取り替える佐藤君（仮名）の話
パスワードの定期的変更について元々違和感を持っています。今まで、理詰めでその違和感を解明しようとしてきましたが、それでも私の頭のなかのもやもやをうまく説明できたわけではありません。そこで、パスワードの定期的変更を「自宅の鍵を定期的に変更する比喩」を用いて、そのもやもやを説明したと思います。比喩によって精密な議論ができるとは思っておりませんので、あくまでも主観的な「もやもや」を説明する方便として読んでいただければ幸いです。ここに登場する佐藤は架空の人物です。 徳丸: 佐藤君は自宅の鍵を定期的に取り替えていると聞いたんだけど、本当? 佐藤: 本当ですよ。毎年に替えています。毎年年末に鍵を取り替えて、安心な気持ちで新年を迎えるんです。徳丸さんは替えてないんですか? 徳丸: 替えないよ。鍵を落としたりしたらまた別だけど、そういうのでもなければ替えないよね。佐藤君はなぜ毎年替えるの? 佐藤: だって
パスワードの定期的変更問題についての徳丸先生の立場
徳丸 浩 @ockeghem 私がパスワードの定期的変更問題について取り組み始めたきっかけは、パスワードの定期的変更が当たり前のように要求されているが、これに効果があるのだろうかという疑問からでした。定期的変更を要求する記事は数多くありますが、その理由を明確に説明している記事は見つかりません 2014-10-19 10:13:25 徳丸 浩 @ockeghem そこで、手探りで「パスワードの定期的変更の意味探し」を始めました。私はこの種のことをよくやります。ある人から別の話題で、徳丸がやっていることは『存在しない聖杯を追い求めている行為』と言われました。同じように、「パスワードの定期的変更の意味」は私にとって「聖杯」でした 2014-10-19 10:13:54 徳丸 浩 @ockeghem 記事を書いてその反応を見たり、twitterでのやりとり、自身の思索の結果、「パスワードの定期的変
パスワードの定期的な変更を勧める企業にその根拠を聞いてみた
先日、とある企業からメールにて会員向けに「なりすましログイン」に関する注意喚起メールが届きました。 その中にパスワードを定期的に変更することが推奨されていたので、その根拠について質問し、先方の担当者とやりとりした結果を記録として残しておきます。長文の割にとくにオチはありません。 メール内容の引用は全文ではありません。文頭の挨拶文など、本筋に関係ない部分は省略しています。 当該企業を晒し上げることが目的ではないため、サービス名、担当者名は伏せています。 まず最初に、会員向けに届いたメール（の一部）がこれです。 本メールをお送りしているメールアドレスのIDでは、なりすましログインは確認されておりませんが、今後、会員情報が不正に利用されることを防ぐため、定期的なパスワードの変更をお勧めいたします。 ※なりすましログインが確認された方については、別途、弊社より個別にご連絡を差し上げております。 今
Gmailのアドレス流出、今考えるべき対策は？
Gmailのアドレス流出、今考えるべき対策は？：パスワードに続き浮上した、メールアドレス＝ユーザー名のリスク 約500万件のGmailアドレス、パスワードの組み合わせが流出したとの報道が出た。ID、パスワードが流出したときの利用者としての対応を、再度確認しよう。 米国時間の2014年9月10日、約500万件にもおよぶGmailなどのメールアドレス（ユーザー名）とパスワード情報の組み合わせが、ロシア語で運営されているオンラインフォーラムで公開されたことを複数のメディアが報じた。これに対し米グーグルは、公式ブログにおいて、流出は「グーグルのシステムに対する不正侵入によるものではない」と述べている。 複数の報道によると、オンラインフォーラム上で公開されたアカウント情報は約493万件。ほとんどが英語、ロシア語、スペイン語のもので、中には数年間使われていない古い情報も含まれているという。米グーグルは
パスワード定期的変更の効能について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題のパスワードの定期的変更について、本当のところ効果がないのか、その効能についてご説明いただきます。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。いつもはパスワードの定期的変更にはあまり意味がないと主張していますが、今日はパスワードの定期的変更を擁護する立場なんですね。面白そうです。よろしくお願いします。 高橋: まず問題の整理についてです。IPAより9月3日に『「ID・パスワードのセキュリティ対策促進に関する広告等業務」 係る企画競争 』の仕様書(PDF)が公開されました。その仕様書中の行動喚起を促す対策事例の一つに「ID・パスワードは定期的に変更する」 があったので、セキュリティクラスタが騒ぎ出し、その結果かどうかは分かりませんが、9月9日に同仕様書が改定され、パスワードの定期的変更は対策例から削除されました。一連の議
ANAマイレージクラブに「英数字8～16けた」の新パスワード 数字4けたから強化
全日本空輸（ANA）は8月18日、「ANAマイレージクラブ」会員が公式サイトにログインする際、現行のパスワードと異なる「Webパスワード」を、9月4日から新たに導入すると発表した。「お客様に安心してご利用いただくため」としている。 現行では、マイレージ番号と数字4けたのパスワードのみでログインでき、「不正ログインに対して脆弱だ」と指摘されていた。 新たに導入するWebパスワードは8～16けたで、任意の英文字（大小）と数字で構成。ユーザーはWebパスワードを新規に設定する必要がある。 12月3日までは移行期間として現行のパスワードも利用できるが、12月4日以降はWebパスワードのみの利用に切り替わる。 現行のパスワードは引き続き「ANA予約センター」への問い合わせ時や空港の自動チェックイン機などで必要となるため、Webパスワードとあわせて管理するよう呼び掛けている。 関連記事 ANAマイレー
iOS 8から「1Password」が指紋認証に対応、Twitterなどのログインも簡単に
「iOS 8」から実装される新しいアプリ連携機能の「App Extension」では、サードパーティ製のアプリがTouch ID(指紋認証機能)を使えるようになるなど、さらなるiOSアプリの充実が期待されています。パスワード管理アプリの「1Password for iOS」の提供元であるAgileBitsは、早くもTouch IDによるログインなどが可能になる「1Password Extension」を完成させています。 Introducing the 1Password App Extension for iOS 8 apps | Agile Blog http://blog.agilebits.com/2014/07/30/introducing-the-1password-app-extension-for-ios-8-apps/ 指紋認証を使って1PasswordからID・パスワー
覚えられるけれど解読不能なパスワードの作り方4選 | ライフハッカー・ジャパン
安全なパスワードと覚えやすいパスワードのバランスに悩むことはありませんか？ 自分でも覚えられないパスワードほど安全ですが、パスワードマネジャーを使用できない場面では、記憶に頼らざるをえません。 セキュリティ侵害が発覚するたびに、私は頭を悩ませます。今年の春、ハートブリードの脆弱性が見つかり、全員がパスワード変更を余儀なくされました。その作業は、今でも続いています。ハックされる恐怖におびえると同時に、自分のお気に入りのパスワードを完全に変えてしまうことに時間と精神的エネルギーを費やすのが無念でなりません。 これは、あなたも同じでしょうか？ もしあなたが、ユニークかつランダムな、突破できないパスワードを管理するシステムを導入しているなら、敬意を表します。ある推定によれば、パスワードを再利用せず、セキュリティが充分といえるユーザーは全体の8%だそうです。 残りの92%は、対策が必要です。安全なパ
input type = password autocomplete = off は使ってはいけない
2016/11/18にBurp Suite Japan LT Carnivalで登壇した時の資料です。
パスワードの父は言う｢もう無理、悪夢｣と
彼の名前はフェルナンド・J・コルバト。世界を変えた男、最初にコンピュータのパスワードを考えだした人物です。現代のテクノロジーのあり方だけでなく、私たちのプライバシーへの考え方にも影響を与えた人物と言えるでしょう。彼がコンピュータパスワードという概念を打ち出してから、約半世紀。マサチューセッツ工科大（MIT）元教授である彼は、今こう考えています。 ｢パスワードは悪夢だ｣と。 コルバト氏は、 ウォール・ストリート紙の取材で、サイバーセキュリティはその歴史の長さに対してあまり進歩していないと語っています。今回の悪夢発言はこのインタヴュー内で述べられたもの。 彼がMITで教鞭を執っていた当時、校内の全員がメインフレームと1つのローカルディスクCを共有していたそうです。その結果、1人1人のファイルが相互に首を突っ込まないようにする方法が必要になになりました。パスワードは、この解決方法として編み出され
最良のパスワード管理ソフトを求めて - WSJ
This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702304155604579553012534592166.html
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
カスペルスキー製の無償パスワード管理ツール「Kaspersky Password Manager」 - 窓の杜
米企業「脱パスワード」急ぐ サイバー防衛で対策強化 - 日本経済新聞
