さよならパスワード！WebAuthnに対応したBacklog / Cacoo / Typetalkで指紋を使って安全ログイン | 株式会社ヌーラボ(Nulab inc.)
BacklogにmacOSの指紋認証でログインする様子 ヌーラボでは2019年3月にW3Cで標準化されたパスワードレス認証の「Web Authentication API」（WebAuthn: ウェブオースン）と、「FIDO2」（Fast IDentity Online: ファイド）対応のサーバを実装することで、Backlog / Cacoo / Typetalk上でのパスワードを使わない新しい認証に対応しました。 WebAuthn / FIDO2を使用した生体認証ログインのメリットは次のとおりです。 生体認証でログインが素早く簡単になります 生体情報はネットワーク上には流れず、ローカルのセキュリティ デバイスに保存されるため安全です 2要素認証※2のため安全です サーバに登録する認証情報は公開鍵のため、パスワードリスト型攻撃や情報漏洩のリスクがありません ドメインが検証されるため、フィッ
徳丸本 安全なWEBアプリケーションの作り方 第2版の公式勉強会のメモ - Qiita
はじめに SIerでWEBアプリケーションの開発を行っているエンジニアです。（Windows Formsでデスクトップアプリも作成してます） ここ数年、会社でスクラッチでWEBアプリを開発しました。（言語はC#、ASP.NETのWEBフォームを使用） その際、先輩プログラマーがセキュリティ対策の実装をして下さったのですが、自分もセキュアPGの知識を習得したい！ということで、今年の6月に発売された「安全なWebアプリケーションの作り方 第2版」を購入・読んでいます。ただ個人で読破するには大変な量なので、compassで開催されている輪読会にも継続で参加・発表してます。 今回、その「安全なWebアプリケーションの作り方 第2版」(以後「徳丸本」と表記)の著者である徳丸浩さんが書籍に関する勉強会を開催するということで、これは質問するチャンス！と思って参加しました。その際のメモ（ブログ枠で参加して
Apple、全従業員に対してAgileBitsのパスワード管理アプリ「1Password」を提供予定 | NEWS | Mac OTAKARA
※本サイトは、アフィリエイト広告および広告による収益を得て運営しています。購入により売上の一部が本サイトに還元されることがあります。 BGRが、Appleは、Apple Storeスタッフを含めた全従業員123,000人に対してAgileBitsのパスワード管理アプリ「1Password」を提供する計画だと伝えています。 同アプリはサブスクリプション式を導入しており、導入はエンタープライズ版を採用したと考えられます。 iOSやmacOSにはキーチェーンという同様の機能がありますが、Windows、Androidにも対応し、管理者から権限の管理やカスタムセットアップ、使用状況のログ追跡、Active DirectoryとOktaとプロビジョニング管理することができるなど、企業導入が進んでいるユーティリティです。 今週から100人の従業員が利用可能になっていて、今後１〜２ヶ月以内に全従業員が利
2018 年 5 月の更新プログラム適用によるリモート デスクトップ接続への影響
具体的には下記ケースでリモートデスクトップ接続ができなくります。 リモートデスクトップ接続先 (RD 接続ブローカーを含む) が３月の更新プログラム未適用 リモートデスクトップ接続元が５月の更新プログラム適用済み 2. 接続可否パターン 3. 解決策 リモートデスクトップ接続先に CVE-2018-0886 の 3 月以降の更新プログラムを適用いただくこととなります。 注意が必要な点といたしまして、リモート デスクトップ サービス (RDS) 環境でご利用いただいている場合、RD 接続ブローカー サーバーにも適用いただく必要がございます。 これは RDS 環境の場合、接続時の認証が RD 接続ブローカー サーバーでも行われるためです。 なお、RDS 環境ではその他に RD Web アクセス、RD ゲートウェイ、RD ライセンス、RD 仮想化ホストの役割が利用されますが、これらの役割自体は本
高木浩光＠自宅の日記 - 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」
■ 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」 序章 昨日の読売新聞朝刊解説面に以下の記事が出た。 ［解説スペシャル］ウイルスか合法技術か 他人のPC「借用」 仮想通貨計算 サイトに設置 摘発相次ぐ, 読売新聞2018年6月9日朝刊 「まさか違法とは……」。こううなだれる首都圏のウェブデザイナー（30）は今年3月、横浜地検にウイルス保管罪で略式起訴され、罰金10万円の略式命令を受けた。自分の運営する音楽サイトに昨秋、「コインハイブ」と呼ばれるコインマイナー用のプログラムを設置したところ、これがウイルスと判断されたのだ。 （略）昨年末から神奈川や宮城、栃木、茨城県警など全国の警察が捜査を開始。これまでに確認できただけで5人のサイト運営者がウイルスの供用や保管などの容疑で捜索を受け、既に略式命令を受けたケースもある。（略） 略式命令を受けたウェブデザイナー
.NET Framework で TLS1.1 および 1.2 を有効化する方法 | Microsoft Docs
.NET Framework で TLS1.1 および 1.2 を有効化する方法 04/07/2015 2 minutes to read 更新履歴 2016/6/16 .NET Framework 3.5 が TLS1.1/1.2 に対応しました！ 2017/7/20 .NET Framework 4.5 以降での既定値が変更になりました！ 2018/10/11 .NET Framework で TLS 1.1 および 1.2 を有効化するためのまとめ記事を別途公開しました！ こんにちは。 昨年 SSL3.0 のプロトコル自体に脆弱性 (POODLE) が発見され、IT 業界全体の問題となりました。 .NET Framework で開発している既存プログラムを TLS1.1 および 1.2 に対応したいとのお問い合わせをよくいただきます。 今回は、特にお問い合わせの多い HttpWebR
「cybozu.com」への影響｜サイボウズにおけるTLS 1.0無効化
このセキュリティ設定変更では、旧方式であるTLS 1.0という暗号化通信を無効化いたします。 上記接続チェックテストにてページが表示されないWebブラウザー/端末は、TLS 1.1以上の暗号化通信に対応しておりません。 影響を受ける可能性のある主なブラウザーやOSは以下の通りです。 ・Internet Explorer 10 以下 ・Windows XP ・Windows Vista ・Mac OS X 10.8（Mountain Lion）以下 ・Android OS 4.4 以下 ※Internet Explorer 11も接続チェックテストにてページが表示されない場合は設定変更が必要です。 なおサイボウズのクラウドサービスは、cybozu.com 動作環境に記載のWebブラウザーを動作保証しております。 動作環境に記載のWebブラウザーをご利用いただけますようお願い申し上げます。 ご
制度関連のNEWS｜「JIS Q 15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン-第2版-」の一部改訂について｜プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会（JIPDEC）
TOP > お知らせ > 制度関連 > 2018年 > 「JIS Q 15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン-第2版-」の一部改訂について 2020年8月3日更新：「JIS Q 15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン-第2版-」の公開は終了しました。 このたび、JIPDECプライバシーマーク推進センターでは、現在本WEBサイトで公開している 「JIS Q 15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン第2版」（※）の記載内容のうち「識別情報（ID、パスワード等）管理の望ましい手法」について、技術の進展や環境の変化等に対応し、例示された手法に関する内容の改訂を行いました。 なお、今回改訂した箇所は、あくまで具体的な対策例を示すものです。 必ずしも
Mac用ターミナルアプリ「iTerm 2」の機能により、パスワードを含む表示されたテキストがDNSサーバーに送られてしまう問題が確認される。
Mac用多機能ターミナルアプリ「iTerm 2」の”DNS Look”機能により、パスワードを含む表示されたテキストがプレーンテキストのままDNSサーバーに送られてしまう問題が確認され、開発者のGeorge Nachmanさんが最新の「iTerm 2 v3.1.1」へアップグレードする様に求めています。詳細は以下から。 オランダPowerDNS.COM BVのエンジニアPeter van Dijkさんによると、Mac用の多機能ターミナルエミュレータアプリ「iTerm 2」に、ユーザーが入力したパスワードなどがプレーンテキストの状態で誤ってDNSサーバーへ送られてしまう不具合が含まれているとして、至急iTerm 2のオプションを無効にする様に求めています(確認されたのはiTerm 2 v3.0.15およびmacOS 10.12.6)。 Detailed steps to reproduce
セキュリティを「必要悪」にした犯人は業界自身ではないか？ (1/2)
セキュリティ対策と業務効率や生産性はトレードオフの関係にある。これはまぎれもない事実だ。「だからこそ、双方のバランスが取れるアプローチを模索しよう」――本来ならば、そう受け取られるべき提案だったが、そうはならなかった。 2016年10月20～21日、都内で開催されたセキュリティカンファレンス「CODE BLUE 2016」を締めくくる基調講演「How much security is too much?（セキュリティ対策はどこからが過剰なのか？）」で、カルステン・ノール氏は、セキュリティ業界の人間としてのジレンマを吐露した。 イノベーションを阻害しているのはセキュリティ業界かもしれない、と自問 業務効率や生産性とのバランスが取れたセキュリティ対策を実施すべきだ――。セキュリティ業界の人間はよく、そのように訴える。 だが、現実はそうはなっていない。高度なサイバー攻撃や内部犯行による大型のセキ
入門！ チートの解剖学 ～セキュアプログラミングでゲームのチートは防げるのか？ ～
ゲームのチート対策について、技術的に見るとチートとはどういった行為であるのかを解説し、チート対策の原理や仕組みを解説します。Webアプリケーション開発におけるセキュアプログラミング等とは大きく異なるチート対策に特有のポイントを挙げ、同じく「セキュリティ」と呼ばれるものでも両者は大きく異なる技術分野であることを見ていきます。チートの多くは技術的にはそれほど難しいことをしているわけではなくチートの被害はいつでも発生しうるのだということ点を実感していただくために、Unityで作成したAndroidアプリに含まれる中間言語コードを改変する様子も紹介しています。 はじめに 情報システムが生活に欠かせないインフラとなった昨今、その開発と運用に携わるエンジニアの間にはセキュリティの意識が深く浸透しています。ソフトウェア開発の現在のメインストリームといえるWebアプリケーション開発の分野では、不特定多数の
マイクロソフトのパスワードに関するガイダンス
こんにちは、プラットフォーム サポートチームの高田です。 今回は、先日公開されました、パスワードについてのガイダンス情報をお届けします。 本記事は、米国 AD チームのブログ記事を一部翻訳したものです。ホワイト ペーパーにて詳細を確認されたい方はこちらのリンクを参照ください。ここでは、日本の IT 管理者向けに、パスワード管理について有用な箇所のみ、サポートチームで要約したものを提供いたします。 基本的にパスワード管理についてオンプレミス Active Directory、Azure Active Directory および Microsoft Account を問わず共通した情報ではありますが、一部の項目については、Azure Active Directory や Microsoft Account 固有の情報も含まれます。 IT 管理者向けの、パスワードに関するガイダンスは以下のとおり
「秘密の質問」には根本的欠陥があるという分析結果をGoogleが発表 | スラド IT
Googleが2015年5月21日、ブログで「秘密の質問」には根本的な欠陥があるという研究結果を発表した（Google Online Security Blog、TechCrunch、ITmedia）。 Googleは、数百万件のGoogle Accountの復旧要求に使われた数億件の「秘密の質問」とその「答え」を分析した。その結果から、「秘密の質問」は根本的な欠陥を抱えているとの結論が得られという。 根本的な欠陥とは、「答え」の安全性と覚えやすさが両立することはまずない、という点。本人が覚えやすい簡単な答えは、たいてい他者も知っていたり、公的な情報が入手可能だ。 また、国によって人名や好きな食べ物や出身地が偏っている、といった理由で答えの推測がしやすい点も問題である。たとえば、英語ユーザーでは「What is your favorite food?（好きな食べ物は？）」の質問に対し、1回
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ヤマハの一部ルーターやファイアウォールにスクリプトインジェクションの脆弱性 - INTERNET Watch
ホームページセキュリティ強化（常時SSL化）のお知らせ｜ジャパンネット銀行
TLS 1.0暗号化の無効化の対策について(2017/07/19) – cybozu developer network
東京都主税局が民間企業に.LG.JPドメイン名を切り売りする前代未聞の暴挙に——EV SSLの「東京都」も
【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ
【やじうまWatch】安倍内閣、サイバーセキュリティ対策で草薙素子氏を起用
大企業のマネジメントのキャリアを捨て「いちセキュリティ技術者」へ―HASHコンサルティング徳丸浩さん
