基本情報技術者平成28年春期問40 パスワードリマインダ
Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。 アあらかじめ登録された利用者のメールアドレス宛てに，現パスワードを送信する。イあらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページヘアクセスするための，推測困難なURLを送信する。ウ新たにメールアドレスを入力させ，そのメールアドレス宛てに，現パスワードを送信する。エ新たにメールアドレスを入力させ，そのメールアドレス宛てに，パスワード再登録用ページヘアクセスするための，推測困難なURLを送信する。 パスワードを忘れたユーザを救済するための仕組みをパスワードリマインダといいます。パスワードリマインダを設けることでユーザの利便性は高まりますが、認証の機会が増えることでセキュリティが弱くなるため仕組みや設置の可否を慎重に検
7iDのパスワード再発行がセキュリティ的に最悪な件：パスワード変更しても無意味な状況（会見後追記）
本サイトはアフィリエイト広告を利用しています。なお本記載は景品表示法改正に伴うASPからの要請に基づく表記であり、本サイトのポリシーとして、依頼された記事などは別途記載を実施しています。 追記：酷い記者会見と無意味な対策今日の14時に記者会見が行われましたが、もう開いた口が塞がらないどころかため息が出るレベルの酷い記者会見でした。 二段階認証をまともに理解していない？チャージと登録を停止するが、決済は停止しない補償はするとは言ったが、方法などはまだ未確定もうさっさとサービス終了したほうが今後のためじゃないですかね。 パスワード再発行の件は対策した（風にみせかけ）何人か指摘している人も居ますけども、あまり詳しく言うのは問題になりかねないので言いませんが、下記に記載のあるパスワード再発行の件は内部の処理は結局対策されてません。それだけは言っておきましょう。 なので、下記の会員IDの変更などは早
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
陸自ネット侵入許す 高度なサイバー攻撃、情報流出か - 西日本新聞
防衛省と自衛隊の情報基盤で、駐屯地や基地を相互に結ぶ高速・大容量の通信ネットワークがサイバー攻撃を受け、陸上自衛隊のシステムに侵入されていたことが２７日、複数の同省関係者の話で分かった。防衛省が構築した堅固なシステムの不備を突く高度な手法と確認された。詳細な記録が残されておらず、被害の全容は判明していないが、陸自の内部情報が流出した可能性が高い。 複数の自衛隊高級幹部は「危機的で相当深刻な事態だ。早急に再発防止策を講じる必要がある」と強調。一方、情報セキュリティーを担当する防衛省の斎藤雅一審議官は「個別の案件には答えられない」とコメントした。 防衛省は外部接続を制限するなど防御を強化してきたが、今回はそれを上回る高度な手法から国家などが関与した組織的攻撃の疑いが強い。同省は深刻な事態と判断。９月ごろに確知し、直後にサイバー攻撃への警戒レベルを引き上げた。 関係者によると、攻撃を受けた
ＪＴＢ個人情報流出 ウイルス添付のメールは全日空からを装う | NHKニュース
大手旅行会社「ＪＴＢ」の個人情報を狙ったサイバー攻撃で感染の発端となったコンピューターウイルスが添付されたメールは送信元のアドレスや内容がふだんから業務でやり取りがある航空会社の全日空から送られたように装ったものであったことが関係者への取材で分かりました。 社内では、不用意に添付ファイルを開かないよう指導されていましたがウイルスが添付されたメールは発信元のアドレスに「ａｎａ」の文字がありタイトルも「航空券控え添付のご連絡」とふだんから業務でやり取りがある全日空から送られたように装ったものであったことが関係者への取材で分かりました。 また、ＪＴＢ側では少なくとも２種類のウイルスの感染が確認されいずれもパソコンを遠隔操作するタイプだということです。 こうした手口についてセキュリティー会社「トレンドマイクロ」の高橋昌也シニアスペシャリストは「２種類のウイルスを使うことで１つのウイルスが検知されて
JTBへの不正アクセスについてまとめてみた - piyolog
2016年6月14日、JTBは同社のサーバーが不正アクセスを受け、顧客情報が漏えいした可能性があると発表しました。ここでは関連情報をまとめます。 公式発表 今回の不正アクセスによる影響はJTB他、同社の提携サービスを展開している他社にも波及している。 JTBグループ 2016年6月14日 不正アクセスによる個人情報流出の可能性について 2016年6月14日 Re: Occurrence of Unauthorized Access (魚拓) 2016年6月16日 個人情報流出の可能性があるお客様へのご連絡について 2016年6月17日 「なりすましメール」「フィッシングメール」や「なりすましサイト」にご注意ください JTB提携先 NTTドコモ 2016年6月14日,16日 提携先のJTB社のグループ会社サーバーへの不正アクセスに伴う「dトラベル」の個人情報流出の可能性について (魚拓) (
「IoT開発におけるセキュリティ設計の手引き」を公開 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
公開日：2016年5月12日 最終更新日：2023年3月29日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター IPAセキュリティセンターでは、今後のIoTの普及に備え、IoT機器およびその使用環境で想定されるセキュリティ脅威と対策を整理した「IoT開発におけるセキュリティ設計の手引き」を公開しました。 概要 昨今、IoT（Internet of Things）が多くの注目を集めています。現在ではIoTと分類されるようになった組込み機器のセキュリティについて、IPAでは2006年から脅威と対策に関する調査を実施してきました。現在IoTと呼ばれる機器には、最初からIoTを想定し開発されたものの他に、元々は単体での動作を前提としていた機器に、ネットワーク接続機能が後付けされたものが多く存在すると考えられます。そのため、IoTの普及と利用者の安全な利用のためには、機器やサービスがネ
前時代的セキュリティ滅ぶべし - レベルエンター山本大のブログ
セキュリティ事故ってもう日常茶飯事で、萎縮ムードは常識化してる。 大きな組織になればなるほど、もう社員のことは信用しない。 それってSIerが死にゆく理由だと感じてしょうがない。 社員さんよ、「信用してないけど結果残せ」って言われてる感じじゃない？ それってちゃちな話じゃない。 例えば、DropBoxが使えないからリアルタイムな情報共有ができないとか 社外とのGitのやり取りができないから、ソースの共有で手間食うとかそれだけの話じゃない。 SIerが「IT企業」の枠にいるくせに 「情報技術には保守的です」って言ってるってことで 「医者だけど、医術は信じてません。まじないで病を直します」って言ってるような感覚を受ける。 IT業界と言ってるくせに、情報を扱う姿勢が保守ってどう？ 例えば以下３つの事例はなぜ毎年おこるのか？ 1. セキュリティーカード紛失によるセキュリティー事故 もう1５年も同じ
覚えやすくて強力なパスワードづくりに挑戦してみた結果を報告します。｜男子ハック
1.キーとなるフレーズを決めるキーフレーズがあれば忘れないってことですね、例えば「danshihack」とか。しかしこのままじゃ、バレバレです。なので加工(=置き換え)をします。 danshihack → dansh1hack ※iを1に置き換えてみたdanshihack → dan489 ※音を数字に置き換えてみたdanshihack → joshihack ※意味を逆にしてみたdanshihack → dnshhckb ※子音を取り除いてみたこれでキーフレーズが決まりました。置き換え後のキーフレーズはある程度予測しにくいものになっています。個人的には2番目と3番目が覚えやすいと思うのですが、このへんは主観ですのでいろんな置き換えを試してみてください。 ※キモとなるのがこの「置き換え」だと思っています、みなさんの「置き換え」の例もぜひコメントでお寄せください。 そもそも誰でも思いつきそう
悲報 パスワードが記載された国勢調査の利用案内が無防備にポスティングされる事案が続出
出張中、平成27年国勢調査の「インターネット回答の利用案内」という封書を妻が受け取っていました。 そろそろ来る頃だと知っていたので、来た時にはきちんと「国勢調査員証」を確認するように言っていたのですが、我が家を担当されている調査員の方はしっかりとした方だったようで、自ら「国勢調査員証」を提示され封書を手渡されたとのこと。 ただ、この封書って中に調査対象者IDと初期パスワードを記載した用紙が入っているにも関わらず、封印されていないんですね。 用紙の下部には以下のように書いてあります。 ※この利用者情報は、配付された世帯でのみご使用ください。また、第三者に渡らないように取扱いなどには十分ご注意ください。 ※本誌は、セキュリティ確保のため、原則、再発行いたしません。 調査対象者ＩＤは、回答内容の確認や修正を行うための再ログインの際に必要となります。 このような注意喚起をするのであれば、IDやパス
新リサーチ: 「秘密の質問」を問い直す
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
パスワードを強化しつつ多くのサービスで使い回ししない簡単な方法 - ネットの海の渚にて
photo by marc falardeau パスワードの流出 ちょっと前からTwitterではアカウントが乗っ取られてフォロワーにメンションを飛ばしまくるスパムが続出している。 Twitter乗っ取りでスパム送信相次ぐ リスト型攻撃か 偽ブランド販売サイトに誘導？ - ITmedia ニュース 今まであったTwitterのスパムは使用者が不用意に「アプリ連携」を許可してしまって知らないうちに宣伝リツイートをさせられるのが主流だった。 今回流行しているスパムは、無作為に宣伝メンションを送りつけるわけだから、似てはいるけれど決定的に違う部分がある。 前者のスパムは知識不足からくる不注意で、使用者自らが「連携許可」を出してしまっていることに対して、後者が全く異なるのはパスワードを破られている点で深刻さは桁違いだ。 パスワードが流出する騒ぎというのは今ではそれほど珍しいことではない。 少し調べ
首都大学東京、学生ら5万1000人分の個人情報が流出した可能性 NASが外部に公開状態
首都大学東京の学生や教員らのべ約5万1000人分の個人情報が流出した可能性。データを保存していたNASが外部に公開された状態のままになっていたという。 首都大学東京は1月19日、学生や教員らのべ約5万1000人分の個人情報が流出した可能性があると発表した。データを保存していた学内のNAS（ネットワーク接続ストレージ）が4カ月以上外部に公開された状態になっており、データには閲覧制限をかけていなかったという。 同大によると、流出した可能性があるのは（1）「英語クラス編成試験」に関する氏名・TOEICスコア約1万5000人分、（2）入学手続き予定者の氏名・住所・電話番号・生年月日約1万人分（うち学外1500人）、教員（非常勤含む）の氏名・住所・メールアドレス約9000人分──など。 学外から1月1日に情報提供があり、5日に確認したところ、外部からアクセス可能な状態（FTP共有が有効）になっている
【衝撃事件の核心】生徒に破られた高校サーバー、流出したクラス替え案・９８０人分の成績…脆すぎる「学校のＩＴセキュリティ」と「生徒のモラル」（1/4ページ） - MSN産経west
教師のパソコンから新年度のクラス編成案や入試成績が抜き取られ、一部がスマホを介して生徒たちに流された。“犯人”の男子生徒は「軽い気持ちでやった」といい、学校での情報管理やモラル指導のあり方が問われる事態に 新年度のクラス表が春休み中に生徒たちの間に出回っていた－。滋賀県内にある県立高校の男子生徒が今年３月、教諭のパソコンのユーザーＩＤとパスワードを盗み見して学校のサーバーに不正アクセスし、クラス編成案や休み明けのテスト問題、入試や定期試験など生徒９８０人分の成績を入手。このうち、クラス編成案は無料通信アプリ「ＬＩＮＥ（ライン）」で同級生ら３５人に送信した結果、情報があっという間に３００人以上の手元へ拡散した。学校現場にパソコンが普及する中、個人情報に対する学校の管理体制や生徒たちの「情報モラル」が問われる事態になった。（桑波田仰太）付箋に書かれた教諭のパスワード 卒業式を前日に控えた２月２
サイト構築ソフトに欠陥 官公庁などサイバー攻撃の恐れ - 日本経済新聞
ウェブサイトを作成するために官公庁や銀行、企業などが広く利用しているソフト「ストラッツ1」にセキュリティー上の欠陥（脆弱性）があることが24日分かった。個人情報や機密情報を盗まれたりサイトが改ざんされたりするサイバー攻撃の恐れがある。同ソフトはサポートが終了しており、現在のところ修正プログラム（パッチ）は無い。すでに攻撃方法がインターネット上で公開されており、早急に対応が必要だ。ストラッツ1は
バイドゥ株式会社がアンドロイド用日本語入力システム『Simeji（シメジ）』の事業を取得 - Baidu（バイドゥ）ニュース - Baidu.jp に関するニュース
ISO 27001 certified by BSI under certificate number IS 619805 for the information security management of Simeji
入力情報を送信するＩＭＥ
2013/12/26 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 入力情報を送信するＩＭＥ IMEの通信解析で利用されたSSLの解析技術に関して NHKなどで報道されている、パソコン用の日本語入力ソフトBaidu IME、 Android用の日本語入力ソフト Simejiの送信データを解析した件に関して詳細をご説明します。 検証解析環境 ＜ＳＳＬによる暗号化通信を解析できる環境＞ 解析の結果、日本語入力の文字列が、SSLで暗号化され送信されていることがわかりました。 Baidu IME , Simejiでは、全角入力の場合のみ情報が送信されています。 クラウド入力Offの場合でも入力文字列を送信していました。 パスワードなど半角入力のみ
6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について
2013/06/11 コース：元祖こってり 「元祖こってり」記事はネットエージェント旧ブログ[netagent-blog.jp]に掲載されていた記事であり、現在ネットエージェントに在籍していないライターの記事も含みます。 6月9日（日） に放映された「ほこ×たて」の「たて」の裏側について 2013年6月9日に放映されました、フジテレビ「ほこ×たて」に関しまして、反響が大きいようですので撮影の裏側をご紹介いたします。 まず、番組コーナー内の冒頭にご紹介いただきました弊社製品「防人」については、弊社がどのような会社なのかを簡単に紹介するということでお見せしましたが、防人はメールによる標的型攻撃を防ぐための製品ですので、その後の対決には一切使用していません。 実際の対決に際して防御側に求められたのは、サービスパックや修正プログラムの全く当てられていないパソコン上で、脆弱性が確実に存在しているサー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
銀行各社をかたる「こんにちは！」で始まるフィッシングメールが出回る……セブン、住信SBIネット、横浜 
新種ウイルス:ワンタイムパスワード無効化…８万台超感染 - 毎日新聞