ユーザー アカウント、認証、パスワード管理に関する 13 のベスト プラクティス2021 年版 | Google Cloud 公式ブログ
※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベスト プラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベスト プラクティスが含まれています。 アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータ セキュリティやユーザー エクスペリエンスを提供できていないケースがよくあります。 幸い、Google Cloud には、ユーザー アカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、
お年寄りのパスワード設定に付き合ったらめちゃくちゃ大変だった話
如月 宗一郎 @S_kisaragi Reserve Candidate上がりの林業作業者。1980年に生まれて2003年卒という、Lost GenerationからついにAbandoned Generationになった地方都市民。当地の林業では、年間最大で193人に1人が死ぬ世界なので、急にツイートが止まる可能性あり。ねご探し中。 twilog.org/S_kisaragi 如月 宗一郎 @S_kisaragi 年寄りのパスワード設定に付き合っているのだが… 「アルファベットで入力してください」 「数字？」 「アルファベットですよ」 「数字？」 とこのような感じに。（そりゃ携帯ショップのコストだだ上がるわ） 2021-05-24 10:28:42
パスワード・マネージャの設計上の欠陥
Go350より。 私はかつて高度に規制された環境で働いていたので、頻繁に変更される何十もの複雑なパスワードを思い出す方法が必要でした。パスワード・マネージャを使おうとしましたが、いくつかの一般的な設計上の欠陥の負担と不安定さのために使用できませんでした。私は、これに対処するために、決定性パスワード・ジェネレータ(DPG: Deterministic Password Generator)を作りました。 これを読んだ後でも、従来のパスワード・マネージャを使いたいと思うなら、パスワードをプレーンテキスト・ファイルに入れ、GnuPGで対称的に暗号化するか、PasswordSafeを使うことをお勧めします。私はどちらとも関係ありません。 ここでは、パスワード・マネージャの3つの一般的な設計上の欠陥を紹介します。 パスワードの保存 リモートシステムへの依存 ウェブブラウザとの統合 パスワードの保存
【共通用語】パスワードを電話で伝える時に間違えない方法：新倉茂彦の情報セキュリティAtoZ：オルタナティブ・ブログ
パスワードのPPAPですが「今さら感がありつつ」も、PPAP止められないからと電話でパスを伝えるという「最も古典的」で「伝え間違い」も起きやすい方法が発生しているようです。身近では聞きませんが... ネタとして面白いと思う一方で、本当にこんなことしてるのならば「確実な方法」を使うべきと思います。どんな業界にも専門用語的なものがあり、関係者全員が知っているので略語的な使い方でも伝わります。これ情報セキュリティ的にも隠語は使えます。セキュリティ的にどうよ？という事例を考える_会話編 共通用語の活用や用語の定義をしっかりしないと話が進まないことが多くあります。パスワードに関しては曖昧な文字はありませんが、その説明に曖昧な（明確でない）伝え方では話になりません。そもそも電話でパスを伝えることはないと思われるかもしれませんが、20年以上前から便利に使っております。まぁメール暗号化のような長ったらしい
パスワードマネージャー、パスワードを覚えなくていい便利な一方でデメリットも
世界パスワードデーを記念してお送りした先日の記事では、パスワード設定時に避けるべき5つの間違いやすいポイントについて言及した。パスワード保護は私たちのデジタルライフにおいて、もはや基本とも言えるものだが、その行為自体について深く考える機会は多くないはずだ。年間で最も使用されたパスワードのランキング表で「12345」や「password」という文字列がランクインしていることは、その象徴ともいえるだろう。 ユーザーがシンプルなパスワードを好みがちなのは、複数のサービスを並行して利用していることに起因する。利用するサービスをGoogleやFacebookのアカウントに連携させない限り、基本的にはサービスごとに新規アカウントの作成が必要となる。しかし、それぞれのサービスで複雑なパスワードを記憶することは現実的ではない。そのため、結果として同じ単純なパスワードを使い回してしまう。だが、こうした状況は
Windows 10、パスワードなしの世界へ一歩前進 (1/2)
Windows 10 Ver.2004となる「May 2020 Update（20H1）」がどうやら完成したらしい。先週Slow Ringで公開されたBuild 19041.207がRelease Preview Ringで配信になる。大きな問題が起こらなければ、5月には一般向けの配布が開始される予定だ。 この20H1の最大の改良点は、WSL2（Windows Subsystem for Linux 2）だ。これに比べると他の改良点はちょっと小粒か“地味”なものだ。しかし、この地味な改良の中にも重要なものもある。それは「パスワードレス」に関する内容だ。 Windows 10におけるパスワードレスとは？ Windowsでは、マルチユーザーに対応したWindows NTからサインイン（世間一般ではログインということが多い）という操作をしてからパソコンが利用できるようになった。それ以前のMS-D
Windowsのパスワードを「chntpw」で強制リセットしてログインできなくなったPCを使えるようにする方法
コンピューターにパスワードを設定することは、セキュリティの観点から非常に大切なことですが、そのパスワードを失念してしまったり、前の持ち主からパスワードを聞きそびれてしまったりした場合、コンピューター内のデータにアクセスできなくなってしまう事態に陥ってしまいます。「chntpw」はWindowsのパスワードを強制リセットし、そうした事態を回避することができるコマンドです。 chntpw | Remove, bypass, unlock and reset forgotten Windows password http://www.chntpw.com/ Windowsのパスワードを忘れてしまい、誤ったパスワードを入力すると、画像のように「パスワードが正しくありません。入力し直してください。」と表示され、ログインができなくなってしまいます。 chntpwはLinux上で動作するコマンド。今回は
「パスワードレス認証」が進行中 FIDOで変わる、セキュリティの常識
「素因数分解」を覚えていますか？ ある自然数を素数の積で変換する計算です。例えば「15」なら「3×5」。この例であれば簡単ですが、では「11088899」は？ ――これを見ただけで素因数分解できる方はほとんどいないでしょう。正解は、「3329×3331」。 しかし、これが「3329×3331は？」という問題であれば、計算は簡単です。つまり「3329×3331＝11088899」という計算式には、3329と3331の積算は簡単なのに、11088899の素因数分解は難しいという非対称の関係があるのです。この性質は一方向性関数と呼ばれ、暗号にも活用されています。 閉める鍵と開ける鍵が別にある「公開鍵暗号方式」 セキュリティ技術の代表「暗号化」においては、サーバ側と自分で共通の鍵を持つ「共通鍵暗号方式」がすぐに思い浮かぶと思います。共通鍵は玄関の鍵に例えられる通り、情報の発信者と受信者で同じ秘密を
GPUでZIPパスワードを解析する - Qiita
企業間のファイルのやり取りにZIPファイルの暗号化がされていることが多いのですが、その暗号は意味がなかったり、弱かったり、余計にセキュリティリスクが高くなっています。ZIPの暗号化が使えないことを証明するにはパスワードを解析するのが一番です。 パスワードが解析できるなら、もうあとからパスワードを送る必要はないのです。 用意するもの Windows PC Windows10を使いました。 GPU できる限り早いやつ ノートPCなので、外付けGPUケースにThunderbolt3でGPUを接続しています。 GTX 2080とケースで 10万円ぐらいかかっています。 CUDA Toolkit あらかじめ入れておきましょう。 hashcat hashcatのWindows版で公式サイトからダウンロードしたもので、バージョンが5.1.0の場合は古いので対応していません。 Windows版のJohn
広野 萌 on Twitter: "パスワードフォームのUIとインタラクションについて考える度、わりと毎回同じ結論・同じ仕様にたどり着くので、デザインするとき自分が正解としていること9点まとめてみた。みんなで車輪の再発明やめよ〜！（以下ひとつずつ解説） https://t.co/2S3PlFeQzC"
パスワードフォームのUIとインタラクションについて考える度、わりと毎回同じ結論・同じ仕様にたどり着くので、デザインするとき自分が正解としていること9点まとめてみた。みんなで車輪の再発明やめよ〜！（以下ひとつずつ解説） https://t.co/2S3PlFeQzC
7Pay 謎の全利用者パスワードリセットを実施｜楠 正憲（デジタル庁統括官）
7payは7月30日午後に、全利用者のパスワードをリセットすると発表した。報道によると「（7iDを使う7payの不正利用問題で）パスワードリスト攻撃を受けた可能性が高く、リスクを極小化するため」（広報）と説明しているという。筆者はIdPを運用している立場でしばしば攻撃に直面して数百万人単位のパスワードのリセットを決断した経験があるが、これは奇妙なことだ。 一般にパスワードリスト攻撃を受けている場合では、全利用者のパスワードリセットを行う必要はない。リスト型攻撃が成功した利用者に限ってリセットを行うのが一般的な運用だ。 パスワードをリセットすると多くの利用者が離脱する上に、サポート窓口の負荷が上がるため、数十万人のパスワードをリセットする場合も、時間をかけて反応を見ながら徐々に行う運用が一般的だ。 全利用者のパスワードをリセットする必要があるのは、例えばバグや脆弱性の性質から被害者を特定でき
セキュリティ専門家が「パスワードの複雑さはそれほど重要ではない」と主張するのはなぜか？
by stevepb 「パスワードは長く、英数字を混ぜた方がいい」「他人に推測されないパスワードを作ることが重要」といった意見は広く受け入れられていますが、Microsoftの個人情報部門セキュリティ保護チームに勤務するアレックス・ヴァイネルト氏は、「パスワードについての言説は誇張されたものが多く、実際にはパスワードの長さや複雑さはそれほど重要ではない」と解説しています。 Your Pa$$word doesn't matter - Microsoft Tech Community - 731984 https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Your-Pa-word-doesn-t-matter/ba-p/731984 Microsoftでセキュリティに関する仕事に従事しているヴァイネルト氏
Windows 10のパスワード、24カ月以内に不要へ - 阿久津良和のWindows Weekly Report
レポート Windows 10のパスワード、24カ月以内に不要へ - 阿久津良和のWindows Weekly Report Windows 10でパスワードが不要になる――その日が近づいてきた。Microsoftが米国時間2019年7月10日にリリースしたWindows 10 Insider Preview ビルド18936には、「Make your device passwordless（デバイスをパスワードレスにする）」というオプションが一部のPCに展開された。本オプションを有効にすると、サインイン画面で選択可能だったパスワード入力が無効になる。 Windows 10 Insider Preview ビルド18936の新オプション 画面が撮影できないため、こちらはイメージ図。赤色の罫線で囲んだオプションが使用できなくなる 最近のPCはWindows Hello対応カメラを備えるデバイ
高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）
■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2
「暗証番号」の最新事情、絶対にこれだけはやってはいけません！（週刊現代） @moneygendai
盗まれないように複雑なものにしたら覚えられないし、忘れないように簡単なものにしたらバレるかもしれない暗証番号。こんなジレンマを解決するために、役に立つ知識を身に付けておこう。 多すぎて覚えられない 「はち、ろく、きゅう、ご、……違うな。これはゆうちょ銀行だったか。さん、なな、いち、はち、……いや、こっちはスマホの解除番号だったか」 大野隆文さん（75歳・仮名）は、コンビニのATMの前で不測の事態に焦っていた。お金をおろそうと思ったのに、暗証番号がわからなくなったのだ。 「もの忘れ外来を受けたばかりだから、認知症の可能性は低い。暗証番号には細心の注意を払っていたはずなのに、どうしてこんなことに――」 そう思うのも無理はない。大野さんは、他人には絶対わからない、アトランダムに決めた4ケタの数字に設定していた。 しかし、良かれと思って実践していたことが裏目に出てしまう。キャッシュカード、クレジッ
5月第1木曜日は「World Password Day （世界パスワードの日）」 - Sync A World You Want To Explore
Sync A World You Want To Explore 関 信浩が2002年から書き続けるブログ。ソーシャルメディア黎明期の日本や米国の話題を、元・記者という視点と、スタートアップ企業の経営者というインサイダーの立場を駆使して、さまざまな切り口で執筆しています アメリカにはゴールデンウィークもこどもの日もありませんが、なんとなく今週は仕事がはかどらない関です。 みなさん、2016年5月5日が「World Password Day」だとご存知でしたか？ 私は知りませんでしたが、Intel Security社（元のマカフィー社と言った方が通りが良いでしょうか？）が2013年に「5月第1木曜日」をWorld Password Dayにしようと宣言し、2016年は代理店のBig Monocleが中心になって、passwordday.orgでパスワードについての啓蒙活動が行われたようです。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
押切蓮介 on Twitter: "パスワードすぐ忘れる https://t.co/1gH1p4V5eE"
パスワードスプレー攻撃とは？仕組みと被害の特徴、対策方法について徹底解説
PCのロックさえ解除されていれば、サイトのログイン画面開いてパスワードが..
Windows 10がパスワードの期限切れポリシーを廃止 | TechCrunch Japan
