SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝
SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 この論文では、上記のような SPF の脆弱な展開に対する攻撃手法を BreakSPF と呼び、関連するプロトコルや基盤の実装に対する分析と共に、その内容が体系的にまとめられています。 本記事では、その論文を参照しながら、簡単に概要をまとめておきます。 補足事項 (2024/3/5) 本記事につきまして、(当サイトとしては) 多くのアクセスいただいているようで (ちょっとビビってま) す。まことに大変ありがたいことに色々とシェアいただいたりしたようです。 そこで、記事の
Amazon の 2段階認証 突破の噂についての仮説 と 2段階認証で意識すること【2FA/2SV/MFA】 - Qiita
Amazon の 2段階認証(2SV)が突破された？ Amazon の 2段階認証(2SV) が突破されたのではないかという件が話題になっています。 私もこれについてはとても気になっており、できるだけ早く真相が解明されることを願っています。 そこで、ふと疑問に感じたことが、2SV は何をどの程度防いでくれるのかということです。 ここでは、Amazon を例に、いろんなことを考えていきたいと思います。 フィッシングの前には無力 まず、2SVの突破と言っても様々な手口があります。 徳丸先生の動画が示す通り、中継型フィッシングであれば、自ら正しい認証情報を入力することになるので、2SVを設定していようがいまいが突破されてしまいます。 フィッシングではなく、かつ、TOTPでも突破されたケースも 今回の被害者には、中間者攻撃やフィッシングを受ける状態になかったと仰っている方がいました。 なので、何か
WebサービスやSaaS開発で気をつけるべき認証認可におけるロジックの脆弱性。どのようなもので、どう対策すべきか？［PR］
WebサービスやSaaS開発で気をつけるべき認証認可におけるロジックの脆弱性。どのようなもので、どう対策すべきか？［PR］ WebサービスやSaaS（Software as a Service）の開発において、認証や認可における脆弱性が発覚した場合、その深刻度は大きいことが多く対策は必須です。 言うまでもなく、どんなに素晴らしい機能が提供されていたとしても、脆弱性を突かれて情報漏洩やデータ破壊などを起こしてしまえば、ソフトウェアで提供される価値が地に落ちてしまうからです。 認証と認可の脆弱性は全体の3割以上にも セキュリティスタートアップとして多くのSaaS開発企業などにセキュリティ診断（脆弱性診断）を提供しているFlatt Security社は、同社が2022年の1月から1年強の間にBtoB SaaSを対象として検出した脆弱性を集計すると、ソフトウェアのロジックや仕様に起因するものが非常
oauth2とは何か？認証と認可の違い。
あぁ、しくじった。毎日書こうとしたら休みの日である事を完全に忘れてゲームばかりした結果 0時を回って書いてしまっている。 しかも今回の内容が多分長くなりそうだから既に明日やる口実を作って明日作成しようとしている。 あぁ、憂鬱だ。 そんな始まり方のoauth 最近でこそoauth認証って普及されてますけど、 最初見た時、？？？ってなりませんでしたか？ 僕は謎過ぎて良くわからなかったから、こんなのやらないと思ってました。 が、、、今になってみるとあまりにも便利が故に もはや、Googleサインインとかappleサインインが無いと嫌ですもんね。 おいおいおい、入れておけや。と。。。 それだけ楽にしてくれた認証機能ですが、 実は、認証機能以外にも認可という部分もあるので 今日はその辺を自分の備忘録的に書いていこうと思っています。 参考にしたもの まず先に参考にした動画を貼ります。 ざっくりと簡単に
Introduction
Auth Module for Nuxt 2. Zero-boilerplate authentication support for Nuxt 2! The module authenticates users using a configurable authentication scheme or by using one of the directly supported providers. It provides an API for triggering authentication and accessing resulting user information. While it takes care of storing the information on the client-side, it does NOT implement session handling
Laravel PassportのAPI認証を理解する | アールエフェクト
Laravelでアプリケーションを構築した経験がある人ならログイン認証機能を利用することでLaravelへのユーザのアクセス制限を行えることは知っているかと思います。しかし、Laravelの外側のアプリケーションからアクセス制限のかかっているLaravel内のリソースにアクセスするためにはどうしたらいいのでしょう。そんな疑問を解決してくれるのがLaravel Passportです。 Laravel Passportを使用するとLaravel上でOAuth2.0に沿った形でAPIの認証機能を短時間で実装することができます。 OAuth2.0に沿った形でAPIの認証機能 といってもそれが何かわからないという人が大半だと思います。簡単に言えばLaravelの外側にあるアプリケーションからアクセスしたいリソースに対してアクセストークン(文字列)を使って管理するための仕組みです。 アクセス制限の行わ
AWS IAMがWebAuthnに対応。多要素認証の要素として利用可能に（記事訂正）
AWS（Amazon Web Services）は、AWS IAM（AWS Identity and Access Management）でWebAuthnに対応したことを発表しました。 AWS IAMは以前から多要素認証に対応しており、今回この多要素認証の要素の1つとしてWebAuthnが使えるようになりました。つまりパスワードを入力した上で、追加の認証を行う多要素認証にWebAuthnが加わったことになります。 （2022/6/8 12:45 追記：当初、WebAuthnでパスワードレスなログインが可能と表記しておりましたが、間違いでした。お詫びして訂正いたします。タイトルと本文の一部を変更しました） WebAuthnは、パスワードレス技術の標準化団体であるFIDO Alliance（ファイドアライアンス）が策定したFIDO2仕様の構成要素であるWeb認証技術のことです。 2019年3
サーバサイドでJWTの即時無効化機能を持っていないサービスは脆弱なのか？ - くろの雑記帳
きっかけ 昨年(2021年9月ごろ)に徳丸さんのこのツイートを見て、「2022年にはJWTを用いたセッション管理に代表される、ステートレスなセッション管理は世の中に受け入れられなくなっていくのだろうか？」と思っていました。 OWASP Top 10 2021 A1に「JWT tokens should be invalidated on the server after logout.」（私訳:JWTトークンはログアウト後にサーバー上で無効化すべきです）と書いてあるけど、どうやって無効化するんだ? ブラックリストに入れる?https://t.co/bcdldF82Bw— 徳丸 浩 (@ockeghem) 2021年9月10日 JWT大好きな皆さん、ここはウォッチしないとだめですよ。これがそのまま通ったら、ログアウト機能でJWTの即時無効化をしていないサイトは脆弱性診断で「OWASP Top
Laravel の "認可" まとめ（Gate, Policy 等） - Qiita
はじめに この記事は Laravel Advent Calendar 2019 - Qiita の 4日目 の記事です🎉 「この認可処理はどこに書くべきか」みたいなディスカッションから Laravel の認可機能を深掘りする機会があったので、 改めて整理してみたいと思います💪 認証については、よろしければこちらも！ Laravel の Guard（認証） って実際何をやっているのじゃ？ そもそも "認可" とはなんなのか 著者に対してだけブログ記事の更新を許可する みたいなやつが "認可" です。 "認可" を真面目に考察したら、それだけで一記事書けてしまう、深い深いテーマです "認可" についてのざっくりとした理解 いったんここでは、以下の理解で記事を進めようと思います。 （異論あればコメントにお願いします！） 特定の条件に対して、リソースに対するアクションの権限を与える （e.g.
【Laravel】認可 Policyの使い方
Laravelの認可はシンプルで、主にGate（ゲート）とPolicy（ポリシー）という２つの認可アクションの方法があります。 Policyとは、特定のモデルに対してのアクション(作成、閲覧、更新、削除など)に関してアクセス制限を行います。 この記事ではPolicyについてまとめていますが、GateとPolicy用途に合う認可(両方でも可)を利用しながらアクセス制限を行うのが良いとされています。 Policyの作成 Policyの生成 Policyは特定のモデルに対してのアクションにアクセス制限が行えます。今回は、UserモデルとPostモデルをもつ、ブログアプリケーションを例に進めていきたいと思います。 はじめに、ブログ記事の作成や更新などのユーザーアクションを認可する「PostPlicy」を生成します。make:policy Artisanコマンドを実行すると、app/Policies
Laravel Breezeでマルチ認証(Multi Authentification)の徹底解説 | アールエフェクト
Laravel8よりLaravelの認証機能を利用する際に大きく分けてJetStream、Laravel BreezeとLaravel UIを利用した3つの方法があります。JetStreamはさらにInertia.js、Livewire、BreezeにはVue、React、Alpine.jsなどフロントエンド側で利用する技術が異なります。JetStream, Breezeどちらでも特別な設定を行うことなく認証機能を実装することができます。しかし1つのLaravelアプリケーションの中でマルチ認証を実装したい場合は追加での設定が必要となりMiddlewareやGuardなどの知識が必要となります。すべての組み合わせでマルチ認証の設定方法について説明をすることは難しいので本文書ではLaravel BreezeとInertia.js(Vue)を利用した方法での説明を行っています。パスワードリセッ
OAuth 2.0 全フローの図解と動画 - Qiita
RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF
Laravel | API認証(Passport)機能の動作確認 - わくわくBank
Laravel Passportを利用したAPI認証の動作確認をします。Passportはthephpleague/oauth2-serverをLaravelで扱いやすいようにラップしてくれたパッケージです。 事前知識(OAuth 2.0) OAuth 2.0の知識が必要です。下記参考になります。 RFC 6749 RFC 6749 The OAuth 2.0 Authorization Framework (英語) https://tools.ietf.org/html/rfc6749 (日本語) https://openid-foundation-japan.github.io/rfc6749.ja.html RFC 6750 RFC 6750 The OAuth 2.0 Authorization Framework: Bearer Token Usage (英語) https://
Auth0を利用してOAuth 2.0のPKCEを理解する | DevelopersIO
Auth0を利用してPKCEを一緒に試しつつ、理解していきましょう。本記事ではPKCEを実際に試してみて、理解できることをゴールに書いていきます。 はじめに みなさま。はじめまして、Auth0社の筒井です。ソリューションアーキテクト・テクニカルアカウントマネージャーとして主にAuth0のEnterprise版をご契約頂いたお客様に対して技術支援を行っています。今回はゲストブロガーとして投稿します。 Auth0を利用してPKCEを一緒に試しつつ、理解していきましょう。PKCEはすでに様々なところで詳細に説明されているので、ご存知の方も多いと思います。 本記事ではPKCEを実際に試してみて、理解できることをゴールに書いていきます。 さっそくですが、PKCEって何でしょうか？ PKCEは、Proof Key for Code Exchangeの略で、呼び方はピクシーと呼びます。RFC 7636と
2段階認証コードを計算するプログラムを書いてみた - Qiita
Google Authenticator みたいな認証アプリの仕組みを調べたらわりと単純だったので、練習がてら認証コードを計算するプログラムを書いてみました。 3行でまとめると ・認証アプリはTOTPという規格で共有Secretと現在時刻から認証コードを計算している ・簡単な規格なので仕様を読んで実装する練習にちょうどいい ・Javascriptで書きましたコードはこちら → totp.js 認証アプリを使った2段階認証 例えば Qiita の 2段階認証を設定するページ に行くと次のような QR コードが表示されます。 これを認証アプリで読み取って登録すると一定時間ごとに認証コードが生成されるので、ログイン時にコードの入力を要求することで登録した端末を持っている人しかログインできなくする仕組みです。 認証コードを生成する この認証コードは TOTP (Time-Based One-Tim
【Laravel】usersテーブルではない別のテーブルで認証をする - Qiita
今回、初めて、usersテーブル以外の別のテーブルで認証をする機能を作成したので、メモがてら記事にしておきます。 今回やろうとしたことは、laravelが標準で用意してくれているusersテーブルではなく、自分で作成したaccountsテーブルで認証することです。 テーブルの中身は結果的に標準装備のusersテーブルと同じになってしまいました。（標準のusersテーブルは別で使いました） マイグレーションファイルと、モデルを作成 Modelとマイグレーションファイルを同時に作成していきます。 <?php use Illuminate\Database\Migrations\Migration; use Illuminate\Database\Schema\Blueprint; use Illuminate\Support\Facades\Schema; class CreateAccoun
自己署名証明書の作成方法 - Qiita
はじめに 自己認証局で認証されたSSL証明書を作成する必要があったのでメモしておく。 環境 OS: CentOS7 openssl: OpenSSL 1.0.1e-fips 11 Feb 2013 参考 以下を参考にした。 有り難うございます。 https://supportforums.cisco.com/ja/document/137596 https://kanasys.com/tech/47 手順 認証局側手順 秘密キーを作成 以下パスフレーズ有りの作成方法 $ openssl genrsa -des3 -out ca-privatekey_pass.pem 2048 Generating RSA private key, 2048 bit long modulus ...................................................+++ ...
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GraphQL Auth with Passport and Lighthouse PHP
Attaching cookie to response · Issue #1025 · nuwave/lighthouse
API Auth and GraphQL in Laravel