パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
滅びてほしい認証系の実装の話
こんにちは、富士榮です。 ちょっと前に某所でダメダメな認証系の技術実装ってなんだろうねぇ、、という話をしていたことをXで呟いたところ、色々とご意見を頂けましたのでまとめて書いておきます。 考えていると結局のところ、サービス提供側が意図していることとは全然違うことが起きている気がするので、この辺はしっかり考えて実装したいところですね。（実装ミスは問題外として） カテゴリ滅びてほしいもの実装側がやりたいこと利用者が感じること実際に起きていること代替手法認証CAPTCHAbot避けぐにゃぐにゃ文字が読めない バイクと自転車の違いとは？ユーザの離脱、カゴ落ちパスキーの利用 新しいタイプのCAPTCHA（通常は画面に出ない） リスクベース認証との組み合わせによる抑制認証パスワード誰でも使える認証手段の用意忘れる。複雑なパスワードをそれぞれのサービス毎に管理するのは無理パスワードの使い回し。パスワード
[AWS CDK] ALBとCognitoを使ってOktaをIdPとするSAML認証をしてみた | DevelopersIO
サクッとSAML認証を実装したい こんにちは、のんピ(@non____97)です。 皆さんサクッとSAML認証を実装したいなと思ったことはありますか? 私はあります。 自分でSAML認証のService Provider(SP)側の処理を実装するのは大変です。そのような場合はALBとCognitoを使うと簡単に行えます。 ということで実際にやってみました。今回はIdPとしてOktaを使用します。 「SAML認証ってなんやねん」や「OktaのSAMLアプリってどうやって作成すればいいんだ」、「CognitoでSAML認証ってどうやって行えばいいんだ」という方は以下ドキュメントをご覧ください。 初心者向けSAMLガイド SAMLアプリ統合を作成する | Okta ユーザープールへの SAML ID プロバイダーの追加 - Amazon Cognito また、せっかくなので以下アップデートで可能
![[AWS CDK] ALBとCognitoを使ってOktaをIdPとするSAML認証をしてみた | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/01997881325332bcbeca491a7a712a5024e39095/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2023%2F08%2Famazon-cognito.png)
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
Roku forcing 2-factor authentication after 2 breaches of 600K accounts
Everyone with a Roku TV or streaming device will eventually be forced to enable two-factor authentication after the company disclosed two separate incidents in which roughly 600,000 customers had their accounts accessed through credential stuffing. Credential stuffing is an attack in which usernames and passwords exposed in one leak are tried out against other accounts, typically using automated s
AWS IAM アイデンティティセンターが効率化された AWS アクセスポータルとショートカットリンクを提供開始
AWS IAM アイデンティティセンターのユーザーは、効率化された AWS アクセスポータルと時間の節約になるショートカットリンクを利用して、AWS マネジメントコンソールのアクセスしたい場所に権限の範囲内で直接移動できるようになりました。 AWS アクセスポータルが強化されたことで、アプリケーション、アカウント、および権限セットがより使いやすく、また見つけやすくなりました。認証されたユーザーはショートカットリンクを使用すると、特定のアカウントにおいて、そのユーザーにすでに割り当てられている特定の権限セットを使用して、S3 バケットの詳細ページなど、AWS マネジメントコンソールのアクセスしたい場所に移動できます。これにより、ページ間を移動しなくても、アクセスしたい場所に直接移動できるようになります。ユーザーは、ショートカットリンクをブラウザのブックマークまたはチームの wiki ページに
X(旧Twitter）、iOSアプリでパスキー対応。米国以外でもパスワードなしの生体認証ログインが可能に | テクノエッジ TechnoEdge
著書に『宇宙世紀の政治経済学』（宝島社）、『ガンダムと日本人』（文春新書）、『教養としてのゲーム史』（ちくま新書）、『PS3はなぜ失敗したのか』（晋遊舎）、共著に『超クソゲー2』『超アーケード』『超ファミコン』『PCエンジン大全』（以上、太田出版）、『ゲーム制作 現場の新戦略 企画と運営のノウハウ』(MdN)など。 今年初めにX(旧Twitter）は、米国のみiOS公式アプリでパスキーによるログインを可能にしました。それに続き、全世界で対応したと発表しています。 このニュースはXの公式Safetyアカウントが発信しているもの。「パスキーがiOSのログイン方法として、全世界で誰でも利用できるようになりました！ 試してみてください」と述べています。 それと合わせて公式ヘルプページでは、「パスキーがデバイスごとにアカウントによって個別で生成するため、フィッシング攻撃や不正アクセスの影響を受けにく
Amazonの手のひら認証システム「Amazon One」がスマホから登録可能に
Amazonがアメリカを中心に展開している手のひら認識サービス「Amazon One」で、スマートフォンから手のひらを簡単に登録できるようになったことが発表されました。これまでは店頭で手のひらの登録作業を行う必要があったのですが、今後は自宅で簡単に登録できるようになります。 Amazon One launches app for easy sign-up to palm-recognition service https://www.aboutamazon.com/news/retail/amazon-one-app Amazon Oneは、2020年9月にAmazonが発表した手のひら認証システムで、手のひらの画像から個人を特定し、Amazonのアカウントとクレジットカード情報に紐付けることで、手のひらをかざすだけで支払いを可能にします。 Amazonが手をかざすだけで料金を支払えるデバ
サンワ、Windows Helloに対応したUSB Type-C指紋認証センサー
関連記事 サンワ、Windows Hello対応指紋センサーを備えた3ボタンマウス サンワサプライは、指紋認証センサーを標準搭載した3ボタン有線マウス「400-MAFP001」の販売を開始した。 テック、Windows Hello対応のUSBポート直挿し型指紋認証センサー テックは、USBポートに直接挿して利用できる指紋認証センサー「TE-FPA2」を発表した。 Microsoft、指紋認証センサー付きBluetoothキーボード発売 129.99ドル 米Microsoftが、指紋認証センサー付きBluetoothキーボードとマウスを米国、カナダ、中国のMicrosoftストアで発売した。 Thermaltakeから指紋認証センサーを内蔵したUSBゲーミングマウスが発売 アスクは、Thermaltake製となるUSBゲーミングマウス「BLACK FP」の取り扱いを開始する。 関連リンク 製
“MFA Fatigue” attack targets iPhone owners with endless password reset prompts
Enlarge / They look like normal notifications, but opening an iPhone with one or more of these stacked up, you won't be able to do much of anything until you tap "Allow" or "Don't Allow." And they're right next to each other. Human weaknesses are a rich target for phishing attacks. Making humans click "Don't Allow" over and over again in a phone prompt that can't be skipped is an angle some iCloud
NEC、顔認証セキュリティソフト「NeoFace Monitor」新バージョンを発売 仮想デスクトップ環境への対応強化
NECは3月22日、同社が提供する顔認証セキュリティソフト「NeoFace Monitor」の最新版「NeoFace Monitor V7.1」を発表、販売を開始した。ソフトウェア価格は1000円、ライセンス価格は1万4500円/台、保守パックが2600円/台だ（いずれも税別）。 今回のバージョンでは仮想デスクトップ環境への対応力を強化しており、従来サポートしていたMicrosoftリモートデスクトップに加えVMware Horizon/Citrix Virtual Apps and Desktopsの利用環境でも、手元のPCカメラを用いて仮想デスクトップOSへの顔認証ログインを利用可能となった。合わせてネットワーク通信上の認証データ軽量化を実現し、多数の利用者が同時接続する大規模環境などでの利便性を向上している。 セキュリティ運用機能も強化されており、利用環境に合わせたセキュリティ強度の
フルスクラッチして理解するOpenID Connect (3) JWT編 - エムスリーテックブログ
こんにちは。デジカルチームの末永(asmsuechan)です。この記事は「フルスクラッチして理解するOpenID Connect」の全4記事中の3記事目です。前回はこちら。 www.m3tech.blog 9 JWT の実装 9.1 JWT概説 9.2 OpenID Connect の JWT 9.3 ヘッダーとペイロードの実装 9.4 署名の実装 公開鍵と秘密鍵を生成する 署名処理を作る 10 JWKS URI の実装 (GET /openid-connect/jwks) 11 RelyingParty で ID トークンの検証をする 12 OpenID Connect Discovery エンドポイントの実装 (GET /openid-connect/.well-known/openid-configuration) まとめ We're hiring 今回は全4回中の第3回目です。 (
二段階認証の仕組みと導入時におさえておきたい対策 - RAKUS Developers Blog | ラクス エンジニアブログ
はじめに こんにちはこんばんは！ 昨今、セキュリティへの関心が非常に高まっています。 二段階認証を取り入れる企業が多くなってきました。 最近の例で言うと、Githubが2023年3月ごろに二段階認証を義務化したのは記憶に新しいと思います。 そこで、今回は認証の基礎知識をおさらいした上でTOTPを使った二段階認証の仕組みと導入時の注意点について解説します！ ※本記事の内容は、ビアバッシュ（社内の技術共有会）にて登壇発表した内容です。 ビアバッシュの取り組みについては以下の記事を読んでみてください！ tech-blog.rakus.co.jp はじめに 基礎知識 二要素認証とは？ 二段階認証とは？ 二要素認証と二段階認証の違い ワンタイムパスワードとは？ HOTPとTOTPについて HOTPとは？ TOTPとは？ TOTPの時刻ズレ対策 導入編 TOTPの時刻ズレ対策の実装 TOTPの注意点
なぜ言葉のアクセントが変わったりなくなったりするのか？ - GIGAZINE
虹彩をスキャンすることで仮想通貨がもらえる、OpenAIのサム・アルトマン氏による仮想通貨プロジェクト「Worldcoin」に対し、スペインのデータ保護当局「Agencia Española de Protección de Datos」(AEPD)が個人データの収集とデータ処理の一時停止を命じた件で、Worldcoin側が求めていた「一時停止命令の差し止め」を高等裁判所が拒否しました。 Worldcoin fails to get injunction against Spain’s privacy suspension | TechCrunch https://techcrunch.com/2024/03/11/worldcoin-fails-to-get-injunction-against-spains-privacy-suspension/ サム・アルトマン氏が共同創業者のテクノ
AIと顔認証を組み込んだ「人間狩りをするAIドローン」がわずか数時間で完成
起業家でエンジニアのルイス・ウェナス氏は、小型ドローンに顔認証システムと人工知能(AI)を組み込むことで、ゲーム感覚で人間を追いかけるドローンを作成したとSNSに投稿しました。ウェナス氏は、わずか数時間で作り上げたそのドローンが武器さえ搭載すれば簡単に自動で人間を殺害するドローンに変貌することを指摘し、AIドローンの兵器利用について警告しています。 we built an AI-controlled homing/killer drone -- full video pic.twitter.com/xJVlkswKaq— Luis Wenus (@luiswenus) AI drone that could hunt and kill people built in just hours by scientist 'for a game' | Live Science https://ww
フルスクラッチして理解するOpenID Connect (1) 認可エンドポイント編 - エムスリーテックブログ
こんにちは。デジカルチームの末永(asmsuechan)です。 この記事では、OpenID Connect の ID Provider を標準ライブラリ縛りでフルスクラッチすることで OpenID Connect の仕様を理解することを目指します。実装言語は TypeScript です。 記事のボリュームを減らすため、OpenID Connect の全ての仕様を網羅した実装はせず、よく使われる一部の仕様のみをピックアップして実装します。この記事は全4回中の第1回となります。 なお、ここで実装する ID Provider は弊社内で使われているものではなく、筆者が趣味として作ったものです。ですので本番環境で使用されることを想定したものではありません。なんなら私は ID Provider を運用する仕事もしておりません。 1 OAuth 2.0 と OpenID Connect 1.1 用語の
AzureのMFAパターンが複雑なため整理してみた - APC 技術ブログ
背景 こんにちは。クラウド事業部の宇野です。 AzureのMFA（多要素認証）を設定する際、様々なAzure側の設定要素の組み合わせによりMFA認証の挙動が異なるため分かりづらいと感じました。 以下の公式サイトより2019年10月以降から「セキュリティの既定値群」の有効化が促されていて、「すべてのユーザーに対して Microsoft Entra 多要素認証への登録を必須にする」ということを記載されていたので、全員がMFA必須なんだ、安心安心。と短絡的に思っていたのですが、MFAの「登録」と「認証」は別の話。 よくよく読み進めると、Azureの管理者ロールのEntraIDユーザだけMFA認証の要求を必須化するのであって、管理者ロールを持たないEntraIDユーザはMFA認証の要求が必須とされません。 また、管理者ロールを持たないEntraIDユーザで初回Azureサービスへログインすると、「
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Oktaがパスワードレス認証のパスキーを解説、「セキュリティと利便性の高い機能」
Distributed Authorization
How to instantly lock any iPhone app behind Face ID