安全なパスワードの設定・管理 企業・組織におけるパスワードは、ユーザ名と組み合わせることで企業・組織内の情報資産へのアクセスの可否を決める重要なものです。パスワードの重要性を再認識して、適切なパスワード管理を心がけましょう。 他人に自分のユーザアカウントを不正に利用されないようにするには、推測されにくい安全なパスワードを作成し、他人の目に触れないよう適切な方法で保管することが大切です。 安全なパスワードの設定 安全なパスワードとは、他人に推測されにくく、ツールなどの機械的な処理で割り出しにくいものを言います。 理想的には、ある程度長いランダムな英数字の並びが好ましいですが、覚えなければならないパスワードの場合は、英語でも日本語（ローマ字）でもよいので無関係な（文章にならない）複数の単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることがで
2024年4月、偽造されたマイナンバーカードを使用したSIMスワップ事案が発生しました。さらにその後のっとられたSIMを通じて高級腕時計の購入などが行われる被害も発生しています。ここでは関連する情報をまとめます。 SIMのっとられ未遂含め400万円超の被害 SIMスワップの被害を報告したのは、東京都議会議員と大阪府八尾市議会議員の二人。愛知県名古屋市内のソフトバンクショップ（八尾市議会議員の事例ではソフトバンク柴田店）で何者かが契約変更（MNPや最新のiPhoneへの機種変更など）を行い、元々の契約者であった二人が所有するスマートフォンでSIMによる通話・通信ができない被害にあった。 昨日昼頃、スマホにPayPay通知が表示され「1000円チャージしました」と。自動チャージ設定？なんだろうとアプリを確認してもよくわからず放置。（この時にPayPayに確認すべきだった！）午後にメールチェック
【読売新聞】 マイナンバーカードの偽造が相次いで発覚している。不正対策による「信用」で本人確認時のチェックが甘くなり、悪用につながっているとみられ、ＳＮＳでは１万～２万円で流通しているという。中国籍の被告が取材に応じ、偽造の実態を証
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
ごあいさつ はじめましての人ははじめまして、こんにちは！BASE BANK Divisionのフロントエンドエンジニアのがっちゃん（ @gatchan0807 ）です。 今回は、ここ数ヶ月の間にOIDC（OpenID Connect）という技術を使った開発を複数行い、この技術の概観を理解することができたので、OIDCの技術概要に触れつつBASE BANKの中でどのように使ったのかをご紹介しようと思います。 OIDCとは何なのか このパートでは、まずOIDCという技術について概要を紹介します。いくつかのWebページに記載されていた内容を参考にしてまとめさせて頂いているので、記事の最後に参照元のリンクを記載しておきます。 また、OIDCをはじめとした認証・認可の仕組みには様々な用語があり、自分自身も「調べれば調べるほど知らない用語が増えて、どんどんわからなくなってきた…」という経験をしたので、
昨今は、さまざまな要因から、複数のクラウド（IaaS）プロバイダーを活用することが多くなりました。例えば、サービスのワークロードはAWSだが、データ分析はGoogle CloudのBigQueryを使うなどです。異なるプロバイダー間でのリソースにアクセスするには、認証が必要であり、シークレットを安全に発行・交換する必要があります。クラウドプロバイダーが動的に発行する等さまざまな方式がありますが、システムの制限や運用によっては安全なシークレットの取り扱いのために、慎重な技術設計が必要になる場合もあります。 今回は、LayerXにおける要件パターン、脅威モデリングに基づく判断と実装方法を紹介することで、「どこまで気をつけるべきか？」「何を想定すべきか？」といった実務に対して参考いただけると嬉しいです
Google、パスワードに代わる認証方式「パスキー」のアップデートを発表 「4億以上のGoogleアカウントがパスキーで保護」
Googleは2024年5月2日（米国時間）、パスワードに代わる認証方式「パスキー」のアップデートとクロスアカウント保護機能プログラムの拡大を発表した。 Googleによると、2022年5月5日の世界パスワードデーにパスキーを発表して以来、4億を超えるGoogleアカウントで、10億回以上のユーザー認証にパスキーが使用されてきたという。 「パスキーは使いやすく、フィッシングに強く、指紋、顔スキャン、PINのみで認証できるため、パスワードよりも50％高速だ。現在のGoogleアカウント認証には、パスキーが日常的に使用されている。利用数は、SMSワンタイムパスワード（OTP）やアプリケーションベースのOTP（「Google Authenticator」など）といった従来の2SV（2段階認証）の合計よりも多い」とGoogleは述べている。 Googleの発表内容は以下の通り。 クロスアカウント保
米Microsoftは5月2日（現地時間）、コンシューマー向けのMicrosoftアカウントで、パスワードレス認証「パスキー（Passkey）」を用いたサインインのサポートを開始した。2日より、Microsoft 365やCopilotなど、MicrosoftのアプリケーションおよびWebサイト（デスクトップ、モバイル）のサインインにパスキーが使用可能になった。数週間以内に、パスキーを使ったモバイルアプリへのサインインもサポートする予定である。 同社は2015年、Windows 10でWindows Helloを使ったサインインのサポートを開始し、FIDOセキュリティキー、Microsoft Authenticatorアプリなど、パスワードレスへの移行を推進してきた。2021年9月には、Microsoftアカウントからパスワードを削除し、パスワードなしで使うオプションの提供も開始した。 パ
はじめに こんにちは、計測プラットフォーム開発本部SREブロックの近藤です。普段はZOZOMATやZOZOGLASS、ZOZOFITなどの計測技術に関わるシステムの開発、運用に携わっています。 計測プラットフォーム開発本部では、複数のプロダクトを運用していますが並行して新しいプロダクトも開発しています。SREチームでは増え続けるプロダクトの運用負荷に対して改善は行っていますが、さらなるプロダクトの拡張に備えてZOZOFITの開発運用を別チームへ移管することになりました。移管作業の中でAWSリソースを別チームが管理するAWSアカウントへ移行する作業が発生することになりました。本記事では移行時に遭遇した課題と、その課題の解決に至るまでの取り組みをご紹介します。 目次 はじめに 目次 背景・課題 調査 ユーザ移行Lambdaの作成 簡易ダイアグラム フローチャート ユーザ移行Lambdaの処理
クレジットカードのVisaがパスキー対応など新機能リリース
2024年5月15日に開催されたVisaの年次フォーラムで、パスキー対応などを含むVisaの新機能が紹介されました。 Visa Reinvents the Card, Unveils New Products for Digital Age | Business Wire https://www.businesswire.com/news/home/20240515563838/en/ ◆フレキシブルクレデンシャル 1枚のカードで複数の支払い方法を管理できる機能です。これにより、1枚のカード(資格情報)でデビット、クレジット、ポイント払い、無利息4回払いの「Pay in 4」といった、さまざまな支払い方法にアクセスできるようになります。フレキシブルクレデンシャルはすでにアジア地域でスタートしていて、三井住友カードはクレジット・デビット・ポイント払いをアプリで切り替えられる「フレキシブルペイ
このブログ記事では、Cognitoを使ってLaravelでシンプルな認証機能を実装する方法を紹介します。 目的 クラスメソッドタイランドの清水です。 本記事では Cognito を使って Laravel で簡単な認証機能を実装します。 認証のシーケンスは以下のようになります。 また、全体の流れを理解するために Laravel のロジックは非常に簡潔になっているので、本番環境で注意が必要な部分は ⚠️ でコメントを書いています。 前提条件・知識 AWS アカウントを作成済み IAM Role, Policy, Cloud9 の環境を作成できる権限がある 使いたいAWS アカウントのリージョンで cdk bootstrap コマンドを実行済み ローカル PC に docker, docker-compose をインストール済み 手順 まずは CDK を実行するための環境を Cloud9 で準備
モバイル コンパクトなSE好きにはどう受け止められるのか 「iPhone SE4」、有機ELやFace ID搭載でも8万円以下に収まる？ Image:Wachiwit/Shutterstock.com アップルの次期廉価版スマートフォン「iPhone SE4」が準備中であることは、著名アナリストやサプライチェーンからの有力情報が相次いだこともあり、ほぼ確実視されている。が、iPhone 14標準モデルをベースとする＝有機ELディスプレイやFace IDが搭載されるとの予想から、第3世代からかなりの値上げになるとの懸念もある。 そんななか、アップルは米国でのiPhone SE4の開始価格について、500ドル以下を目指しているとの噂が報じられている。 リークアカウントの@Revegnus1によると、iPhone SE4の米国価格は第3世代と同じ429ドルに据え置かれるか、約10%の値上げになる
GitHub warns of SAML auth bypass flaw in Enterprise Server
GitHub has fixed a maximum severity (CVSS v4 score: 10.0) authentication bypass vulnerability tracked as CVE-2024-4985, which impacts GitHub Enterprise Server (GHES) instances using SAML single sign-on (SSO) authentication. Exploiting the flaw would allow a threat actor to forge a SAML response and gain administrator privileges, providing unrestricted access to all of the instance's contents witho
Azure SDK for Python を使用して Azure リソースに対して Azure でホストされるアプリを認証する - Python on Azure
Azure App Service、Azure Virtual Machines、Azure Container Instances などのサービスを使用してアプリが Azure でホストされている場合、Azure リソースに対してアプリを認証する方法として推奨されるのは、マネージド ID を使用することです。 マネージド ID では、シークレット キーやその他のアプリケーション シークレットを使用しなくても他の Azure リソースに接続できるように、アプリの ID を提供します。 内部的には、Azure でアプリの ID と、接続が許可されているリソースを把握します。 Azure では、この情報を使用してアプリの Microsoft Entra トークンを自動的に取得し、アプリケーション シークレットを管理しなくても、他の Azure リソースに接続できるようにします。 マネージド I
現在のWebサービスにおいて必要不可欠な技術がOAuthです。本記事では、OpenID（OpenID Authentication）との違いから、認証・認可について、OAuthのメリット・デメリットまで紹介します。 OAuthとは OAuth（オーオース）とは、アクセス権限の認可を行うためのオープン標準プロトコルです。認可とは、第三者のアプリケーションに、自分のアカウントを用いたWebサービスAPIへのアクセス権限を委譲することを言います。 主にWebサービス同士を連携させて、便利に利用しやすくするための仕組みとして用いられています。OAuthを利用することで、例えばX（旧Twitter）とFacebookを連携させて、Xへ投稿した同じ内容を自動的にFacebookへも投稿させるといったことができます。 OAuthの作成が始まった2007年ごろ、当時はマッシュアップによるWebサービス連携
SendGridとCloud Functions for Firebaseでメールの自動送信を作ってみました。 はじめにバックエンドの藤岡です。 今回はSendGridという簡単にメールを送れるサービスを使ってみたので、基本的な使い方をまとめてみようと思います。SendGrid自体は様々な言語や使用形態があるそうですが、今回はCloud Functions for Firebase上でNode.jsとして使っていきます。 前提知識Cloud Functionsの基礎知識Firestoreの基礎知識TypeScriptの基礎知識前提条件Firestore、Cloud Functionsが環境構築してあるSendGridのアカウントを作成して、API Keyを作成してある全体の流れ今回は「送信完了メール」を想定して、ユーザーがFirestoreにドキュメントを追加したことを感知して、そのユーザ
Cloud Functions の呼び出しを許可されたアカウントのみが実行できるよう制御する方法 - G-gen Tech Blog
G-gen の又吉です。当記事では、Cloud Functions の呼び出しを許可されたアカウントのみが実行できるよう制御する方法を紹介します。 概要 背景 構成 準備 必要な API の有効化 サービスアカウントの作成 functions-2 関数のサービスアカウント作成 functions-3 関数のサービスアカウント作成 フォルダ構成 functions_1/main.py functions_1/requirements.txt functions_2_3/main.py functions_2_3/requirements.txt Cloud Functions の作成 functions-1 関数の作成 functions-2 関数の作成 functions-3 関数の作成 権限の付与 動作確認 実行 1 実行 2 もう少し深堀ってみる curl コマンドで実行 トークンの確
Cloud Run のマルチコンテナで実現する Envoy & Open Policy Agentによる認証認可
はじめに こんにちは。クラウドエース株式会社で SRE をしている間瀬です。 今回は先日紹介したCloud Run のマルチコンテナデプロイ機能に関連してサイドカーコンテナとして Envoy と Open Policy Agent (以下、OPA) をデプロイして認証認可を行う方法を紹介します。 また、認証については今回は Keycloak を使って Open ID Connect (以下、OIDC) による認証を行います。 Cloud Run のマルチコンテナデプロイ機能については以下の記事で紹介しています。 現在ご覧いただいている記事執筆時点においてもマルチコンテナデプロイ機能は Public Preview なのでご注意ください。 検証環境の構成 今回紹介させていただく内容は以下の構成で検証しています。 上記、図上の右下の Cloud Run についてマルチコンテナでデプロイしていま
WebOTP API を使用してウェブ上で電話番号を確認する | Identity | Chrome for Developers
WebOTP API とは 最近では、世界中のほとんどの人がモバイル デバイスを所有しており、デベロッパーはサービス ユーザーの識別子として電話番号を使用するのが一般的です。 電話番号の確認にはさまざまな方法がありますが、SMS によってランダムに生成されるワンタイム パスワード（OTP）が最も一般的な方法の 1 つです。このコードをデベロッパーのサーバーに送信すると、電話番号を制御することができます。 この考え方はすでに多くのシナリオで採用されており、 ユーザーの ID としての電話番号。ウェブサイトによっては、新しいサービスに登録する際に、メールアドレスではなく電話番号を尋ねて、アカウント ID として使用することがあります。 2 段階認証プロセス。ウェブサイトはログイン時に、セキュリティを強化するため、パスワードなどの知識要素に加えて、SMS でワンタイム コードを SMS で送信す
LDAP - Qiita
！！今後自分が使うのでサイトまとめて少し解釈しただけの内容！！ 参考サイト OSS公式ドキュメント (https://www.openldap.org/doc/) RedHat公式日本語ドキュメント (https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/7/html/system-level_authentication_guide/openldap) Think IT (https://thinkit.co.jp/free/tech/18/1/1.html?nopaging=1) piyolog (https://wa3.i-3-i.info/word12693.html) LDAPとは LDAP（Lightweight Directory Access Protocol）プロトコルは、ネットワーク
できるようになること メールアドレス確認のテンプレートを使用せず、文章を変更できるようになります 環境 Amazon Simple Email Service(Sendgridでも可) FirebaseCloudFunctions 大まかな流れ createUserWithEmailAndPassword して、auth.user を firebase に作成する cloud functions で auth.user が作成された時に、メールアドレス確認リンクを作成する メール文章にリンクを載せて、メール配信サービスを使って送信する コード 1. createUserWithEmailAndPassword して、auth.user を firebase に作成する firebase.auth().createUserWithEmailAndPassword(email, passwor
AWS CLI のいろんな認証方式
はじめに AWS CLI を使用する場合、接続先の AWS アカウントに対して認証を行う必要があります。この認証方式には以下のような条件により複数のパターンが存在しており、覚えるのが少しめんどうです。 MFA の要否 スイッチロールの要否 IAM ユーザー Or AWS IAM Identity Center（旧 AWS SSO）を使用した SSO ユーザー 毎回設定方法を調べるのがツラくなってきたので、よく使用するパターンをまとめておこうと思います。なお、MFA を有効化していない環境はさすがにもう見なくなったので省略します。まだ MFA を有効化していない方はいますぐ設定しましょう👍 認証パターン別 AWS CLI プロファイル設定方法 比較的よく採用される認証パターンについて、AWS CLI の名前付きプロファイル設定とコマンド実行のサンプルをまじえて紹介します。 IAM ユーザー
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
総務省 | 安全なパスワードの設定・管理 | 国民のためのサイバーセキュリティサイト
偽造マイナンバーカードを使用したSIMスワップについてまとめてみた - piyolog
マイナカード偽造「１枚５分、技術や準備は不要」中国籍の女証言…本人確認に目視のみ多く悪用拡大
マイナンバーカードを用いた本人確認とiPhoneへの機能搭載【鈴木淳也のPay Attention】
パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
OIDCって何なんだー？から、実際に使うまで - BASEプロダクトチームブログ
AWSだ! Google Cloudだ! Azureだ! 認証連携だ！
Microsoftアカウントがパスキーに対応、パスワードなしで安全にサインイン
MFA設定必須のCognitoのクロスアカウントマイグレーションについて - ZOZO TECH BLOG
Oktaがパスワードレス認証のパスキーを解説、「セキュリティと利便性の高い機能」
Cognito で Laravel の認証を実装する | DevelopersIO
「iPhone SE4」、有機ELやFace ID搭載でも8万円以下に収まる？ | Gadget Gate
OAuthとは？ 認証・認可の違いから、認可の仕組み、メリット・デメリットまで紹介
SendGridをCloud Functionsで使ってみた
FirebaseのAuthenticationのメールアドレス確認の文章を変更する方法