最近、パスキーが使いづらい、という声を目にします。作ったはずのパスキーが見つからないために、使いたいサービスにログインできず困った、という人の投稿も何度か観測しました。 そこでこのブログ記事では、どうしてそういうことが起こってしまうのか、どうすればそういう状況を回避できるのか、ユーザーが取れる対策にはどういうものがあるのか、サービス側はどうすればそのように感じるユーザーを減らせるのか、について考えていきたいと思います。 もちろん大前提として、ユーザーが頭を捻らないと使えないような機能は、普及どころか迷惑をかけてしまうため、望ましくありません。ただパスキーは、各社のプロダクトとしては成熟しつつあるものの、トータルのエコシステムとしてはまだ発展途上な部分が残っており、使いづらい部分があることも否定できません。そこで、よりパスキーが使いやすい世界になるまでの間、工夫する方法を知ってもらうことで、

政府とデジタルウォレットに関するOIX（Open Identity Exchange）のレポートをご存知でしょうか？昨年の秋口に出ているもので、簡単にいうと「政府が発行するクレデンシャルを政府が管理するウォレットに入れるのがいいのか、民間のウォレットにも入れていいのか」についての現状をまとめたレポートです。

不正アクセスによるIDとパスワードの漏洩を受けて、MD5によるハッシュ化について話題になっていました。システムを作る上で、パスワードの管理や認証はどう設計すべきかを考えるために、少し整理をしてみます。もし事実誤認があれば、どしどしご指摘ください。 == 2023/8/21追記 == この記事は、ハッシュの保存の仕方一つとっても、沢山の対策方法が必要であるということをお伝えするために記載しています。そして、これから紹介する手法を取れば安全とお勧めしている訳ではないので、その点をご留意いただければと思います。攻撃手法に応じての対応策の変遷を知っていただくことで、セキュリティ対策は一度行えば安全というものではないことを知って頂くキッカケになれば幸いです。 == 追記終わり == パスワードのハッシュ化 まず最初にパスワードの保存方法です。何も加工しないで平文で保存するのは駄目というのは、だいぶ認

気づいちゃった気づいちゃったわーいわい。 どうもテッカちゃん体型のmarujxです。 --------------- 米国の代表的なテック企業を一括りにする言葉として、GAFAとか GAFAMとかいう言葉がある。Google、Apple、Facebook、Amazon、Microsoftの頭文字をとった略称だ。 Microsoftは企業向け製品でも、個人向け製品でも成功をおさめている会社だけれども、他の4企業と決定的に異なるのは、主に企業向け製品でのし上がってきた会社ということだ。 実はMicrosoftは、個人向けのWebサービスで大成功したことがない。その他4企業は個人向けのWebサービスで大成功をおさめた会社だ。検索やGmailやAndroid、iPhoneなどのiOS機器、Facebook、Amazon Storeなど、使用者が10億人規模の個人向けWebサービスで大成功をおさめて

6/30のOffice365勉強会のEntra Verified ID特集の資料です。 分散型ID、Entra Verified IDの解説をしています。Read less

Dropbox はソルトとペッパーを利用 次の Dropbox 技術ブログによると、2016年9月時点の Dropbox は、パスワードをソルト化とペッパー化のコンボで保存していました。 How Dropbox securely stores your passwords - Dropbox 具体的には パスワードを SHA512 でハッシュ化 このハッシュ値をソルトとともに bcrypt でハッシュ化 最後にペッパーを鍵に AES256 で暗号化 というようにパスワードを多段で保護してデータベースに保存していました(AES256(BCRYPT(SHA512(PASSWORD) + SALT), PEPPER))。 ※ 図はブログ記事より引用 Dropbox はあくまでもペッパーの実例として紹介しました。 bcrypt の項でお伝えしたように、bcrypt 処理前にパスワードをハッシュ化す

パスワードレスとは 「パスワードレス」とは言葉通り「パスワードが要らない」という意味です。パスワードにはたいてい「英数字・記号を含む8文字以上の複雑な文字列にしてください」「一年ごとに変更をしてください」といった煩わしい制約が存在します。利用者にしてみれば毎回違うパスワードを考えたり覚えたりするのは負担ですし、結局簡単なものや同じようなパスワードを使いまわしがちになり、管理者としても望んだ結果ではないという問題があります。パスワードレスはそういった煩わしさから利用者・管理者双方を解放します。 ヤフーの社内認証事情 ヤフーには一万人を超える社員が在籍しており、毎日一回以上認証の機会があります。 社員が社内ツールにアクセスすると、まずはじめに共通の入口である内製の社内認証基盤へとリダイレクトされます。そこで社員は実際のログイン手段として以下の三種類の認証方式から選択します（図1）。 社内ID/

$ ssh git@github.com The authenticity of host 'github.com (192.30.255.112)' can't be established. RSA key fingerprint is SHA256:nThbg6kXUpJWGl7E1IGOCspRomTxdCARLviKw6E5SY8. Are you sure you want to continue connecting (yes/no)? githubの場合、以下のページのように公開鍵情報(fingerprint)が公開されていますから、それによって本物の公開鍵(の1つ)であることを確認できるようになっています18。 2種類の鍵とPFS ところで、先ほど「基本的に認証に使われるのは電子署名のみ」という話をしましたが、その理由についても触れておきます。 それには、公開鍵暗号の鍵の

Merpay Advant Calendar 2020、23日目の記事は、趣味で認証認可をやっている @nerocrux が送りいたします。 最近 GNAP という認可プロトコルのワーキンググループドラフトが出ていて頑張って細かく読みましたので、（次回はいい加減に仕事でやってることについてお話しますが）今回はその GNAP について紹介させてください。 GNAP とはなにか？ GNAP は Grant Negotiation and Authorization Protocol の略で、認可のプロトコルです。Justin Richerさんという方を中心に策定しています。作者によると、GNAP の発音は げなっぷ になります。 認可（Authorization）プロトコルと言えば、OAuth 2.0 (RFC6749) が広く知られ、運用されています。GNAP は OAuth 2 の後継とし

マイクロソフトは多要素認証（MFA）の認証の中で、SMS（OTP）と電話ボイスメッセージの使用を停止した方が良いと注意喚起し始めています。 hotforsecurity.bitdefender.com MFAを有効にしても、アカウントがハッキングされないという保証はありません。これは、SMSメッセージで配信されることが多い電話ベースのMFAを使用している場合に特に当てはまります。 私たちが前に説明したように多数の機会、ハッカーが正常にSIMスワッピング詐欺オフ引っ張ってきました。 成功した場合、SIMスワップ（「ポートアウト」詐欺とも呼ばれます）は、犯罪者があなたの電話番号を制御できるようになり、あなたにかけられたすべての通話とSMSテキストメッセージを受信することを意味します。 つまり、SMSまたはボイスメッセージを使用してMFAコードを配信している場合は、代わりに潜在的なハッカーに直接

バグ取り改訂版。再掲：銀行に限らず、Webのログイン認証（スマホアプリのリモート認証含む）のパスワード強度に係る設定自由度の評価を、こんな指標で評価して比較してはどうですかね。 https://t.co/MZo8DiwyX1 https://t.co/ApNgp5mZF9

「ダメだったのか」って過去形にしちゃったけど別にいいよね，もう今更だし。 いやね 特別定額給付金のオンライン申請で起きた問題についてまとめてみた - piyolog を見て笑っちまったのよ。 特に この問題を受け、郵送方式での申請を一部の自治体では推奨しています。 の部分。 それってただの「先延ばし」なんだけど（笑） 今回の「特別定額給付金」申請の最大の障害（ボトルネック）は申請受理の作業が「人力」である点だろう。 世帯単位での申請とはいえ人口の多い都会ほど世帯ごとの人数が少なくなるんだから，申請受理の「人力」作業でパンクしてしまうのは火を見るよりも明らか。 その上に個人番号カード発行や関連トラブルで混乱に拍車がかかっているのだから，ニンともカンとも。 オンライン申請で「おや？」と思った人も多いと思うが，申請時に提出する「添付書類1」って「目視」による確認らしいんだよね（そう明記されていた

ベリサイン【VRSN】の銘柄分析。ドメイン名登録で知られるIT企業 ベリサインの銘柄分析です。 ベリサインはコンピュータ・ネットワークセキュリティに関するソフトの開発で知られる、RSAセキュリティの認証部門がスピンオフされる形で創業しました。インターネット黎明期の１９９５年に創業、１９９８年には上場を果たしています。 「.com」や「.net」などのトップレベルドメインや、インターネット上に13個あるルートネームサーバのうちの２台の管理、登録を行っています。いわば、インターネットインフラを担う企業と言えます。 ベリサインの認証サービスは金融サービスや小売アプリケーションなどで使われており、現在300万以上の電子証明を運用しています。当然ながらネットワークセキュリティにも強く、世界の公開鍵証明書業界のほとんどを独占しています。 参入障壁の高い、特殊性ある事業形態です。 ベリサイン【VRSN】

In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A

スマホ決済「アリペイ」「WeChatペイ」では、QRコードを使って、決済を行う。現在は顔認証なども導入されているが、まだまだQRコードを使う場面は多い。そこを狙って、さまざまな資金を盗む手口が使われてきたが、最近になって「バーコードの数字を読み上げさせる」という新たな手口が発覚したと熱点指南が報じた。 動的コードと静的コード。２種類ある決済方法 スマホQRコード決済「アリペイ」「WeChatペイ」では、何種類か、お金を盗まれてしまう典型的な手口が存在する。 このような隙が生まれるのは、QRコード決済の決済方法が複数あることが原因だ。さまざまなシチュエーションに対応できるように複数の決済方法が用意されているが、利用者にとってはこれが混乱の元で、資金を盗まれる原因になっている。 QRコード決済の支払い方法は主なものでも３つある。ひとつは商店側がQRコードを掲示し、消費者がこれをスマホでスキャン

オペレーション部　江口です。 以前から気になっていた「ゼロトラストネットワーク」の翻訳版がオライリーから発売されました。 https://www.oreilly.co.jp/books/9784873118888/ 早速読んでみたのでレビューしてみたいと思います。 書籍の概要 最近新しいセキュリティの考え方として注目されている「ゼロトラストネットワーク」について取りあげた書籍です。 ゼロトラストネットワークの概念、どのように構成するか、認証をどうするべきかなどを解説し、またGoogleやPagerDutyでの実際のシステムの事例などを紹介しています。 目次 1章　ゼロトラストの基礎 2章　信頼と信用の管理 3章　ネットワークエージェント 4章　認可の判断 5章　デバイスの信頼と信用 6章　ユーザーの信頼と信用 7章　アプリケーションの信頼と信用 8章　トラフィックの信頼と信用 9章　ゼロト

"Backend Engineer’s meetup ~マイクロサービスにおける認証認可基盤~"の発表資料です。 https://connpass.com/event/142624/

セッションIDやアクセストークン、はたまた業務上で使う一意の識別子など、いろんなところで一意のIDを生成しなきゃいけないケースが存在します。 そこで世間で使われているIDの生成方法について調べてみました。 選択基準 ID生成における要求として、以下の観点が上げられるかと思います。 生成の速度 大量にデータを短期間で処理し、それらにIDを付与する場合、ID生成そのものがボトルネックとなることがあります。 推測困難性 IDを機密情報と結びつける場合、IDを改ざんされても、機密データが見れないようにできている必要があります。 順序性 採番した順にデータをソートする必要がある場合は、IDがソートキーとして使えないといけません。 それぞれについて各生成手段を評価します。 ID生成の手段 データベースの採番テーブル 採番用のテーブルを作り、そこで番号をUPDATEしながら取得していくやりかたです。古い