パスキーの本質はユーザー側としてはパスワード入力機会の削減、サービス側としては企業のセキュリティリスクのユーザーへの責任転嫁とコストカットである。 サービス側 企業がユーザーにパスキーを使わせようと強要するのはログイン情報の流出や流出したログイン情報による攻撃のリスクと責任とコストから企業を守るために認証に関する問題がユーザー側の責任によってしか発生しないよう責任転嫁したいからに過ぎない。このため認証情報の紛失や盗難などによる喪失リスクと復旧の困難性やその他新たに発生する問題については隠蔽または矮小化される。企業にとってパスキーとはパスワードの定期的変更の最新版なのでありユーザーがパスキーを強要されるのはパスワードの定期的変更を強要された歴史を繰り返しているに過ぎない。 ユーザー側 パスキーの適切な実装におけるユーザーの本質的利益はパスワード入力機会が減ることによりフィッシング被害を受ける

pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。

紙保存は危険という考えが広まっていた時代はまだインターネットが貧弱で、ハッキングを食らう場合は現地に赴かれている場合が多かった。 だが現代におけるハッキングの大部分はインターネット経由であり、物理的に自分の身近にたどり着かれることは少ないので紙パスワードは優秀。 とみせかけて大きな問題が２つある。 １　ランダム生成が難しい ２　複製（バックアップが難しい） この２つは結構大きな問題だ。 実は１番には逆転の発想での問題解決法がある。 それは「同じパスワードとユーザー名を使い回すことを決定したサイト同士」で管理してしまうという手法だ。 たとえば「ヤフーとグーグルとはてなは全部このパスワードとユーザー名」と決めてしまって手帳等のページを確保し、同じ基準に従うサイトを書き出すのだ。 これだと生成するパスワードの数は少なくて済むし、流出時にどれを更新しなければいいかが一目で分かる。 そして、２番につ

そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。）

まず確認すべきもの 7pay のチャージ・利用履歴 クレジットカードの使用履歴 登録しているアドレスのメールボックス怪しいチャージを察知したら クレカ・デビットカードを紐付けしていれば →クレジットカード会社や銀行に連絡 不正に残高を使われていたら →7payお客様サポートセンター緊急ダイヤル：0570-012-113（24時間・年中無休） →お客様サポートセンター（フリーダイヤル）できました：TEL：0120‐192‐044 それらと同時に ログインIDやパスワードを推測しにくいものに変更 Tack C. @ttack1122 【写真】７payで不正アクセス被害に会いました。 今朝短時間に１９万円分の不正アクセスによるチャージと２回（９万５千円と１０万円）の高額決済被害に会った履歴のスクリーンショットの一部です。 １分間で３回のチャージとは、人間業でしょうか？ pic.twitter.c

配達される荷物をスマホから一括で管理でき、再配達依頼もできるアプリ「ウケトル」の使用に関して、ヤマト運輸が利用者に対し、「個人情報が利用される恐れがある」とメールで注意喚起をしている。

Microsoftは4月24日（現地時間）、間もなくリリースされるWindows 10の次期大型アップデート「Windows 10バージョン1903」（19H1）と「Windows Serverバージョン1903」について、セキュリティベースライン設定のドラフト版を公開した。 今回のドラフトでは、「パスワードの定期的な変更を促していたポリシー」の廃止が盛り込まれたことが注目されている。Microsoftはこれについて、「パスワードセキュリティの現状に問題があることは疑いようがない」と認めている。 ユーザーが自分でパスワードを作成する場合、安易なパスワードを選びがちな傾向があるという。覚えにくいパスワードの作成を強要されたり、割り当てられたりすれば、目に見える場所に書きとめておく。パスワードの定期的な変更を強要されれば、既存のパスワードに予想可能な変更を少しだけ加えて済ませがちで、新しいパス

KINEZOといえば、映画のチケット予約サービスだけれども、セキュリティー界隈では「数字4桁のログインパスワード」でお馴染みの有名所でもある。平成も終わりに差し掛かっているのにこれを貫いていることについては何と申せば良いのやら…。そんなKINEZOだが、今回は新宿バルト9で更なる深淵を覗いてしまったので、ここに書き記しておく。 暗証番号代わりのログインパスワード 昨日映画を観に行った所、生憎スマートフォンの調子が悪くてネットに繋がらなかったので、チケット発行用の予約番号は確認できたが、QRコードの確認ができなかった。そこで、予約番号からチケットを発券しようとした。 すると、求められたのはKINEZOのログインパスワード。 おいおい、ログインパスワードが暗証番号代わりかよ…。 と、その時点でセキュリティー的にアウトだろうとは思いつつも、仕方ないので入力する。が、どうにも通らない。暗証番号代わ

by www.shopcatalog.com ユーザー認証などに使用するパスワードは外部から推測しにくいものが推奨されており、意味の通らない英字や数字の組み合わせはほかの人とパスワードがかぶりにくく、セキュリティが高いと思われがちです。しかし、エンジニアのRobert Ou氏は「ji32k7au4a83」という一見意味の通らないパスワードが多くの人に使われていることを発見し、「なぜこのようなランダムに見える文字列がたくさんの人に使われているのか？」という謎についてTwitterで発信しました。 Fun thing I learned today regarding secure passwords: the password "ji32k7au4a83" looks like it'd be decently secure, right? But if you check e.g. HIB

宅ふぁいる便 @takufailebin ファイル転送サービス「宅ふぁいる便」におきまして、一部サーバーに対する不正アクセスにより、お客さま情報のデータが外部に漏洩したことを確認いたしました。詳しくはこちらをご参照ください。 filesend.to

井二かけるの追い解説 今回の漫画のテーマは、ITエンジニアの間でしばしば批判される「後続メールでのパスワード別送」です。 ここでいう「後続メールでのパスワード別送」とは、メールで添付ファイルを送付する際、添付ファイルをパスワード付きzipとし、後続メールでパスワードを送付するという方式です。 現在、情報セキュリティ対策の一環として、「後続メールでのパスワード別送」を採用する企業が数多く存在します。漫画のようにパスワード別送をシステムで自動化している企業も少なくありません。 では「後続メールでのパスワード別送」は何が問題なのでしょうか。代表的な2つの点を挙げます。 1.後続メールでパスワードを別送しても、セキュリティはほぼ向上しない 電子メールはその仕組み上、基本的に相手に届くまでに複数のサーバを経由します。メール送信にTLS/SSLを用いても、暗号化が保証されるのは自分が使用しているメール

先日、ユーザーの皆さんなら誰でもドキッとするようなメールを受け取りました。 件名には、私のメールアドレスと一緒に、私がいつか使っていた「パスワード」が記載されています。本文は英語で、「お前のパスワードは○○だと分かってるぞ。どうしてこんなメールが届いたのか、お前はさぞ驚いてるだろうな、えぇ？」という文言に続き、「お前のPCにウイルスを仕込んだ。お前が見ていたアダルトサイトの画面と一緒に、閲覧中のお前の姿を録画してある。もちろん連絡先も全て盗んだ。外にばらまいてほしくなければ、ビットコインで1000ドル分支払え」――という内容でした。 このようなメールは、複数の送信元から多数送られてきました。自分が使っているパスワードそのものが件名に書かれていたら、誰でもびっくりするでしょう。 ただし、1点だけ気になったことがありました。私に来たメールに書かれていたパスワードは、確かに以前使っていたものです

定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述

上田智章 (Tomoaki Ueda) @NeoTechLab 確かに３０文字以上ならハッキングツールでも生きている間にハックされなさそう。.........ところで最大何文字まで入れられるんだろうか....。 twitter.com/kiku13sm/statu… 2018-03-06 18:51:38

パスワードに記号や大文字や数字を盛り込み、定期的に変更するというルールは間違いだったと当事者が告白。

macOS のパスワード変更画面では、記号の|（縦棒。よくプログラムの論理演算子で or を表現するときに使うあいつ）を入力することが出来る。また、管理者権限を求められる場合などのパスワード入力画面でも|を入力することが出来るし、コンソール上でも入力可能だ。*1 しかし、再起動後のログイン画面では、|を入力することが出来ないのである。*2 Shift+\ を押下しても無反応。それがなにを意味するか。すなわち「OSにログイン出来なくなる」ということなのである。 たとえば、パスワード作成のちょっとしたテクニックで、「aの代わりに@を使う」「l（小文字のL）の代わりに1（西洋数字の一）を使う」など、形の似た別の文字に置き換えて推測されにくくするというものがある。 なにも考えずにこれを適用し、「l（小文字のL）の代わりに|（記号の縦棒）」をmacOSのパスワードで採用すると、次OSを再起動したあと

＜アメリカの電子認証専門機関が、定期的なパスワード変更の推奨をやめると決めた。エンドユーザーもいずれ、代わりの新しい「パスフレーズ」を要求されるようになるはすだ＞ 米政府機関はもう、パスワードを定期的に変えるのを推奨しない。アメリカの企画標準化団体、米国立標準技術研究所（NIST）が発行する『電子認証に関するガイドライン』の新版からルールを変更する。 ウェブサイトやウェブサービスにも、サイトが乗っ取られたのでもない限り、「パスワードが長期間変更されていません」などの警告を定期的に表示するのを止めるよう勧告するという。銀行や病院のように人に知られてはいけない個人情報を扱う機関も同じだという。 【参考記事】パスワード不要の世界は、もう実現されている？！ 実は近年、情報セキュリティー専門家の間でも、特別の理由がない限り、ユーザーにパスワード変更を求めるべきではないという考え方が増えてきた