アカウントを安全に保つため、学校や職場から2～3カ月ごとにパスワードを変更するよう求められているのではないか。これは広く実施されているセキュリティーの推奨事項だ。ただし、これは完全に間違っている。米連邦取引委員会（FTC）でチーフテクノロジストを務めるローリー・クレイナー氏は先週、米ラスベガスで開催されたセキュリティー会議でこの"通説"を打破した。かえって安全性が低下することもつまり、定

最近、定期的にネットを賑わす海外セレブや国内の芸能人の個人情報流出騒動。人によっては人生設計がひっくり返るような大騒ぎになったりしていますよね。その原因はさまざまですが、我々にとっても他人事でないのが、クラウドサービスへの違法アクセス。パスワードの流出などによって、秘密のデータが盗まれてしまう危険は有名人だけのものではありません。あんなメールやこんな写真、流出してしまったら困りますよね。ネットバンクから知らないうちに送金されてしまった……なんて話もよく聞きます。 では、どうすれば被害を未然に防ぐことができるのでしょうか？ パスワードの定期変更は無意味！よく言われているのが「パスワードを定期的に変えること」ですが、断言しましょう。これにはほとんど意味がありません。技術の進歩によって、いまやパスワードの解析にかかる時間は一般的な英数字8ケタのパスワードですら数十秒～数分（6ケタなら数秒程度）。

パスワード管理サービスのLastPassが、ある特定の種類のフィッシング攻撃に狙われると、ユーザー認証情報を盗まれたり、2要素認証システムを迂回されたりする可能性のあることが分かった。 この攻撃は、クラウドサイバーセキュリティの新興企業Praesidioで最高技術責任者（CTO）を務めるセキュリティ研究者のSean Cassidy氏が、ワシントンDCで開催された2016年のハッキングカンファレンス「ShmooCon」で明らかにしたものだ。「LostPass」と名付けられたこの高度なフィッシング攻撃は、ユーザーをだましてパスワードや電子メールを盗み出したり、LastPassのボールト（保管庫）に保存されているすべてのパスワードやドキュメントを盗み出したりできる。 Cassidy氏がブログに記したところによれば、LastPassのシステムは、他の多くのシステムと同じく、フィッシング詐欺に対して

パスワードをgit commit する前に検討したい、3つの回避方法 GitHub便利ですね。無料で自身のソースコードを管理できます。しかし無料プランだとソースコードは全世界に公開されてしまいます。有料プランですと月7 USドルでソースコードを非公開にできますが、結構お高めなので払っている人は少ないのではないでしょうか？ 外部リソースにアクセスするプログラムを書いていると、config にパスワードを書いてしまいたい衝動に駆られます。しかし過去の事件について思いを馳せてみてください。クラウドサーバを生成する権限はお金になります。BitCoinマイニング目的でEC2 インスタンスを不正利用された事例は国内でも数件発生しています。本当にそのパスワードをconfig に書いて大丈夫でしょうか。 この記事ではgit にcommit しないで上手にパスワードを管理する技術について考えていきます。 a

はじめに Ansibleを用いたコードによるインフラ構成管理を実践しようとすると、機密情報の扱いに困る事があると思います。具体的には以下のような情報をレポジトリ管理に入れたい時です。 AWSのcredential DBのパスワード facebook_appのapp_secret せっかくミドルウェアやネットワーク設定等をコード管理している( =テスト回したりコードレビューできる) のに、一部の情報だけサーバのローカル上で管理とかも嫌ですよね。 とはいえ、これら機密情報を万が一間違ってpublicなgithubレポジトリ等にあげた日には Bitcoin採掘屋さんに目をつけられ多大な請求が、、、なんて事にもなりかねません Ansible-Vaultとは Ansibleで提供されている、暗号/復号化用パスワードを用いてyamlファイルを暗号化する仕組みです。これを用いる事で、機密情報を暗号化した

重要なのは機能性だけではありません。ユーザビリティ、サポート、セキュリティなども気になるポイントですよね。そこで、今回取り上げるすべてのパスワード管理ツールに備わっている基本の機能については、最初にまとめて説明してしまいます。 パスワードの生成：安全と言えるパスワードは、自分でも覚えられないものだけ。さらに、使用するあらゆるサイトのあらゆるアカウントごとに、違ったパスワードを使うべきです。だからこそ、パスワード生成ツールの出番というわけ。今回取り上げるパスワード管理ツールには、どれもこの機能が備わっていて、ユーザーがウェブサイトに新しくアカウントを作るたびに、この作業を肩代わりしてくれます。 フォームの自動入力：今回取り上げるパスワード管理ツールはどれも、氏名や住所などの個人情報をさまざまなサイトに自動で入力してくれます。パスワード管理という本来の目的には直結しない機能ですが、便利ですよね

年明けの1月6日～9日に米国ラスベガスで開催されたInternational CES 2015。現地時間の7日に開催された米インテル社の基調講演では、パソコンの新しい利用スタイルが提案された。 印象的なボタン型のデバイス「Curie」や、パソコンに触れずジェスチャーで操作できる「Real Sense」といった印象的なプレゼンテーションとともに提案されたのが、煩雑なネットワークケーブルやパスワードなどから解放された新しいパソコンの利用方法だ。 これを支えるものとして、Intel Securityが取り組んでいるのが“True Key”と呼ばれる技術だ。True Keyは、顔認証や指紋認証、あるいはユーザー自身のスマートフォンを持ち運んでいるかどうか、といった複数の条件から、個人を特定し、パスワード入力なしに、機器やサービスへのログインが可能になるもの。TrueKeyの現在機能限定版はすでに提

awamori @awamori_tt OCNから利用者宛てに「メールサービスのパスワードを定期変更しないと一定期間、接続制限するぞ」というメールが来た 2014-11-12 13:40:56 しの @SH1N0 OCNメールアドレス（OCN ID）のパスワード変更のお願いについて ocn.ne.jp/info/announce/… とうとうパスワードを定期変更しないとサービスを使わせないって所が出てきた。 2014-11-12 16:17:29

他社のWebサービスなどから流出したアカウント（ユーザーIDとパスワード）のリストを使って、別のWebサービスに対して不正ログインを試みる「リスト型攻撃」が後を絶たない（図1）。国内ネットサービスの多くが被害に遭っている（関連記事：「リスト型攻撃」が止まらない）。 リスト型攻撃は、「リスト攻撃」「パスワードリスト攻撃」「アカウントリスト攻撃」などと呼ばれている。2013年末ごろからは、総務省が発表資料などで「リスト型アカウントハッキング」という名称を使っているため、Webサービス提供者なども、この名称を使うようになっている（関連記事：リスト型アカウントハッキング）。 リスト型攻撃では、特定のIPアドレスから、数万回から数百万回にわたって不正なログインが試行される。だが、一つのユーザーIDに対するログイン試行は1～2回であることがほとんどなので、正規ユーザーのログイン試行と区別することが難し

Oracle Linux on VirtualBox で root パスワードを忘れてしまった場合の対処法を説明したので、メモっておく。 シングルユーザーモードで起動して root パスワードを変更するだけです。 環境 VirtualBox 4.3.10 Oracle Linux 6.5 ブートローダはGRUBを使用している前提 手順 再起動する*1 [Machine]-[Insert Ctrl+Alt+Del]を選択する。 "Shut down this system now?"と聞かれるので、"Restart"を選択する。 シングルユーザーモードで起動する "e" を押す "↓"キーを押して "kernel" で始まる行を選択し、"e" を押す 行末に"1"と入力する（1はランレベル1=シングルユーザーモードを意味する） "b" を押して起動する root のパスワードを変更する pa

人気のパスワード管理アプリ｢1Password｣は、｢iOS 8｣のリリースと共にTouch IDやSafariの拡張機能に対応し、より使い勝手が良くなる予定ですが、本日、開発元のAgileBitsが、｢iOS 8｣対応版には既存のユーザーは無料でアップデート可能である事を発表しました。 ｢iOS 8｣対応版は現在ベータテストが行われており、個人的にも試用させて頂いていますが、Touch IDはかなり便利です。

ブルートフォース攻撃によって強度の弱いパスワードが破られた。「今後は安易なパスワードではGitHub.comにログインできなくなる」という。 ソフトウェア開発プロジェクト管理サービスのGitHubは11月19日、ユーザーのアカウントに対して総当たり方式でパスワード破りを試みるブルートフォース攻撃が仕掛けられ、一部の強度の弱いパスワードが破られたと発表した。 GitHubのブログによると、4万あまりのIPアドレスを使ったブルートフォース攻撃が仕掛けられ、強度の弱いパスワードや複数のWebサイトで使い回されているパスワードが破られたという。 被害に遭ったユーザーにはメールで通知した上で、パスワードをリセットするとともに、アクセストークンとOAuth認証、SSH鍵を失効させる措置を取った。リセット後は強力なパスワードの設定が必要になる。 また、強力なパスワードを使っていたユーザーのアカウントの一

最近SNS上で話題になっていたのが、LINEの乗っとり騒動。ただ、LINEのサービス自体から情報が流出したわけではなく、他のサービス等と共有しているメールアドレスとパスワードの組み合わせで不正ログインをされているようだ。 そこでLINEが行ったのが、「パスワード変更した方全員にLINEキャラ特製スタンププレゼント」という、こちらのキャンペーン。 メールアドレスやパスワードを設定/変更する面倒さを、スタンプというインセンティブで乗り越えられるという、LINEにとってもユーザーにとってもwin-winの施策だ。よく考えたなぁ！ …と思っていた。以下のツイートを見るまでは。 一見有効なように見えるけど、LINEパスワード入力したらスタンプもらえるって情弱に誤学習させてしまって、フィッシングサイト乱立する気もする http://t.co/XWiYWDrfed — oʇoɯıɥsɐɥ oɥs (@s

git-credential-osxkeychain 知らなかった。 これ、Mac OS X 用のパスワード管理システムである Keychain Access と git を連携させることで、パスワード入力なしで git リポジトリへのアクセスが可能になるもの。 $ which git-credential-osxkeychain が正常終了するようなら、インストールされてる。 これを使う場合、.gitconfig に以下のような設定を放り込んでいれば良い。 [conf] helper=osxkeychain [credential "https://github.com"] username=kiririmodeこの設定を投入した後、最初のアクセスではパスワードの入力を求められるのだけれど、入力した内容が自動で Keychain に登録され、今後のアクセスではそれが使われるようになる。

これまで複雑なiPhoneパスワードを作る必要性について記事をお届けしてきましたが、もっとも簡単なのはiPhoneの特殊文字を使う方法です。iPhoneのパスワードに絵文字を使うことはできませんが、iOSは「E」、「Y」、「U」、「I」、「O」、「A」、「S」、「L」、「Z」、「C」、「N」の上にあるアクセント記号付き文字に対応しています。これらの特殊文字を使うことで、余分な文字を打ち込むことなく、iPhoneのパスワードを複雑にすることができます。特殊なアクセント記号を表示するには、指でキーを数秒間押し続けてください。 「I」や「O」など、たった1つの文字を使うだけで、5文字のパスワードを作ることもできます。特殊文字を使えば、パスワードが5文字でも特定されにくく、憶えるのは簡単です。 一部のパスワードだけ特殊文字に変えるだけでもセキュリティ強化になるはずです。セキュリティが心配だけど、複

git を https 経由で使う場合、pull や push のたびに毎回パスワードを聞かれてしまいます。 これを改善するには git-credential を使うと良いです。 git-credential は git 1.7.9 以降で使用可能です。 なお、古いやり方としては .netrc を使う方法もありますが、パスワードを平文でファイルに保存するので、やらないほうがいいと思います。 使用可能な管理方式 git-credential では、以下のような方法でユーザ名とパスワードを管理できます。 git-credential-store : ファイルに保存します。ただし、パスワードが平文が保存されます。 git-credential-cache : 常駐プロセスに記憶させます。 git-credential-osxkeychain : Mac OS X のパスワード管理を使います。 G