デゴチ @degochiyakuri セキュリティという最新の技術動向をウォッチし続けなきゃいけない分野の仕事していて、昔ながらの『パスは定期的に変えた方が良い気がする…』というスタイルのままで良いと思う時点でもうダメな気がする。 と、素人が思っているけど実際どうなんかねぇ。 2024-12-06 19:06:07 デゴチ @degochiyakuri 今の管理者に「定期変更でユーザーのパスワードの安全性が低下傾向になるのでは？」と意見送ったら「いや全ユーザーのパスワードをリストアップして確認しましたがそんな傾向なかったですよ」とか怖いこと言われそう… 2024-12-06 19:09:39

ritou です。 Digital Identity技術勉強会 #iddance Advent Calendar 2024 初日の記事です。今年も頑張りましょう。 qiita.com パスキー認証の理想と現実 パスキー(というかFIDO)認証はパスワード認証を用いた脆弱な現状を打破すべく考えられた仕組みです。メディアの取り上げられ方はこんな感じでした。 とても安全で便利な仕組み プラットフォームを跨いだ利用が可能 パスワードを置き換える 1の安全性については技術的に説明されています。最もシンプルな使い方であれば「慣れ」ることで便利さも感じられるかと思います。 2はプラットフォーマーやパスワードマネージャーが頑張っているところです。Appleがいち早く同一プラットフォーム、クロスデバイスな環境における同期を確立、Google Password ManagerはChromeが動作する環境でパス

stuartschechter.org 米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST SP 800-63」が改訂され、「パスワードは「複雑」より「長い」が重要、定期的な変更を義務付けてはならない」というのがようやく周知された。 しかし、「複雑なパスワード」と「定期的なパスワードの変更」が長年推奨されてきたのか。この文章は、その原因を偉大な科学者たちが過ちを犯したことに理由を求めている。 その科学者とはロバート・モリスとケン・トンプソンの二人である。ケン・トンプソンについては説明は不要だろうが Unix の開発者ですね。ロバート・モリスは暗号学者で、Y Combinator の共同創業者であり「モリスワーム」の作者として知られるロバート・タッパン・モリスの父親である。 この二人が1979年に実際のユーザパスワードを調査して発表した Password Security:

すまほん!! » テック » 【朗報】面倒な登録もさらば。パスキーをパスワードマネージャー間で転送できるようになる時代到来へ Apple、Google、MicrosoftやSamsungなど名だたる大手企業が加盟するFIDO Allianceは、パスワードマネージャー間でのパスキーの転送などに関する仕様を公開したことを発表しました。Phone Arenaが伝えています。 パスキーはパスワードを代替すべき新しい認証方式で、生体認証やデバイスのPINなどの認証を行うことで各種サービスに簡単にログインできるというもの。iOSやAndroidで利用できるサービスや、Microsoft Authenticatorなどのパスワードマネージャーが管理を行っています。 しかし、現状ではアプリ間でパスキーを転送できるような機能は存在しません。これはなかなか面倒くさい問題で、例えば筆者の場合は少なくともWin

「パスキー」って何？ Webサイトにログインする際に「パスキー」の設定を推奨されることはないだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いと思う。そこで、「パスキー」とはどういったものなのか、仕組みや設定方法などについて解説する。 Googleアカウントにログインする際、「ログインをシンプルに」という画面が表示され、「パスキー」の利用を推奨されたことはないだろうか（一度、パスワードを忘れて、再設定後にGoogleアカウントにログインする際などに表示されることが多い）。 このパスキーとはどういったものなのだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いのではないだろうか。 本稿では、このパスキーの仕組みや設定方法、運用上の注意点などについて

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 「組織はユーザーに定期的なパスワード変更を要求してはならない」──米国政府機関の米国立標準技術研究所（NIST）が、そんな内容を含めた新しいガイダンス「SP800-63B」を発表した。パスワードの内容は、セクション3.1.1に記されている。 多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。 これは、Webサイト

訂正のお知らせ 本文中で、修正前は「パスワードポリシーに関するガイドライン『NIST Special Publication 800-63B』の改訂版」と記載していましたが、正しくは「『NIST Special Publication 800-63B-4』の第2版公開草案」の誤りでした。誤解を招く表現となっていたことをお詫び申し上げます。該当箇所を訂正しました（2024年9月30日15時20分更新）。 米国立標準技術研究所（NIST）は2024年8月21日（現地時間、以下同）、パスワードポリシーに関するガイドライン「NIST Special Publication 800-63B-4」について、第2版公開草案を発表した。 同草案では定期的なパスワードの変更や異なる文字タイプの混在（例えば数字、特殊文字、大文字小文字を組み合わせる）を義務付けるべきではないことが提案されている。 「パスワード

Auth0の無料プランが拡大。月間2万5000アクティブユーザーまで、独自ドメイン、パスキーによるパスワードレス対応も 認証プラットフォームを提供するOkta社は、Auth0の無料プランを拡大したと発表しました。 Auth0は、認証や認可にかかわる機能がクラウドサービスとして提供されており、SDKを用いてWebアプリケーションやモバイルアプリケーション、デスクトップアプリケーションなどに組み込むことで、通常のログイン名とパスワードを用いた認証はもちろん、Active DirectoryやGoogle Workspaceなどとの接続、Facebookなどを用いたソーシャルログイン、パスキーによるログインなどを簡単に実現します。 また、不正ログインに対する防御機能なども備えています。 無料プランで月間2万5000アクティブユーザーまで対応 これまでの無料プランは、最大で月間7500アクティブユ

パスワードの安全な管理方法として「定期的にパスワードを変更する」「他人にパスワードを作成させる際に記号や数字を混在させるように求める」といったノウハウを実践している人は多いはず。しかし、これらの管理方法は実はセキュリティリスクの高いもので、内閣サイバーセキュリティセンター(NISC)やアメリカ国立標準技術研究所(NIST)のガイドラインでは非推奨とされています。 インターネットの安全・安心ハンドブック Ver5.00 第6章 (PDFファイル)https://security-portal.nisc.go.jp/guidance/pdf/handbook/handbook-06.pdf NIST Releases Second Public Draft of Digital Identity Guidelines for Final Review | NIST https://www.ni

総当たりする所要時間を考えると、9桁以下や10桁でも文字の組み合わせに記号がないと、危険ですね。 尚、同ガイド「インターネットの安全・安心ハンドブック」には、第6章でパスワードに関することのみにフォーカスした章があり気になる方にはおススメです。 パスワードの使い回し禁止の人力は現実的? パスワード長く記号も使おうはわかったよと、そして次の節が「使い回しはだめよ」です。使い回しがだめなら単に最後の文字だけ変える、これもだめです。 それが、だめなのはわかるのですが、わかりますが長くて複雑かつ使い回さないものは覚えられないですよね、私は電話番号という数値のみの10～11桁をよく使うものなら覚えられ、それ以上は厳しいです。 覚えられないパスワードは保管して、適時利用することが推奨されます。次の節でその方法について説明します。 「ノートに書く」? 必要に応じてノートを開く、そこに複雑な文字列がある.

Sophosは8月22日(英国時間)、「Qilin ransomware caught stealing credentials stored in Google Chrome – Sophos News」において、ランサムウェア「Qilin」による侵害を調査する中で、Google Chromeに保存された認証情報を大量に窃取する攻撃を確認したと伝えた。2024年7月に確認されたこの事案では、Active Directoryのドメインコントローラからグループポリシーオブジェクト(GPO: Group Policy Object)を使用して悪意のあるスクリプトをドメイン参加端末すべてに配布して実行したとされる。 Qilin ransomware caught stealing credentials stored in Google Chrome – Sophos News 侵害経路 初期ア

2024年6月8日（土）に発生したサイバー攻撃による障害により、ニコニコアカウントは現在サービスの再開に向けて作業を行っています。 8月5日（月）以降のニコニコアカウントのご利用について、お知らせいたします。 ニコニコアカウントをご利用の皆様には重要なお知らせとなりますので、下記ご一読をお願いいたします。 パスワードの再設定のお願いセキュリティ対策強化の一環として、ニコニコアカウントのパスワードをリセットしました。 そのため、8月5日（月）のサービス再開以降、はじめてニコニコにログインする際にパスワードの再設定をお願いいたします。 ユーザーの皆様にはお手数をおかけすることとなり申し訳ありません。 なお、ニコニコユーザーのアカウント情報（ログインメールアドレス､ログインパスワード）､およびクレジットカード情報につきましては、当社からの情報漏洩は確認されておりません。 詳しくは、こちらのプレス

2024年7月4日、ハッキングフォーラム上に約100億件ものパスワード情報を含むファイルが投稿されました。セキュリティメディアのCybernewsは「史上最大のパスワード漏えい」として、今回のデータ漏えいについて報じています。 RockYou2024: 10 billion passwords leaked in the largest compilation of all time | Cybernews https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/ This is likely the biggest password leak ever: nearly 10 billion credentials exposed | Mashable https://mashable.com

システム障害の渦中にあるKADOKAWAは28日、ランサムウェア攻撃による情報漏洩（ろうえい）が確認されたとし、同社サイトに「お知らせとお詫び」書面を掲載した。これを受け、ニコニコ公式は「念のため、ニコニコアカウントと同じパスワードを他サービスでもお使いの場合は、パスワードを変更することを推奨いたします」と注意喚起した。 【写真】その他の写真を見る KADOKAWAの書面では「当社グループでは、データセンター内のサーバーがランサムウェアを含む大規模なサイバー攻撃を受けた事案が発覚した後、直ちに対策本部を立ち上げ、外部専門機関などの支援を受けながら、情報漏洩の可能性について調査を開始しており、現在も継続中です」と説明。そして「その最中、当該ランサムウェア攻撃を行ったとする組織が、当社グループが保有する情報を流出させたと主張しています。当社グループは、当該組織の主張内容の信憑性について現在確認

Appleは日本時間6月11日より開催する「WWDC24」において、「iOS 18」や「macOS 15」などの次期OSを発表する見込みですが、BloombergのMark Gurman氏によると、「iOS 18」や「macOS 15」には新しい「パスワード」アプリが導入されることが分かりました。 「パスワード」アプリは、「1Password」や「LastPass」のようなサードパーティ製パスワード管理アプリの代替となるもので、iPhone、iPad、Macユーザーが保存されているログイン情報にアクセスするためのよりシンプルな方法が提供されます。 AppleのOSには既にパスワード機能は組み込まれていますが、「設定」アプリに隠された状態となっている為、慣れていないユーザーにとっては少し見つけにくくなっています。 「パスワード」アプリには、Webサイトのログインとパスワード、Wi-Fiネット

安全なパスワードの設定・管理 企業・組織におけるパスワードは、ユーザ名と組み合わせることで企業・組織内の情報資産へのアクセスの可否を決める重要なものです。パスワードの重要性を再認識して、適切なパスワード管理を心がけましょう。 他人に自分のユーザアカウントを不正に利用されないようにするには、推測されにくい安全なパスワードを作成し、他人の目に触れないよう適切な方法で保管することが大切です。 安全なパスワードの設定 安全なパスワードとは、他人に推測されにくく、ツールなどの機械的な処理で割り出しにくいものを言います。 理想的には、ある程度長いランダムな英数字の並びが好ましいですが、覚えなければならないパスワードの場合は、英語でも日本語（ローマ字）でもよいので無関係な（文章にならない）複数の単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることがで

Shadowhat @shadowhat HAGIWARA Takahiro (仮想化プリセエンジニア) 主にNutanix、最近M365、時々Linux、稀にネットワークな日々 発言は個人の見解であり、所属する企業の見解や意見を代表するものではありません。 Nutanix Technology Champion 2018-2024 infraapp.blogspot.jp Shadowhat @shadowhat 「情シス担当者がいなくなって社内のサーバーやネットワーク機器を管理する人がいないので皆さんで管理しましょう。」 といって、社内全員にAdministrator権限のユーザ名とのパスワードを共有する斬新な管理方法を聞いた。 なお、SIでソフトウェア開発をやっている会社さんだそうで。。。

FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で

この記事について この記事は、毎週土曜日に配信されているメールマガジン「石川温のスマホ業界新聞」から、一部を転載したものです。今回の記事は2024年4月27日に配信されたものです。メールマガジン購読（税込み月額550円）の申し込みはこちらから。 第三者がフィッシングサイトなどを通じて入手した楽天IDとパスワードによって、My 楽天モバイルでeSIMの再発行を実施。モバイル通信サービスを乗っ取ってしまうという。 SMS認証で本人確認を行う他のサービスなども乗っ取られていくなど、さらなる犯罪に利用されてしまうことも予想される。 そもそも、楽天モバイルの仕組みは楽天IDとパスワードによって、eSIM再発行ができるなど、他社に比べてセキュリティが低いというのが以前から指摘されていた。 他社であれば、切り替えたい回線にSMSを飛ばす、あるいはeSIMを再発行する際、端末の紛失などでSMSを飛ばせない