こんにちは。CTOの馬場です。 なんだかんだでひとつの機密情報を複数人で管理する必要があるケース、ありますよね。 人に紐付いていないユーザのパスワードとか、 管理者権限をユーザひとりしか指定できないサービスとか...。 なんだかんだでまだまだあると思います。 弊社にもあります。 今回はそのソリューションの選択肢になるかもしれない、 ブラウザから使える共有型パスワードマネージャ RatticWeb と、 そのCLIクライアント go-ratticcli を紹介します。 Password Management for Humans. Mainteneance is still continued to 2018 and after. netmarkjp/RatticWeb - GitHub Python + Django のWebアプリケーションです。 まあまあ欲しい機能はひととおり揃っていま
Webサービスを使っていると、たまに「秘密の質問」の設定を求められることがあります。 こういう場合、個人的にはランダム文字列を登録したいと思うのですが、次のようにマルチバイト文字しか登録できないことが多い気がします。 普通のパスワードジェネレータではマルチバイト文字のパスワード生成ができないので、このような用途には使えません。そこで、ランダムなマルチバイト文字列を生成するサービス「 秘密の答えジェネレータ」を作ってみました。 自分でも実用しており、既に5サービスに設定しましたが、非常に便利だと感じます。 本稿ではこのサービスの技術面の詳細について紹介します。 「秘密の答えジェネレータ」の構成要素 「秘密の答えジェネレータ」はHTML+JavaScriptだけで実現されており、GitHub Pagesでホストしています。また、独自ドメインのDNSおよびSSL化はCloudFlareで行ってい
定期的なパスワード変更を強制させるだけで情報漏えいが防げるハズはありません。定期変更が無意味だとはいいませんが、パスワードに関してもっと注力すべき点があります。 みなさんが勤める会社に、「パスワードは1カ月に1度変更しましょう」といった決まりはありますか。もしもあなたが（1人）情報システム部や（1人）システム管理者だとしたら、頭を悩ませている問題でしょう。 パスワードの定期変更は、ごく一部の事象には有効的です。よーく考えてみると、それ以前にやるべきことがたくさんあることに気が付くはずです。 パスワード定期変更が有効な場合って？ 筆者もいくつかの企業を転々としていましたが、ほとんどの企業で「パスワードの定期変更」を強制されました。あるシステムでは1カ月経つとパスワード変更ダイアログが表示され、過去3回分とは異なるパスワードを求められたことも。 しかし、パスワードの定期変更は「何らかの方法でパ
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
フレームワークの責務とセキュリティ - MugeSoの日記についての感想文です。 世の中にはたくさんの通信プロトコルが存在し、中には、特定の条件でパスワードを含む文字列をハッシュ化した値を検証しなければならないものも含まれています。 例えば、HTTP Digest認証の場合は、MD5("realm:user:password")を保存しておく必要がありますし、APOPの場合は生のパスワードを、CRAM-MD5の場合はMD5("password")を保存しておく必要があったはず。 で、こういった様々なプロトコルに対応可能な認証データベースを準備しようとすると、パスワードを復号可能な方式で保存しておく必要があります*1。 ただ、パスワードを復号可能な方式で保存するとか、開発者あるいは管理者としてやりたくないというのはもちろんそうなので。で、長期的には世の中どこへ向かってるかというと： 選択肢a
最近、パスワードの使い回しをしているユーザーに対する攻撃が出回るようになってきています (参照: パスワード攻撃に対抗するWebサイト側セキュリティ強化策 | 徳丸浩の日記) が、マスタパスワードからサービスごとに異なるパスワードを自動生成するのが簡単な対策ですよね。 プログラマなら（もしくはコマンドライン操作に慣れているのなら）、こんな感じでできるかなーと思います。 $ perl -MDigest::HMAC_SHA1 -wle 'print Digest::HMAC_SHA1->new($ARGV[0])->add($ARGV[1])->b64digest' "my-master-password" example.com Mau83v+ml6dRViOZhcRdHM0NXzY $HMAC 関数にマスターパスワードとサービスのドメイン名を食わせて、その出力をサービス専用のパスワードにす
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、パスワードの定期的変更問題についてお話を伺います。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。よろしくお願いします。 高橋: まず、お伺いしたいことですが、パスワードを定期的に変更すべしという根拠には、どのようなものがあるのでしょうか? 徳丸: 大きく分けて2つの理由が挙げられていると思います。一つは、パスワードを定期的に変更すると、パスワードを破って侵入する攻撃の予防になるというもの、すなわち事前の予防策です。もう一つは、パスワードが漏洩した際に、被害を軽減できるというもので、事後の緩和策ということですね。 高橋: もう少し詳しくお願いします。 徳丸: まず、「事前」の方ですが、オンライン攻撃とオフライン攻撃があります。 高橋: オンライン攻撃とはどのようなものでしょうか? 徳丸: オンライン攻撃は、ネット経由でパスワード
Ywcafe.net This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: Top Smart Phones Free Credit Report Dental Plans Work from Home Contact Lens Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy|Do Not Sell or Share My Personal Information
社内のネットワークで使っているパスワードは意外に見破られやすい。本人の名前やニックネームが知れていて、そのようなものをパスワードにしてしまっていることがあるからだろう。そこで、社内のネットワークにログオンする際に、何回かパスワード認証に失敗した場合は、一定時間ログオンできないように設定してみよう。 管理権限を持つユーザーでログオンしたら、スタートメニューから「コントロールパネル」を選びコントロールパネルを開く。「パフォーマンスとメンテナンス」−「管理ツール」−「ローカルセキュリティポリシー」を選択する。 「ローカルセキュリティ設定」ウィンドウが開いたら、左のツリーから、「アカウント ポリシー」−「アカウント ロックアカウントのポリシー」を選び、右ペインに表示される「アカウントのロックアウトのしきい値」をダブルクリックする。 「アカウントのロックアウトのしきい値のプロパティ」ダイアログが開い
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く