多要素認証を私物スマホでやっていいのか問題
Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know
GitHub、すべての開発者に二要素認証の要求開始、来週月曜日から1年かけて展開
ただし、いきなりすべての開発者に対して要求するのではなく、来週月曜日（3月13日）から一部の開発者に対して開始し、1年をかけてすべての開発者へ展開していく予定とのことです。 二要素認証の要求は、オープンソースに対して厳密なセキュリティの要求が高まっていることが背景にあります。二要素認証によって、コードを投稿する開発者のなりすましなどを防ぎ、オープンソースに不正なコードが入り込むまないようにする効果が期待されます。 参考：オープンソースの安全性を高める「アルファ-オメガプロジェクト」、OpenSSFが開始。マイクロソフトとGoogleがプロジェクトリーダーに 二要素認証の要求は昨年12月に予告されており、今回それが実行されることになります。 SMS、TOTP、セキュリティキーなどが利用可能に 二要素認証の方式として、SMS、TOTP（認証アプリによるTimebase One Time Pas
2要素認証のショートメールを要求しまくるボットのせいでTwitterは年間80億円も失っていた
by NASA Kennedy 2023年2月15日、Twitterがショートメッセージサービス(SMS)を使った2要素認証設定を同年3月20日以降に有料化する方針を明らかにしました。これまで無料で使えていたものが有料になるということで一部ユーザーに混乱をもたらしましたが、有料化となる理由の1つに「悪質なボットの台頭」があることをTwitterのCEOであるイーロン・マスク氏が伝えました。 Elon Musk Says Twitter Lost $60mn a Year Because 390 Telcos Used Bot Accounts to Pump A2P SMS | Commsrisk https://commsrisk.com/elon-musk-says-twitter-lost-60mn-a-year-because-390-telcos-used-bot-account
Advanced Microsoft Authenticator security features are now generally available!
After announcing the public preview of critical Microsoft Authenticator security features, we’re thrilled today to share that these features are now Generally Available for you to further secure your organization: Admins can now prevent accidental approvals in Microsoft Authenticator with number matching, location context, and application context. Admins can now better manage the Microsoft Authent
Defend your users from MFA fatigue attacks
Protecting users from MFA fatigue attacks With increasing adoption of strong authentication, multi-factor authentication (MFA) fatigue attacks (aka, MFA spamming) have become more prevalent. These attacks rely on the user’s ability to approve a simple voice, SMS or push notification that doesn’t require the user to have context of the session they are authenticating. Anytime users are doing “click
Software security starts with the developer: Securing developer accounts with 2FA
ProductSecuritySoftware security starts with the developer: Securing developer accounts with 2FAGitHub will require all users who contribute code on GitHub.com to enable one or more forms of two-factor authentication (2FA) by the end of 2023. The software supply chain starts with the developer. Developer accounts are frequent targets for social engineering and account takeover, and protecting deve
GitHub、コード提供の全ユーザーに2要素認証（2FA）を義務付けへ 2023年末までに
同氏によると、現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ。傘下のnpmにいたっては、わずか6.44％のみという。 npmは2月、上位100のライブラリのメンテナに2FAを義務付けた。5月末までに上位500に拡大する計画だ。 関連記事 「ロシアをGitHubから切り離して」の意見に公式が返答 「私たちのビジョンは、全ての開発者のホームになること」 「GitHubからロシアを切り離して」──ロシアのウクライナ侵攻を受けて、このような件名の投稿がGitHub上に掲載された。さまざまな物議を醸したが、GitHubは「私たちのビジョンは、どこに住んでいても、全ての開発者のホームになることだ」と返答をした。 GitHub傘下のnpm、上位100のパッケージメンテナは2FA必須に GitHub傘下のパッケージリポジトリnpmは、上位100のライブラリのメンテナは2要素
Apple、2ファクタ認証機能でフィッシング攻撃のSMS自動入力をブロック - iPhone Mania
Appleは、フィッシング攻撃の可能性のあるSMS経由で送信された2ファクタ認証コードの自動入力のブロックを開始し、SMSのメッセージの形式を変更しました。 フィッシングサイトでの自動入力をブロック Appleの2ファクタ認証コードの自動入力機能は、SMSで送られてくる認証コードを入力する手間が省ける便利な機能です。しかし、ユーザーが、攻撃者によって作成された偽サイトへのリンクをクリックすると、認証コードが自動で入力され、ユーザーがフィッシングの被害を受けてしまう可能性がありました。 Appleはこの問題に対処するため、偽サイトにおける自動入力をブロックするより安全な新しいフォーマットで認証コードをSMSで送信するよう企業に呼びかけています。 新しいフォーマットでは、Webサイトと2ファクタ認証コードを送信したドメインが一致した場合にのみ、認証コードの自動入力が行われるよう変更が加えられて
CISA、単一要素認証をサイバーセキュリティの「バッドプラクティス」リストに追加 | スラド セキュリティ
米国土安全保障省 (DHS) の Cybersecurity & Infrastructure Security Agency (CISA) は8月30日、単一要素認証をサイバーセキュリティのバッドプラクティスリストに追加した (ニュースリリース)。 単一要素認証では、パスワードなど単一要素がユーザー名に一致するだけでシステムへのアクセスが可能になる。そのため、単一要素認証は一般的な低セキュリティ認証方法となっている。バッドプラクティスはすべての組織が回避すべきだが、重要インフラや国家の重要機能 (NCF) を担う組織ではとりわけ危険とのこと。 現在、CISA がバッドプラクティスとしているのは以下 3 件。 サポートされないソフトウェアの使用既知/固定/デフォルトパスワードの使用単一要素認証の使用 重要インフラや NCF を担う組織以外でも避けるべきであり、特にインターネットからアクセス
2要素認証によるGitHubアカウントの保護
GitHubの継続的な取り組みとして、GitHubの開発者コミュニティが最新のテクノロジーを活用して、悪意のある攻撃者によるセキュリティ侵害からアカウントを確実に保護できるよう、多額の投資を行ってきました。その一環として、デバイスの検証、不正アクセスを受けたパスワードの使用防止、WebAuthnのサポート、SSH Git操作時のセキュリティキーのサポートなどを実現しました。こうしたセキュリティ機能によって、プラットフォーム上での強力なアカウント認証が可能になっています。そして本日、この分野に関する最新情報を皆さまにお伝えできることを嬉しく思っています。 Git操作に対するパスワードベースの認証を廃止 2020年12月の発表で、2021年8月13日からGit操作の認証時にアカウントパスワードの受け入れを停止すること、およびGitHub.comで認証済みのGit操作を行う場合は必ず、パーソナル
Twitterアカウントのセキュリティ強化について
Twitterにとって、利用者の皆さんの安心と安全を確保することは最優先事項の一つです。また、Twitterが提供するセキュリティツールおよびその利用方法についても、責任を持ってわかりやすく説明していきます。本ブログでは、Twitterアカウントのセキュリティをもっとも効果的に保護する方法として、2要素認証（2FA）に物理的なセキュリティーキーを使用できるようになったことをご紹介します。 2要素認証はどのような形であれ安全性が高まりますが、もっとも効果的なのが物理的なセキュリティキーを使う方法です。セキュリティキーはまさに家の鍵のような役割を果たす小さなデバイスです。家のドアを開けるのに物理的な鍵がいるように、自分のアカウントにアクセスするにはセキュリティキーが必要になる仕組みです。 セキュリティキーには、フィッシングサイトでキーが使われても速やかに共有された情報を参照し、悪意ある第三者が
Appleの発表したPasskeys in iCloud KeychainはWebAuthnをどう変えるのか - r-weblife
おはようございます、ritouです。 先日のWWDC2021の "Move beyond passwords" というセッションにて発表された "Passkeys in iCloud Keychain" という仕組みについてどんなものかを紹介します。 developer.apple.com WebAuthn 数年前からパスワード認証を置き換えると言われ続けている認証技術の一つである "WebAuthn" (やFIDO)という技術をご存知でしょうか。(ご存知ない方は "WebAuthn builderscon" "WebAuthn droidkaigi" などで検索してみましょう) 今回の話をするにあたって、WebAuthnがどんなものかをある程度理解しておく必要があります。 公開鍵暗号の仕組みを利用 パスワード認証のようにユーザーとログイン対象のWebアプリケーションがパスワードを共有する
二段階認証｜ニンテンドーアカウント サポート｜Nintendo
ニンテンドーアカウントに「二段階認証」を設定すると、ログイン時に「メールアドレス（またはログインID）とパスワード」による認証に加え、一定時間だけ有効な「認証コード」の入力が必要になり、より安全にログインすることができます。 認証コードは毎回変化し再利用できないため、第三者による不正ログインの防止に有効です。
SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
君達の資格情報は全ていただいた！
本記事は、 2019 年 10 月 3 日に Azure Active Directory Identity Blog に公開された記事 (All your creds are belong to us!) を翻訳したものです。原文は こちら より参照ください。 先日ですが、お客様がアカウント乗っ取り (ATO) の標的となり、我々のチームが支援したということがありました。SMS と Authenticator アプリを使用して 2 段階認証を必須にしてアカウントを保護していたにも関わらず、攻撃者はアカウントに侵入し、パスワードが変更されていました。 MFA は破られてしまったのです。 前回のブログでは、パスワードで攻撃は防げない こと、多要素認証 (MFA) であれば攻撃を防げることを解説しました。ただ、何人かの方が「MFA は万能薬ではない」とコメントくださりました。標的型攻撃など攻撃
超循環評価器 on Twitter: "Money Forwardから「二段階認証解除しといたわ」ってメールが届いて戦慄してる。普通そんなことやる??"
Money Forwardから「二段階認証解除しといたわ」ってメールが届いて戦慄してる。普通そんなことやる??
グーグルの認証アプリ「Authenticator」、ワンタイムパスワードが盗まれるおそれ
サイバーセキュリティ企業のThreatFabricは2月、「Google Authenticator」アプリで生成された2要素認証（2FA）コードを盗み出す機能を備える「Android」マルウェアを初めて発見した。 このマルウェアは以前に発見されていた「Cerberus」の亜種。これまで2FAのワンタイムパスワード（OTP）を窃取する機能は備えていなかった。 Cerberusはバンキング型トロイの木馬とリモートアクセス型トロイの木馬（RAT）のハイブリッドだ。Androidデバイスが感染すると、ハッカーはマルウェアのバンキング型トロイの木馬機能を利用して、モバイルバンキングアプリの認証情報を盗み出す。 Cerberusは、アカウントが2FA（つまりGoogle Authenticatorアプリ）で保護されている場合に、攻撃者がRAT機能を通じてユーザーのデバイスに手動で接続できるよう設計さ
人はなぜ「フィッシング対策のための2段階認証」「2段階認証を破る新手口！」と雑に言ってしまうのか - r-weblife
おはようございます。ritouです。 最近、こんな記事を見かけることが多くありませんか? フィッシング被害が増加! 2段階認証を導入しているサービス、多いよな!! それでも突破される!!!新手口とは!? と言う流れの記事です。 それらを見かけるたびに、シャーシャーと別方向に威嚇をしてきたのがこちらの猫となります。 狙ったってなんだよ狙ったって。 せめて対応したにしろよ。 悪者だってコストかけてんだよ。 そしてFIDOアライアンスなにしてんの？ えっホント？「2段階認証」を狙った詐欺サイトに注意喚起 - NAVER まとめ https://t.co/oQT0epCJ3X— 👹秋田の猫🐱 (@ritou) 2019年11月6日 FIDOアライアンス氏、イベントもいいけど、こういうときになんとかならんのですか 進化するフィッシング攻撃。従来のフィッシング攻撃対策の常識がむしろ被害を拡大させる
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
C向けサービスで 使われている認証方式と安全な使い方
Safari 15 Beta Release Notes | Apple Developer Documentation