高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）

2019/07/08 653 users 高木浩光 序章 前置き 方式 7pay

■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンス... 続きを読む

2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理推進機構

2015/07/01 99 users IPA セキュリティセンター 第三者 独立行政法人 答え

「今月の呼びかけ」一覧を見る 第15-10-335号 掲載日：2015年 7月1日 独立行政法人情報処理推進機構 技術本部　セキュリティセンター (PDFはこちら) 「秘密の質問」とは、「質問」とそれに対応する本人しか知らない「答え」を設定し、パスワードリマインダやインターネットバンキングでの本人を確認するための機能です。例えば、パスワードリマインダで利用する場合、あらかじめ「質問」と「答え」を設... 続きを読む

パスワード管理サービスのLastPassでデータ漏えい - CNET Japan

2015/06/16 25 users LastPass 挙動 CEO サーバ データ漏えい

クラウドベースのパスワード管理サイトLastPassでさえ、データ漏えいのリスクを免れることはできなかった。 LastPassの最高経営責任者（CEO）Joe Siegrist氏は米国時間6月15日付のブログ投稿で、ネットワーク上で不審な挙動を発見、調査した結果、アカウントのメールアドレス、パスワードリマインダ、ユーザーごとのサーバのソルト値、および認証ハッシュの情報が漏えいしたことことが分かった... 続きを読む

徳丸浩の雑記帳: 数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ

2014/02/09 346 users 総当たり 徳丸浩 PHP JAL 主流

2014年2月10日月曜日 数字6桁パスワードのハッシュ値の総当たり、PHPなら約0.25秒で終わるよ JALの6桁数字パスワード問題から派生して、JALのサイトがパスワードリマインダとして「現在のパスワード」を教えてくれることから、JALサイトではパスワードを平文保存しているのではないかという疑惑が持ち上がっています。それに対して、「いやいや、従来の主流と思われるソルト付きMD5ハッシュでの保存... 続きを読む

リセット後のパスワードをメール送信するパスワードリセット方式の注意点 | 徳丸浩の日記

2013/05/15 70 users 徳丸浩 パスワード 日記 注意点 コントロール

2013年5月15日水曜日 リセット後のパスワードをメール送信するパスワードリセット方式の注意点 先日のエントリパスワードリマインダが駄目な理由にて、現在のパスワードをメール送信する「パスワードリマインダ」がパスワードリセット方式に比べてリスクがある（リスクのコントロールが弱い）という説明をしました。その際に説明したパスワードリセット方式は、パスワード変更の画面URLをメール送信するというものでし... 続きを読む

パスワードリマインダが駄目な理由 | 徳丸浩の日記

2013/05/10 246 users 徳丸浩 方式 パスワードリセット パスワード URL

2013年5月10日金曜日 パスワードリマインダが駄目な理由 昨日、某著名サイトのパスワードリマインダの方式が変更になっていることに気がつきました。 旧: 現在のパスワードをメールで送信する（パスワードリマインダ） 新: パスワード再設定の画面のURLをメールで送信する（パスワードリセット） 新しい方式（パスワードリセット）の方が優れていますが、それでは何故パスワードリマインダは駄目で、パスワード... 続きを読む

text.ssig33.com - ソーシャルエンジニアリングを利用したクラックへの防衛法

2012/08/07 206 users ソーシャルエンジニアリング クラック 防御力 リセット用

ソーシャルエンジニアリングを利用したクラックへの防衛法 王道と言えるものはあまりないですが、以下二点を気をつければ防御力はそこそこ上がると思います。 1. サイト毎にログインメールアドレスを変える 一般的にパスワードをサイト毎に変更すべしというのは言われています。 そしてパスワードを忘れた際にはパスワードリマインダにサービスに登録しているメールアドレスを記入すると、リセット用のアドレスが該当メール... 続きを読む

パスワードリマインダの話（番外編） - とりあえず9JP

2011/04/03 13 users Twitter 同感 手段 番外編 パスワード

大分古い記事なのだけれど、パスワードの意味がない！！！パスワードリマインダの危険性 Part1 パスワードの意味がない！！！ パスワードリマインダの危険性 Part2 パスワードの意味がない！！！パスワードリマインダの危険性 （まとめ）この辺の記事の絡みで… TwitterでPrimaryTextさんと、「パスワードリマインダ」の話になったんだよね。 PrimaryText 同感。でも、他に手段が... 続きを読む