セキュリティ

2019年3月、World Wide Web Consortium（W3C）は、WebAuthnがパスワードレスログインの公式Web標準になったことを発表しました。WebAuthnは幅広いアプリケーション（Microsoft Edge、Chrome、Firefox、モバイルアプリなど）でサポートされ、今後数年でさらに普及すると見込まれています。前回のブログ記事では、WebAuthnがもたらすカスタマーエクスペリエンスの向上やセキュリティ態勢の強化について、例を挙げて説明しました。 今回は、WebAuthnが新しい標準として確立される上で重要な役割を担った技術的要素とプロトコルについて説明します。 FIDO2とは FIDO2とは、パスワードを使用せず…

パスワードスプレー攻撃とは、攻撃者が被害者のアカウントにアクセスするために、ユーザーが使用する可能性の高いパスワードを試すことです。ここ数年、サイバーセキュリティで最もホットなトピックの1つとなっています。大々的に報じられた侵害事件が複数件起こり、セキュリティベンダー、メディア、セキュリティコミュニティ全体から大きな注目を集めています。この記事では、パスワードスプレー攻撃が増加している理由と、検知・対策のために組織が実行できる手順について説明します。 パスワードスプレー攻撃とは？ 簡単に言うと、パスワードスプレー攻撃とは、攻撃者が被害者のアカウントにアクセスするために、ユーザーが使用する可能性の高いパスワードやIDを試し、攻撃をするサイバー攻撃の一種です。パスワードスプレー攻撃により…

2019 年 3 月、W3C（World Wide Web Consortium）W3Cは、「WebAuthn」がパスワードレスログインの正式な Web 標準になったと発表しました。「WebAuthn」は、幅広いアプリケーション（Microsoft Edge、Chrome、Firefox、モバイルアプリなど）でサポートされており、この数年の間にさらに普及する Web 認証だと考えられています。 このページでは、現在の認証方法の弱点と「WebAuthn」のメリット、「WebAuthn」の最適な認証フローについて詳しくご説明します。 現在の Web 認証方法の弱点 「WebAuthn」が開発された理由とその多様な機能について説明する前に、まずはユーザー認証の歴史と…

クレデンシャルスタッフィングや同様の攻撃手法の台頭により、ユーザー名とパスワードによる単純な認証では攻撃を抑止できなくなっています。Verizonのデータ侵害調査レポートによると、2018年に55,000件以上セキュリティインシデント、2,200件のデータ侵害が確認されました。これらのインシデントの81%は窃取されたパスワードや弱いパスワードに関連して発生しました。 データ侵害の急増と消費者からの信頼の喪失に伴い、Webアプリケーションのセキュリティ態勢の見直しが企業に迫られています。そのためには、まず安全性のより高い認証方法を探索する必要があります。 この記事では、現在一般的な認証方法の種類について説明し、それらを最善の形で実装するためのヒントを紹介します。…

ADFS（Active Directory Federation Services）は、Microsoft 社が提供するシングルサインオン（Single Sign-On）のソリューションです。Windows Server オペレーティングシステムのコンポーネントとしてユーザーに、 Active Directory（AD）経由の統合 Windows 認証（Integrated Windows Authentication）ではアクセスできないアプリケーションへの認証アクセスを提供します。 ADFS の優れた柔軟性により、企業はユーザーエクスペリエンスを簡易化しながら従業員のアカウントを管理することが可能になります。シングルサインオンを利用することで、従業員は 1…

今日、働く人は作業する場所とデバイスを自由に選択できます。職場は、従来のオフィス環境だけではありません。自宅、コーヒーショップ、顧客先、あるいはこれらのリモートワークの組み合わせです。それに加え、ラップトップ、タブレット、携帯電話、さらには他人の端末など、チームが使用するエンドポイントの種類は多岐にわたり、ITチームのアクセス管理はさらに複雑化します。 仕事の多くが企業のファイアウォールを越えて行われ、IT部門が直接管理できないデバイスで行われることも多い場合、ITチームは個人情報や機密情報への不正アクセスのリスクを低減するためのアプローチを再考する必要があります。この課題を解決するのが、コンテキストに基づいてすべてのアクセス要求のリスクを評価する「コンテキストに応じたアクセス管理」…

パスワードには独特の難しさがあります。セキュリティ要件が常に増加しているのはパスワードの安全を守るためですが、多くの場合それは逆効果になっていました。すべての要件を満たす複雑なパスワードは基本的に覚えにくいため、多くのサイトで使い回されます。ユーザーはパスワードを付箋などに書き付けたり、簡単に見破られるペットの名前、誕生日、電話番号などを使ったりもします。これではデータ保護にまったく役立ちません。幸いなことに企業は、データはハッカーにとってアクセス困難だが正当なユーザーからは簡単にアクセス可能とすべきという考えを理解したうえで、対応をし始めています。この考えを実現する最善の方法が、多要素認証（MFA）です。 →MFAとは？ 多要素認証は…