認証技術

→セキュリティ関連

→Web技術関連

→クラウドコンピューティング

→※BASIC認証、フォーム認証については Webサーバ も参照

サブトピック†

• SSO関連　←SAML,IDaaSはこちら

• OIDC/OAuth関連 ←JWTはこちら

認証一般†

• 3Dセキュア入門 -B/43の3Dセキュア開発・運用の裏側- - inSmartBank 2022.11

• リスクベース認証とは？仕組みやメリット、注意点について徹底解説｜サイバーセキュリティ.com 2020

• NPO日本ネットワークセキュリティ協会 電子署名保証レベル要約版　報告書・公開資料 2022.7

• Koh: The Token Stealer. Years ago I was chatting with a few… | by Will Schroeder | Jul, 2022 | Posts By SpecterOps Team Members 2022.7

• 話題の“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃について図でまとめてみた - Qiita 2022.7

• Introduction | Vault by HashiCorp 2022.7

• 認証アーキテクチャの更新について検討してみた - RAKUS Developers Blog | ラクス エンジニアブログ 2022.4

• 【簡単コピペ】ログインシステムをPHPで作る | HTML・CSS・jQuery・PHPを徹底解説！【Web担当者の作り方】 2017
• PHPによる簡単なログイン認証いろいろ - Qiita 2016

• 認証プラットフォーム Auth0 とは？ - Qiita 2017

• ユーザログイン（ユーザ認証）の歴史 - Qiita 2019

• NTLM認証（NT LAN Manager authentication）とは - IT用語辞典 e-Words 2021.12
  • NTLM認証とは、Windowsネットワークで標準的に用いられた利用者認証方式の一つ。1993年に従来のLM認証（LAN Manager認証）に代えてWindows NT 3.1で導入されたもので、Windows 2000以降はKerberos（ケルベロス）認証が標準となったが、Kerberosが使えない状況などでその後も広く利用され続けた。

• 証明書
  • マイクロソフト系技術情報 Wiki

• 2020年版 チーム内勉強会資料その1 : JSON Web Token 2020.6
  • JSON Web Signatureという署名をつける仕組みを利用することで改ざん検知が可能になります。JSON Web Encryptionという暗号化を施すことにより、センシティブなデータのやりとりが可能になります。 この2つのうち、よく使われているのを見かけるのがJSON Web Signatureの方

• 認証に関して調べた事を書き連ねてみる。 2021.9

用語†

• 認証=Authentication … ユーザが誰であるかを確認すること

• 認可(=承認=許可)=Authorization … ユーザが何をできるかの権限を与えること

• クレデンシャル情報 … 認証に用いる情報のこと

• クレデンシャル情報の種類

  	知識情報（知識要素）	所持情報（所持要素）	生体情報（生体要素）
  概要	ユーザーが知っている情報	ユーザーが持っている物の情報	ユーザー自身の生得的、生物的な情報
  例	パスワード、秘密の質問、Androidのロックパターン	PC、スマホ、USBセキュリティキー	指紋、網膜、声紋、歩行パターン、タイピングの癖

• MFA（多要素認証）はこれらの情報のうち複数を用いて認証すること。多段認証の一種。
• 多段認証は認証に用いる要素を限定せず複数の段階を経て認証すること

パスワードレス認証/FIDO†

• パスワードレス認証 … パスワード以外の情報を用いた認証。多くの場合生体認証を指すことが多い

パスキー†

• ログイン画面を Passkeyに対応してみた - Fenrir Engineers 2023.2

• パスキーはユーザー認証を どう変えるのか？その特徴と導入における課題 @ devsumi 2023 9-C-1 - Speaker Deck 2023.2

• パスキーとは？ 調べてみんなが使えるように社内勉強会をしました - Fenrir Engineers 2023.2

• 「パスキー」って一体何だ？　パスワード不要の世界がやってくる（1/4 ページ） - ITmedia NEWS 2023.1
  • 生体認証をすればそのままログインが完了する」のがパスキーの世界だ。そこには、IDとして使われるメールアドレスと、生体認証を行う自分のデバイスがあれば、パスワードを覚えておく必要はない。基本的にはSMSで飛んでくる2要素認証も不要だ。
  • パスキーが一般的になると、ユーザー登録時にパスワードを設定する必要もなく、一度登録したらパスワードを覚える必要もない。ただ生体認証をするだけでログインできる世界がやってくる。
  • パスキーは、パスワードを使わない認証方式を検討する業界団体「FIDO Alliance」が仕様を策定した技術。
  • Web技術の標準化団体であるW3Cも協力していて、端的にいえば「FIDO2」「WebAuthn」「パスキー」という3つの技術を組み合わせたものだ。
  • FIDO2は公開鍵暗号方式を用いた生体認証を使うパスワードレスの認証方式で、それをWebで利用するための仕様がWebAuthn、そしてその資格認証情報をクラウド経由で同期する仕組みがパスキー（狭義）だ。
  • この仕組み全体を「パスキー」（広義）として表現するのは、少しおおざっぱな表現ともいえる

• パスキーとは何か、そしてその課題 2022.12

FIDO†

• パスワードレス認証とFIDO2についてまとめてみた | DevelopersIO 2023.3

• FIDO認証の仕組みを調べてみた - TECHSCORE BLOG 2023.2

• パスワードのいらない世界 -あなたのスマホをセキュリティキーに- | IIJ Engineers Blog 2022.10
  • FIDO2

パスワード認証†

• AWS LambdaでワンタイムパスワードのAuthenticatorを作ってみる - NRIネットコムBlog 2022.11

• 8 Best Password Management Software & Tools for 2022 | eSP 2022.9

     1Password
     Bitwarden
     Dashlane
     Keeper Password Manager & Digital Vault
     LastPass
     NordPass
     RoboForm
     Sticky Password

• 1Psswordの共有機能がそこそこ便利だった 2022.7

• 「パスワードの定期変更、必要ですか？」専門家に聞いてみた｜NHK 2022.5
  • 定期変更は退職者アカウントの無効化などで効果あり ←これは複数人でパスワードを共有しているときの話だろう。個人管理のパスワードはどうなのか？

• WindowsのパスワードはGPUを25個使えば約6分から6時間で突破が可能、毎秒3500億通りもの総当たりが可能な方法とは？ 2012.12.11

• FireWire経由でWindowsログインパスワードを迂回するツール 2008.3.5

• 危ないユーザ名の特徴

• Windowsアカウントのパスワードを数分で解析するOphcrack 2007.8.16

• ひとつのルールで100のパスワード

• The Art & Science of Storing Passwords

TOTP†

• Javaコードで理解するTOTPの仕組み | 豆蔵デベロッパーサイト 2023.3
• いまさらTOTP - Qiita 2020
• rfc6238
  • TOTP(Time based One Time Password Protocol)
  • Google Authenticatorなどで対応している

パスワードの脆弱性†

• パスワードの定期的な変更は本当に不要なのか - 情シス事情を知る | NECネクサソリューションズ 2018
• パスワードの定期変更という“不自然なルール” 2011.2.4
• 続パスワードの定期変更は神話なのか 2010.12.9

• さまざまな機器のデフォルトパスワード一覧 2006.12.14

Basic認証／ダイジェスト認証†

• Amazon Linux - ApacheにBASIC認証をかけてみる 2018
• Apache | Basic認証を使ったアクセス制限を行う
• ApacheでBASIC認証（パスワード認証）を設定する 2020
• HTTPSでBasic認証の安全性が上がる？特徴や注意点を知って設定しよう 2021.7

クライアント証明書認証†

• クライアント証明書とは？

• オレオレ認証局でクライアント認証 〜 ウェブの Basic 認証をリプレース 2012

RADIUS†

• 限界迎えるRADIUSプロトコル 2008.9.6
  • RADIUSに限界が見えてきました。ブロードバンド化の進展やネットワーク利用者の急増，アクセス手段の多様化などが原因です。例えば，RADIUSは規格化当時の低いスペックのコンピュータを前提としていたために，パケットに含められる情報量に制限があります。また，音声や映像などのサービスで必須となってきた，確保する帯域量を通知する機能もありません。さらに，セキュリティは今ほど問題になっていなかったために，RADIUSの通信を暗号化するための規定がありません。
  • こうした理由から，RADIUSの欠点を補いつつRADIUSの良さを残した仕組みが必要になってきました。その結果生まれたのが「Diameter」というプロトコルです。2003年にIETFで「RFC 3588」（PROPOSED STANDARD）として登録されました。
  • Diameterが技術者の間で注目されているのは，NTTが2008年３月３１日から開始した次世代ネットワーク「フレッツ光ネクスト」の中核技術であるIMS（IP Multimedia Subsystem）や将来の携帯電話/無線通信サービスでの利用が策定されているからです。

ライセンス認証†

• CognitoのOAuth2.0フロー中にある「ホストされた UI」からパスワード変更をして欲しくないので、OAuth2.0を自作する - MOTEX TECH BLOG 2022.4
  • AWSを使ってウェブアプリやサービスを作成した場合、
  • その作成したアプリやサービスの認証/認可に Amazon Cognito を使用することができます。
  • そうすると、認証/認可を1から全部作る必要がなくなります。
  • ※ 認証/認可するのはAWSアカウントではなく、自作サービスのアカウントです。

• c# - 機能 - ライセンス認証作り方 - 入門サンプル

Active Directory†

• Active Directory ドメインコントローラ移行前の確認事項 - サーバーワークスエンジニアブログ 2023.2

• AWS Directory Serviceとは？特徴やディレクトリタイプについてご紹介 | FEnet コラム for AWS 2022

• ドメイン参加していないコンピューターがドメインユーザーの認証情報でファイル共有にアクセスできるか確認したみた | DevelopersIO 2022.11

• デバイス認証でAzure ADに条件付きアクセスする - APC 技術ブログ 2022.2
  • 「ポータル サイト」アプリでWindowsをAzure ADとMicrosoft IntuneにBYOD登録する - APC 技術ブログ 2022.2

• ADとは別セグメントのPCのドメイン参加について 2020

• 外部からActive Directoryドメインへの参加 2020

• Hogeドメインに参加できない場合
  • ドメインコントローラが見つからなくて参加できない、というようなエラーになる場合、ドメイン名にHogeではなくHoge.localと入れるとうまく行ったりする…

• Tips:Active Directory用のDNSレコードを強制的に作成する方法

• (Almost) Everything In Active Directory via C#

• 改訂 管理者のためのActive Directory入門 2006

• Active Directoryで出てくる用語 (DN, OU, DC, CN など) - 技術メモ 2018

• whoamiコマンド
  • WHOAMI /FQDN, /UPN, /USER などでAD関連の情報が見られる

AWS Directory Service†

• AWS Directory Serviceで「Managed Microsoft AD」を構築した際の「管理用サーバー」の設定方法 | DevelopersIO 2020
• AWS再入門ブログリレー2022 AWS Directory Service編 | DevelopersIO 2022.3
• AWS Managed Microsoft ADの認証情報を使ってAWSマネジメントコンソールにログインしてみた | DevelopersIO 2022.8
• 【初心者】AWS Managed Microsoft AD を試してみる　（AWSマネージメントコンソールでのログイン認証用途） - Qiita 2021.11

• EC2 インスタンス上に構築された Windows Active Directory に Windows インスタンスを参加してみた。 | DevelopersIO 2022.8

最新の50件