![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
#author("2025-10-30T21:58:30+09:00","default:irrp","irrp") #author("2025-11-13T21:09:29+09:00","default:irrp","irrp") →セキュリティ関連 →[[Web技術関連]] →クラウドコンピューティング →※BASIC認証、フォーム認証については Webサーバ も参照 →メールの認証についてはEメール(SMTP/POPなど)へ #contents *サブトピック [#e011e766] -パスワード認証 -パスワードレス認証 -[[SSO関連]] ←SAML,IDaaS(Okta)はこちら -OIDC/OAuth関連 ←JWTはこちら -Amazon Cognito関連 -Active Directory関連 -決済システム *認証一般 [#ce477cde] -[[AI エージェント時代のリスク対策 : 認証・認可をあらためて学ぶ>https://zenn.dev/aws_japan/articles/f1a0549c8e533a]] 2025.10 -[[MFA 必須環境下で Amazon Bedrock を Cline (VSCode) から利用しようとしたときの奮闘録 - APC 技術ブログ>https://techblog.ap-com.co.jp/entry/2025/10/30/090000]] 2025.10 -[[NIST Special Publication NIST SP 800-63B-4 Digital Identity Guidlines>https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.pdf]] 2025.10 --パスワードについて「他の構成要件（e.g., 異なる種類の文字を混在させることなど）は課さないものとする（Other composition requirements for passwords SHALL NOT be imposed）」と明記。 --付録A.3でも、構成ルール（composition rules）を使ってもユーザーは予測しやすい方法で対応してしまい「効果が薄い」こと、また「複雑なパスワードを強制するとユーザビリティや安全性が低下するので推奨しない」ことが記載されています。 -[[一分でわかるウェブアプリケーションのユーザー管理のこれから #Web - Qiita>https://qiita.com/sndyuk/items/1441b6d5f519e19a2fbb]] 2025.5 -[[SMSを使った二要素認証、Googleが廃止へ--なぜ？ 「実は安全ではない」が業界の常識 - CNET Japan>https://japan.cnet.com/article/35229750/]] 2025.2 -[[【Java】多要素認証実装方法の紹介? - APC 技術ブログ>https://techblog.ap-com.co.jp/entry/2024/12/06/161814]] 2024.12 -[[【Azure】スマホを機種変更した際のMicrosoft Authenticatorの再設定手順>https://zenn.dev/headwaters/articles/7560a6e5443044]] 2024.9 -[[2要素認証の突破はもはや当たり前 “ここまでやるか”と思わせる攻撃者の最新手口（ITmedia エンタープライズ） - Yahoo!ニュース>https://news.yahoo.co.jp/articles/1cee0e2f9e347caf713f1840d3c8a70e782d8296]] 2024.9 -[[IdM実験室: 滅びてほしい認証系の実装の話>https://idmlab.eidentity.jp/2024/04/blog-post_25.html]] 2024.4 -[[AzureのMFAパターンが複雑なため整理してみた - APC 技術ブログ>https://techblog.ap-com.co.jp/entry/2024/03/09/111656]] 2024.3 -[[ECサイトにおけるreCAPTCHA v3認証導入の実践【ボット被害とおさらばしたい方へ】>https://techblog.asia-quest.jp/202409/practical-application-of-recaptcha-v3-authentication-in-ec-sites-for-those-who-want-to-get-rid-of-bot-damage]] 2024.9 -[[reCAPTCHA Enterpriseのスコアベースのキーの保護を使ってみた>https://zenn.dev/cloud_ace/articles/7a44084abc21a4]] 2023.11 -[[認証に電話網を使うのはそろそろやめよう | Japan Azure Identity Support Blog>https://jpazureid.github.io/blog/azure-active-directory/it-s-time-to-hang-up-on-phone-transports-for-authentication/]] 2023.11 -[[ASCII.jp：パスキー対応とAI活用でどう変わるのか？― Oktaにきく認証の将来>https://ascii.jp/elem/000/004/167/4167224]] 2023.11 -[[「ウェブの世界のDRM」と悪名高い「Web Environment Integrity」はなぜ・どのように危険なのかをVivaldiが語る、Apple製品には同様の仕組みがすでに導入済み - GIGAZINE>https://gigazine.net/news/20230728-web-environment-integrity-vivaldi/]] 2023.7 --WEI -[[NLAが有効化されたWindowsのEC2インスタンスで泣きそうになった話 - DENET 技術ブログ>https://blog.denet.co.jp/disable-nla-on-windowsec2-by-aws-systems-manager/]] 2023.7 -[[クレジットカードのセキュリティ技術「EMV 3-Dセキュア」「トークナイゼーション」とは? Visaが解説 | マイナビニュース>https://news.mynavi.jp/article/20230410-2649337/]] 203.4 -[[3Dセキュア入門 -B/43の3Dセキュア開発・運用の裏側- - inSmartBank>https://blog.smartbank.co.jp/entry/2022/11/11/3d-secure]] 2022.11 -[[リスクベース認証とは？仕組みやメリット、注意点について徹底解説｜サイバーセキュリティ.com>https://cybersecurity-jp.com/column/35310]] 2020 -[[NPO日本ネットワークセキュリティ協会 電子署名保証レベル要約版 報告書・公開資料>https://www.jnsa.org/result/e-signature/2022/index.html]] 2022.7 -[[Koh: The Token Stealer. Years ago I was chatting with a few… | by Will Schroeder | Jul, 2022 | Posts By SpecterOps Team Members>https://posts.specterops.io/koh-the-token-stealer-41ca07a40ed6]] 2022.7 -[[話題の“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃について図でまとめてみた - Qiita>https://qiita.com/ItsukiN32/items/eb056a52233dc3b9895c]] 2022.7 -[[Introduction | Vault by HashiCorp>https://www.vaultproject.io/docs/what-is-vault]] 2022.7 -[[認証アーキテクチャの更新について検討してみた - RAKUS Developers Blog | ラクス エンジニアブログ>https://tech-blog.rakus.co.jp/entry/20220408/architect#%E8%AA%8D%E8%A8%BC%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BCOP%E3%83%9F%E3%83%89%E3%83%AB%E3%82%A6%E3%82%A7%E3%82%A2]] 2022.4 -[[【簡単コピペ】ログインシステムをPHPで作る | HTML・CSS・jQuery・PHPを徹底解説！【Web担当者の作り方】>https://www.web-officer.com/php/make-login-system-with-php.php]] 2017 -[[PHPによる簡単なログイン認証いろいろ - Qiita>https://qiita.com/mpyw/items/bb8305ba196f5105be15]] 2016 -[[ユーザログイン（ユーザ認証）の歴史 - Qiita>https://qiita.com/YukiMiyatake/items/4c2162f85fe3c9c203a7]] 2019 -[[証明書>https://techinfoofmicrosofttech.osscons.jp/index.php?%E8%A8%BC%E6%98%8E%E6%9B%B8]] --マイクロソフト系技術情報 Wiki -[[2020年版 チーム内勉強会資料その1 : JSON Web Token>https://ritou.hatenablog.com/entry/2020/06/08/050000]] 2020.6 --JSON Web Signatureという署名をつける仕組みを利用することで改ざん検知が可能になります。JSON Web Encryptionという暗号化を施すことにより、センシティブなデータのやりとりが可能になります。 この2つのうち、よく使われているのを見かけるのがJSON Web Signatureの方 -[[認証に関して調べた事を書き連ねてみる。>https://qiita.com/etnk/items/1c5579db53ddecf3a74d]] 2021.9 *認可一般 [#b4ba84fa] -[[RBACとABACによるアクセス制御を理解する - サーバーワークスエンジニアブログ>https://blog.serverworks.co.jp//understanding-rbac-abac]] 2025.5 -[[So Long RBAC, and Thanks for All the Roles>https://www.permit.io/blog/so-long-rbac-and-thanks-for-all-the-roles?utm_source=feedly&utm_medium=cpc&utm_campaign=march&utm_content=rbac_goodbye]] 2024.5 -[[Spring Security を使って独自の認可処理を実装した話 - Uzabase for Engineers>https://tech.uzabase.com/entry/2024/04/18/135142]] 2024.4 *マイナンバーカード [#t4ca14ad] →IT業界の待遇／福利厚生 -[[デジタル庁発足から4年、システム更改を控えるマイナンバーカードのこれまでとこれから - ケータイ Watch>https://k-tai.watch.impress.co.jp/docs/news/2062802.html]] 2025.11 -[[マイナンバーカードがiPhoneに入るので中身を見てみる #Security - Qiita>https://qiita.com/todotodo/items/75179d3bec8d9572fc98]] 2025.10 -[[第32回：マイナンバーカードを実装した故人のiPhone、スムーズに解約する方法は？ 確認してみた【天国へのプロトコル】 - INTERNET Watch>https://internet.watch.impress.co.jp/docs/column/tengoku/2033072.html]] 2025.7 -[[「iPhoneでマイナンバー」11の疑問に答えます | マイナビニュース>https://news.mynavi.jp/article/20250624-3362370/]] 2025.6 -[[iPhoneへの「マイナンバーカード」搭載で、日本は再び世界の「デジタルライフスタイルのリーダー」に（1/3 ページ） - ITmedia PC USER>https://www.itmedia.co.jp/pcuser/articles/2506/24/news096.html]] 2025.6 -[[iPhoneがマイナカードになる機能、6月24日に提供開始 - PC Watch>https://pc.watch.impress.co.jp/docs/news/2020431.html]] 2025.6 -[[iPhoneの「マイナンバーカード機能搭載」でできること／できないこと セキュリティは大丈夫？（1/2 ページ） - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2506/06/news085.html]] 2025.6 -[[マイナンバーカードを更新しないことに決めた>https://anond.hatelabo.jp/20250510235035]] 2025.5 -[[スマホで「マイナンバーカードの電子証明書」を使うメリットを解説 iPhoneへの対応は？（1/2 ページ） - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2505/01/news108.html]] 2025.5 -[[マイナ免許証、スマホだけを持って運転は「不携帯」で取締対象に - CNET Japan>https://japan.cnet.com/article/35230914/]] 2025.3 -[[「マイナ免許証」読み取りアプリが配信開始 - PC Watch>https://pc.watch.impress.co.jp/docs/news/1670320.html]] 2025.3 -[[3月24日スタートの「マイナ免許証」、各社カーシェアサービスで利用できず 「従来の免許証を発行して」（1/2 ページ） - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2503/05/news137.html]] 2025.3 -[[運転免許証120年の歴史とマイナ免許証が誕生するまで - Impress Watch>https://www.watch.impress.co.jp/docs/topic/1661908.html]] 2025.3 -[[3月24日からスタートする「マイナ免許証」にしない方がいい人は？ メリットとデメリットをチェック（1/3 ページ） - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2502/07/news155.html]] 2025.2 -[[ICカードリーダライタに関するご質問 | 公的個人認証サービス ポータルサイト>https://www.jpki.go.jp/faq/iccardrw.html]] 2025.1 -[[2025年は「マイナ有効期限問題」の始まり 20代の2割「更新しない」 - Impress Watch>https://www.watch.impress.co.jp/docs/news/1653216.html]] 2025.1 -[[隠れたマイナカードトラブル 最新機種でスマホ用電子証明書が使えない問題 - Impress Watch>https://www.watch.impress.co.jp/docs/topic/1648819.html]] 2024.12 -[[国民の声を無視した｢マイナ保険証｣で露呈…政府の｢狂気の沙汰｣を後押しする"大企業利権"の存在 献金企業と国民の命と健康､どちらが大事なのか | PRESIDENT Online（プレジデントオンライン）>https://president.jp/articles/-/89241]] 2024.12 -[[最悪｢廃業｣に追い込まれる病院が続出する…｢マイナ保険証のオンライン資格確認｣義務化で起きる恐ろしいこと なぜ1415人もの医師が立ち上がったのか | PRESIDENT Online（プレジデントオンライン）>https://president.jp/articles/-/89184]] 2024.12 -[[マイナンバーカードの「特急発行・交付」がスタート 手続き方法や注意点を解説 - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2412/03/news169.html]] 2024.12 -[[マイナ保険証読み込みエラーに備えて資格情報を取得してみた | DevelopersIO>https://dev.classmethod.jp/articles/20241129-tried-to-obtain-qualification-information-for-medical-purposes/]] 2024.11 -[[「e-Tax」が簡単に 〜令和7年1月からはスマホの生体認証で申告書を作成・送信 - 窓の杜>https://forest.watch.impress.co.jp/docs/news/1634258.html]] 2024.10 -[[健康保険証の発行は12月終了､受診はどうなる？ マイナ保険証へ一本化予定だったが複数の方法が選べる | 家計・節約 | 東洋経済オンライン>https://toyokeizai.net/articles/-/834257]] 2024.10 -[[マイナンバーだけじゃない！デジタルIDの基礎と重要性 - シー・エス・エス イノベーションラボ（ブログ）>https://blog.css-net.co.jp/entry/2024/10/17/155701]] 2024.10 -[[河野太郎氏は本気で｢マイナ保険証｣を整備する気があるのか…迫りくる｢地獄の冬｣に病院受付がため息をつくワケ ｢インフル流行+マイナ保険証｣のWパンチが襲う | PRESIDENT Online（プレジデントオンライン）>https://president.jp/articles/-/86426]] 2024.9 -[[デジタル庁｢本人認証アプリ｣が示す着実な進化 スマホ認証アプリで何がどう便利になるのか | インターネット | 東洋経済オンライン>https://toyokeizai.net/articles/-/771535]] 2024.7 -[[デジタル庁が発表した「デジタル認証アプリ」でできること ざっくり整理 #OAuth - Qiita>https://qiita.com/Yukiho-Yoshieda/items/fed4a3aea5f207f00cfe]] 2024.6 -[[デジタル庁「認証アプリ」が目指す「オンライン本人確認の基盤」 - Impress Watch>https://www.watch.impress.co.jp/docs/topic/1601776.html]] 2024.6 -[[デジタル認証アプリ | デジタル庁 ウェブサービス・アプリケーション>https://services.digital.go.jp/auth-and-sign/]] 2024.6 --マイナンバー認証API --[[行政機関等・民間事業者向け実装ガイドライン | デジタル認証アプリ | ドキュメント | デジタル庁 開発者サイト>https://developers.digital.go.jp/documents/auth-and-sign/implement-guideline/]] 2024.6 -[[iPhoneへの「マイナンバーカード」にまつわる誤解を解く プラスチックカードより安全だが課題もある（1/4 ページ） - ITmedia PC USER>https://www.itmedia.co.jp/pcuser/articles/2405/31/news154.html]] 2024.5 -[[「iPhoneでマイナカード」ついに正式発表、対応機種やサポートされる機能はどうなる？ - ケータイ Watch>https://k-tai.watch.impress.co.jp/docs/news/1596011.html]] 2024.5 -[[iPhoneにマイナカード搭載可能に 2025年春の後半から Apple正式発表 - ITmedia NEWS>https://www.itmedia.co.jp/news/articles/2405/30/news114.html]] 2024.5 -[[マイナカード、暗証番号を使わない「かざし利用」が可能に - PC Watch>https://pc.watch.impress.co.jp/docs/news/1594848.html]] 2024.5 -[[「もうやめない？」マイナ保険証、利用率6.56％の惨状に批判殺到 …あの手この手で普及目指すも “笛吹けど踊らず” | Smart FLASH/スマフラ[光文社週刊誌]>https://smart-flash.jp/sociopolitics/286034/1/1/]] 2024.5 -[[マイナンバーの「肥大化」が止まらない！みずほ銀行どころではない巨大システムへの不安 | 元文春編集長が「今」語りたいこと | ダイヤモンド・オンライン>https://diamond.jp/articles/-/343304]] 2024.5 -[[マイナンバーカード偽造で「ID／パスワードが漏えいする……」は誤認 今一度おさらいしたい仕組み - ITmedia Mobile>https://www.itmedia.co.jp/mobile/articles/2312/06/news078.html]] 2023.12 -[[マイナンバーカードの技術仕様 | 晴耕雨読>https://tex2e.github.io/blog/crypto/my-number-card]] 2022.10 *CORS [#c8d64315] -[[初心者が知るべき CORS の基本 - PLAY DEVELOPERS BLOG>https://developers.play.jp/entry/2024/05/31/174429]] 2024.5 -[[スキマ時間で理解するCORS - Qiita>https://qiita.com/yu-saito-ceres/items/fbbbcce204d759a3846b]] 2023.10 -[[CORSについて簡単に説明する | SIOS Tech. Lab>https://tech-lab.sios.jp/archives/37299]] 2023.10 -[[オリジン間リソース共有 (CORS)>https://developer.mozilla.org/ja/docs/Web/HTTP/CORS]] 2021.7 * 用語 [#od5738ce] -認証=Authentication … ユーザが誰であるかを確認すること -認可(=承認=許可)=Authorization … ユーザが何をできるかの権限を与えること --[[認可のアーキテクチャに関する考察（Authorization Academy IIを読んで）>https://zenn.dev/she_techblog/articles/6eff1f28d107be]] 2023.8 -クレデンシャル情報 … 認証に用いる情報のこと --クレデンシャル情報の種類 | |知識情報（知識要素） |所持情報（所持要素）|生体情報（生体要素）|h |概要 |ユーザーが知っている情報|ユーザーが持っている物の情報|ユーザー自身の生得的、生物的な情報| |例 |パスワード、秘密の質問、Androidのロックパターン |PC、スマホ、USBセキュリティキー |指紋、網膜、声紋、歩行パターン、タイピングの癖| --MFA（多要素認証）はこれらの情報のうち複数を用いて認証すること。多段認証の一種。 --多段認証は認証に用いる要素を限定せず複数の段階を経て認証すること * Basic認証／ダイジェスト認証 [#w8bb1b33] -[[Spring BootでBasic認証の設定をする方法 - エキサイト TechBlog.>https://tech.excite.co.jp/entry/2025/02/14/173907]] 2025.2 -[[Amazon Linux - ApacheにBASIC認証をかけてみる>https://qiita.com/leomaro7/items/15c7be2c3a4f2ac29e4b]] 2018 -[[Apache | Basic認証を使ったアクセス制限を行う>https://www.javadrive.jp/apache/allow/index3.html]] -[[ApacheでBASIC認証（パスワード認証）を設定する >https://pointsandlines.jp/server-infra/basic-authorize]] 2020 -[[HTTPSでBasic認証の安全性が上がる？特徴や注意点を知って設定しよう>https://securitynews.so-net.ne.jp/topics/sec_20137.html]] 2021.7 * クライアント証明書認証 [#cd0cd82f] -[[クライアント証明書とは？>https://jp.globalsign.com/lp/epki/]] -[[オレオレ認証局でクライアント認証 〜 ウェブの Basic 認証をリプレース>https://www.webtech.co.jp/blog/optpix_labs/server/1780/]] 2012 *NTLM [#b0d71f94] -[[Microsoft Entra アプリケーション プロキシ × Windows 統合認証環境での NTLM 廃止影響と対策 / 開発者向けブログ・イベント | GMO Developers>https://developers.gmo.jp/technology/70981/]] 2025.10 -[[「Windows 11」でNTLM認証が将来的に廃止 〜IT管理者は今から備えを - 窓の杜>https://forest.watch.impress.co.jp/docs/news/1538467.html]] 2023.10 -[[NTLM認証（NT LAN Manager authentication）とは - IT用語辞典 e-Words>https://e-words.jp/w/NTLM%E8%AA%8D%E8%A8%BC.html]] 2021.12 --NTLM認証とは、Windowsネットワークで標準的に用いられた利用者認証方式の一つ。1993年に従来のLM認証（LAN Manager認証）に代えてWindows NT 3.1で導入されたもので、Windows 2000以降はKerberos（ケルベロス）認証が標準となったが、Kerberosが使えない状況などでその後も広く利用され続けた。 *RADIUS [#dbce7a9f] -[[限界迎えるRADIUSプロトコル >http://itpro.nikkeibp.co.jp/article/COLUMN/20080826/313460/]] 2008.9.6 --RADIUSに限界が見えてきました。ブロードバンド化の進展やネットワーク利用者の急増，アクセス手段の多様化などが原因です。例えば，RADIUSは規格化当時の低いスペックのコンピュータを前提としていたために，パケットに含められる情報量に制限があります。また，音声や映像などのサービスで必須となってきた，確保する帯域量を通知する機能もありません。さらに，セキュリティは今ほど問題になっていなかったために，RADIUSの通信を暗号化するための規定がありません。 --こうした理由から，RADIUSの欠点を補いつつRADIUSの良さを残した仕組みが必要になってきました。その結果生まれたのが「Diameter」というプロトコルです。2003年にIETFで「RFC 3588」（PROPOSED STANDARD）として登録されました。 --Diameterが技術者の間で注目されているのは，NTTが2008年３月３１日から開始した次世代ネットワーク「フレッツ光ネクスト」の中核技術であるIMS（IP Multimedia Subsystem）や将来の携帯電話/無線通信サービスでの利用が策定されているからです。 *ライセンス認証 [#pa87bf7a] -[[CognitoのOAuth2.0フロー中にある「ホストされた UI」からパスワード変更をして欲しくないので、OAuth2.0を自作する - MOTEX TECH BLOG>https://tech.motex.co.jp/entry/2022/04/21/160419]] 2022.4 --AWSを使ってウェブアプリやサービスを作成した場合、 --その作成したアプリやサービスの認証/認可に Amazon Cognito を使用することができます。 --そうすると、認証/認可を1から全部作る必要がなくなります。 --※ 認証/認可するのはAWSアカウントではなく、自作サービスのアカウントです。 -[[c# - 機能 - ライセンス認証作り方 - 入門サンプル>https://code-examples.net/ja/q/9271d]]
