[B! authentication] miya-janのブックマーク

パスキーとは何か、そしてその課題

パスキーはフィッシングに強く、テクノロジーに詳しくないユーザーでも使いやすい新しい認証方式で、いずれパスワードを置き換えると言われています。この記事では、パスキーの基本と、これからのウェブにとってパスキーがどういう意味を持つのかについてまとめてみます。パスキーとは何か # 2022 年12月9日に Google が Android 版 Chrome でパスキーがサポートされたとのアナウンスが出ました。Apple もすでに最新版の macOS Ventura、iOS / iPadOS 16 で Safari がパスキーに対応しています。パスキーは Apple、Google、Microsoft が協調して使う FIDO クレデンシャルの名前です。エンドユーザーのみなさんがパスワードの代わりとして認識し、直感的にログインできるよう﹁パスキー﹂というブランドとアイコンが決まりました。ウ

miya-jan 2023/02/10

リンク

Advancing service resilience in Azure Active Directory with its backup authentication service - Azure のブログ - Microsoft Azure

miya-jan 2021/11/25

リンク

AWS CLI v2 Preview Now Supports AWS Single Sign-On | Amazon Web Services

AWS Developer Tools Blog AWS CLI v2 Preview Now Supports AWS Single Sign-On We are excited to announce that the AWS CLI v2 preview now supports direct integration with AWS Single Sign-On (SSO). You can now create CLI profiles that are linked to SSO accounts and roles. The CLI will automatically retrieve AWS credentials from SSO and refresh them on your behalf. There are new commands to help manage

miya-jan 2019/11/29

リンク

全社的に会社用GitHubアカウントを廃止した件 - ZOZO TECH BLOG

はじめまして。2019年1月に入社したSREスペシャリストのsonotsです。最近MLOpsチームのリーダーになりました。今回の記事はMLOpsの業務とは関係がないのですが、3月に弊社で実施した会社用GitHub個人アカウントの廃止について事例報告します。 TL;DR 会社用GitHubアカウントを作るべきか否か問題会社用GitHubアカウントの利用で抱えた問題 1. OSS活動時にアカウントを切り替える必要があり面倒 2. GitHubの規約に準拠していない会社用アカウントを廃止した場合にセキュリティをどのように担保するか GitHubのSAML single sign-on (SSO)機能について会社用アカウントの廃止およびSSO有効化の実施会社用GitHubアカウントを使い続ける場合私用GitHubアカウントに切り替える場合 Botアカウントの場合 Outside Coll

miya-jan 2019/04/11

zozoのgithub.comの会社用アカウント非推奨化やSSO必須化など。

リンク

パスワードの不要な世界はいかにして実現されるのか - FIDO2 と WebAuthn の基本を知る

不正送金やアカウントの乗っ取りなど、パスワードが原因の事件が後を絶ちません。高齢者など、IT リテラシの低い人でも簡単かつ安全に自分のオンラインアカウントを管理できる世界が理想ですが、まずはパスワードの不要な世界を実現するのが先決であることは、これまでのインターネットの歴史で証明されたと言えるでしょう。そして、ここに来てパスワード不要なログインを実現する技術として注目されているのが FIDO (= Fast IDentity Online, ﹁ファイド﹂) です。そしてその FIDO をブラウザから利用できるようにするのが WebAuthn (= Web Authentication、﹁ウェブオースン﹂)。報道内容などからこれらは指紋認証を実現するもの、と思っている人もいらっしゃるかもしれませんが、実際にはちょっと違います。 WebAuthn に関しては、すでに数多くの記事が出ていますので

miya-jan 2019/03/17

認証の基本的なところから最近のトレンドまでめちゃくちゃわかりやすい

リンク

JWT認証、便利やん？ - ブログ

どうして JWT をセッションに使っちゃうわけ？ - co3k.org　に対して思うことを書く。 (ステートレスな) JWT をセッションに使うことは、セッションIDを用いる伝統的なセッション機構に比べて、あらゆるセキュリティ上のリスクを負うことになります。と大口叩いておいて、それに続く理由がほとんどお粗末な運用によるものなのはどうなのか。最後に、でもそこまでしてステートレスに JWT を使わなくてはいけないか？とまで行っていますが、JWT認証のメリットはその実装のシンプルさとステートレスなことにあります。現実的には実際はDB参照とか必要になったりするんですが、ほとんど改ざん検証だけで済むのは魅力的です。トレードオフでリアルタイムでユーザー無効化ができないことくらいですかね。ライブラリなんて使う必要ないほどシンプルだし、トレードオフさえ許容できればむしろ、なぜこれ以上に複雑な認証