Hiromitsu Takagi

@HiromitsuTakagi

自宅研究員 blog@takagi-hiromitsu.jp

東京都
takagi-hiromitsu.jp
Joined December 2008
1,915 Photos and videos Photos and videos

You may also like

·

Tweets

You blocked @HiromitsuTakagi

Are you sure you want to view these Tweets? Viewing Tweets won't unblock @HiromitsuTakagi

  1. 1 hour ago

    端末を変更したときとか、追加するときは、どうなってるのかしら？

    4 retweets 5 likes
    Undo
  2. Retweeted
    Aug 22

    ざっくりしたやつ書いた。 GitHubの2要素認証がWebAuthnに対応したらしいので触ってみた - r-weblife

    23 retweets 46 likes
    Undo
  3. Retweeted
    Aug 22

    元記事にも 「The future of authentication: secure and easy-to-use」 として今後のパスワードレスを匂わせているが今回の対応ではないし、引用Tweetにも 「Two-factor authentication that's more secure ...」 って書いてるので、その辺り触れないのは疑問。

    3 retweets 2 likes
    Show this thread
    Show this thread
    Undo
  4. Retweeted
    Aug 22

    変更内容としては2015年から先行実装として導入していたものをW3C勧告となった最新の仕様にリプレースことであり、重要なのはそれによって「WebAuthn対応環境」であればもれなくセキュリティキーとして利用できるようになったこと、今後さらに対応が進んでも追従可能となった点である。

    1 reply 4 retweets 2 likes
    Show this thread
    Show this thread
    Undo
  5. Retweeted
    Aug 22

    WebAuthnはパスワードレスを実現するための仕組みだが、今回のGitHubの対応は用途を2要素目の認証方法に限ったままなので、パスワードレス を実現したかのようなタイトルと内容には違和感がある。

    ブログ書きました： GitHubがWebAuthn対応を開始。MacのTouch IDやWindows Helloの指紋認証などを使いパスワードレスでログイン可能に
    1 reply 18 retweets 32 likes
    Show this thread
    Show this thread
    Undo
  6. Retweeted
    Aug 22
    Replying to

    publickeyさんの記事ではGithubがWebAuthnでパスワードなしでログイン可能になったかのように読めるけど(特にタイトル)、現状はそうじゃない、という私の反応です。 FIDO2 = パスワードレス、というわけではないです。

    1 reply 2 retweets 2 likes
    Undo
  7. Retweeted
    Aug 22

    FIDO2 の話なのでは？

    原文にはどこにもパスワード不要とは書いてないのですが… …
    1 reply 1 like
    Undo
  8. Retweeted
    Aug 22

    原文にはどこにもパスワード不要とは書いてないのですが… > GitHub currently supports security keys as a supplemental second factor.

    1 reply 3 retweets 2 likes
    Undo
  9. Retweeted
    Aug 22

    FIDO2 ってパスワード要らない仕組みだっけ。なんか固定トークンはいるんじゃないのかな。まあユーザーがパスワードを意識する必要がなくなるのはいいことよなあ。 / “GitHubがWebAuthn対応を開始。MacのTouch IDやWindows Helloの指紋認証などを使いパスワードレスでログ…”

    1 retweet
    Undo
  10. Retweeted
    Aug 22

    ブログ書きました： GitHubがWebAuthn対応を開始。MacのTouch IDやWindows Helloの指紋認証などを使いパスワードレスでログイン可能に

    30 retweets 67 likes
    Undo
  11. 3 hours ago

    要するに、攻撃者視点で言い換えると、手持ちの不正取得カード番号で不正買い物をするに際して邪魔だった3DSecureが、今回の結果、当該カード番号（や氏名）に対応するVpassアカウントとそのパスワードを一部特定できたので、突破できるようになったということ。（全部が無効化されたなら防がれるが）

    12 retweets 18 likes
    Show this thread
    Show this thread
    Undo
  12. 3 hours ago

    その理屈で行くにしても、これから将来にわたって「ご利用明細等が閲覧」される余地があるんだから、不正ログインされたアカウント全部を無効化しないとあかんでしょ。「特定されたアクセスを遮断」したところで、別のIPアドレスからバレないようゆっくり「ご利用明細等閲覧」に来る余地があるわけで。

    1 reply 11 retweets 12 likes
    Show this thread
    Show this thread
    Undo
  13. 3 hours ago

    もしかして、「買物等の取引を行う」（=3DSecureを突破する）には、VpassのID・パスワードに対応するカード番号か氏名等が必要（流出済みカードが不正使用される想定）で、その対応関係がバレた「ご利用明細等が閲覧された」アカウントだけ、パスワード無効化の対象にした？

    そもそも、「ご利用明細等が閲覧された」人は情報の流出自体はもう手遅れでパスワードを無効化する理由に乏しいんだが。パスワード無効化が必要となる理由はそこじゃないし、理由が違えば対象範囲も異なってくる。3DSecureが危うくなったことを（知りながら）隠したいのかな？ …
    Show this thread
    1 reply 11 retweets 11 likes
    Show this thread
    Show this thread
    Undo
  14. 3 hours ago

    冒頭の文では全部を無効化したようにも読めるがはてさて。

    1 reply 8 retweets 6 likes
    Show this thread
    Show this thread
    Undo
  15. 4 hours ago

    そもそも、「ご利用明細等が閲覧された」人は情報の流出自体はもう手遅れでパスワードを無効化する理由に乏しいんだが。パスワード無効化が必要となる理由はそこじゃないし、理由が違えば対象範囲も異なってくる。3DSecureが危うくなったことを（知りながら）隠したいのかな？

    3DSecureが無意味になるんだから、不正ログインされたアカウントの全部を無効化しないといけないのに、「一部のお客さまについて」「閲覧された可能性があることから」などと頓珍漢なことを言っている。大丈夫なの？…
    Show this thread
    1 reply 28 retweets 32 likes
    Show this thread
    Show this thread
    Undo
  16. 4 hours ago

    3DSecureが無意味になるんだから、不正ログインされたアカウントの全部を無効化しないといけないのに、「一部のお客さまについて」「閲覧された可能性があることから」などと頓珍漢なことを言っている。大丈夫なの？このカード会社。

    2 replies 29 retweets 25 likes
    Show this thread
    Show this thread
    Undo
  17. 4 hours ago

    なんか不自然な記載。今回の事態で3DSecureを突破される会員が生じたということじゃないのかな？ 弊社会員向けスマートフォンアプリでの不正ログインについて（三井住友カード株式会社） 「カード利用情報等の閲覧のみが可能であり、買物等の取引を行うことはできま せん。」

    2 replies 57 retweets 43 likes
    Show this thread
    Show this thread
    Undo
  18. Retweeted
    4 hours ago

    クレジットカード番号の下1桁はチェックディジットなので、下3桁のマスクということは、実質2桁のマスクですよね。残り1桁は計算で求められる。100回で総当りできますが、大丈夫か?

    135 retweets 166 likes
    Show this thread
    Show this thread
    Undo
  19. Retweeted
    23 hours ago

    『不正ログインに使用されたＩＤ・パスワードは弊社に登録されていないものが多数含まれており、「リスト型攻撃」による不正ログインと判明しました。』 2019年8月23日 弊社会員向けスマートフォンアプリでの不正ログインについて（三井住友カード株式会社）

    1 reply 16 retweets 10 likes
    Show this thread
    Show this thread
    Undo
  20. Retweeted
    16 hours ago

    これ、Amazonのように下4桁が表示されるサイトとあわせ技で全ての桁が判明するわけですが…Amazonは大丈夫として、他のサイトはどうか?

    2 replies 102 retweets 101 likes
    Show this thread
    Show this thread
    Undo

@HiromitsuTakagi hasn't Tweeted yet.

Loading seems to be taking a while.

Twitter may be over capacity or experiencing a momentary hiccup. Try again or visit Twitter Status for more information.