一般論としてパスワードの有効期限を設けることは現在では否定されています。
それはそれとして、「パスワードを変更するまでログインできません」というのは、どうやってパスワードを変更するのでしょうか。パスワードリセットということでしょうか…と思いログイン画面を見たら、以下のように書いてありますね。
「ユーザーID」、「パスワード」をお忘れのお客さまは、あらためて新規登録が必要です。
パスワードリセットはできず、再登録ですか…ひょっとしたら「期限切れパスワードだとログインはできるが、パスワード変更を求められる」ということですか? 私はあおぞら銀行の口座を持っていないので、これ以上は調査ができませんでした。
セキュリティのメリット・デメリットを論ずるには、このようなディテールが重要なのです。できるだけ詳しく教えてください。それと、「どちらがまさっているのでしょうか」という質問ですが、何と比較しているのでしょうか? パスワードの有効期限を単にもうけないということでしょうか?
比較を求めるのであれば、比較対象を明確にしてください。
頂いたお礼は、調査等に必要なドメイン名やクラウドの費用等で充てさせていただきます。業務上の内容などは有償でもお答えできない場合があります。
件の記事は、よく分かっているプロが、「無許可でやってよい範囲に限定して」違法性がないように注意深くやっているのでセーフなのですが、「面白いので皆もやってみよう」というわけではないですね。
現在住んでいるところは、子どもたちの通学に便利という点が大きいですね。この理由で2回引っ越ししています。孟母三遷みたいだ…
20代でしたら、自分の通学に便利なところ、でした。就職後しばらくは実家から通勤していて、その後は会社の借り上げ社宅でしたので、あまり参考にならないかな、と。
つまらない理由で申し訳ないです。
この手の施策は、メールを受信する側のリテラシーが必要となるので、フィッシングに引っかかる層にはあまり効果はないのではないかと思います。
どうですかね。MetasploitはRubyですし、TrivyはGoです。今後はGo記述のツールが増えるのではないですかね。
セッション管理の方式が複数あるということは、それぞれ長所と短所があるからです。なので、最良のセッション管理方式が一つあるわけではなく、要件に応じて使い分けることになります。単に方式を列挙されても「最良の方式」を選べるわけではありません。単にセッション管理の方式と言っても壮大な話になってしまいますので、まずは以下のスライドをご覧の上で再度焦点を絞って質問してください。
https://www.docswell.com/s/ockeghem/ZM6VNK-phpconf2021-spa-security
まず「貸金庫」が銀行などにあるリアルな貸金庫なのか、デジタルの貸金庫なのかはっきりしません。報道によると、行員はスペアキーを悪用したということですが、デジタル貸金庫であってもスペアキーに相当するアカウント回復の機能が必要な場合が多く、また悪用されがちという点も似ています。
ブロックチェーン活用の余地があるかないかでいうと、徳丸はネガティブですが、要件を詰めていって、かつ実装の素晴らしいアイデアがあれば、余地があるかもしれません。しかし、仮に素晴らしいアイデアを思いついた場合は、ここで回答することはなく、自社でビジネス化します。
私はその手の「セキュリティ対策」はあまり好まないのですが、現実的な緩和策としてはありかなと思います。本当にログインページが隠しきれるのであればかなり効果がある場合もあるでしょうし、それなりの効果しかない場合もあるでしょう。
「標準となるプロトコルみたいなもの」は策定されていますが、OSにより、その実装の度合いはバラバラです。お手元のパソコンでキャプチャーしてみると面白いですよ。
以下の記事が参考になると思います。
拠点間VPNだと固定IPアドレスによる運用だと、そもそも外部からアクセスできない（難しい）ということは現実的に大きいと思います。「アタックサーフェスとしてのリスクはどのように認識すべきでしょうか」はお仕事の領域ですね。
ブラウザセキュリティの定番の書籍は以下です。
しかしながら、これらの書籍ではDOMの基本は説明していません。彼らにとって、DOMは知っていて当然の知識なのでしょう。ということで、DOMについては別の書籍で勉強する必要があります。残念ながらDOMの入門書については知りません。
絶対的に信頼できる貸金庫は実現不可能だと思います。ただ、金銭的な被害は金銭的に補償してもらうことは可能なので、その前提で使いましょう。その意味では、資本的に余力のある企業を選ぶことが大切だと思います。
退会後も個人情報を削除しないことは、好ましいかどうかは別として、一般的です。削除しない明確な理由がある場合も、ない場合もあります。ただ、「退会後一定期間は再登録は認めない」というルールがあるのであれば、その実現のためには退会後しばらくは個人情報を保持する必要があるため、明確な理由があって情報を保持していることになります。
最近のサービスだと、退会後に個人情報の削除リクエストを受け付けているものもあります。お使いのサービスで調べてみてください。
質問者さんの技量や、どういうセキュリティエンジニアになりたいのかわからないので簡単には答えられません。
セキュリティエンジニアはいま引く手あまたなので、セキュリティの会社のカジュアル面談を受けて、どういう勉強をしたらよいか聞いてみたらどうですか? 質問者さんの経歴次第では、すぐに面接に進むように勧められるかもしれません。
まず前提として、日本の製造物責任法では、純粋なソフトウェアは対象とはならず、ハードウェア製品に組み込んだソフトウェアは、ハードウェアの機能の一部としてみなされ、製造物責任法の対象となります。
であれば、Windowsをプリインストールしたパソコンが「ソフトウェアを組み込んだ機器」として製造物責任法の対象になるかということになりますが、ならないような気はしますね。
CRYPTRFCの方は、パスワード保存用ではなく汎用的なハッシュ関数を紹介しているからです。すなわち、両者は想定用途が異なるから、というのが回答です。
まず質問者さんの考えるメリットとデメリットを教えてください。
通常は、「むしろ即戦力」とはならないと思います。現在ハッキング等で検挙される犯罪は大半が技術レベルとしては幼稚なものだからです（例外はもちろんあります）。ただ、書類送検の段階であれば、前科となるわけではないので、実名報道されない限りは会社にはバレないはずで、特にマイナスというわけでもないと思います。
技術力を示したいのであれば、CTFで好成績をとるとか、脆弱性届け出でCVEを得るなどすればよいですね。
はい。具体的には、セッション変数としてセッションの有効期限を保持して都度確認するべきです。
