Google Announces Passkeys Adopted by Over 400 Million Accounts 2024/05/03 TheHackerNews — 5月2日 (木) に Google が発表したのは、４億以上の Google アカウントで Passkeys が使用され、これまでの２年間で 10億回以上もユーザーを認証してきたことだ。Google の VP of Security Engineering である Heather Adkins は、「Passkeys は使いやすく、フィッシングに強く、指紋／顔スキャン／ピンのみに依存するため、パスワードよりも 50％ も高速である」と述べている。SMS OTP (one-time passwords) や、アプリベースの OTP といった、従来からの二要素認証の合計数よりも、すでに Passkeys は、Google アカウントの認証において数多く使われていると、同社は指摘している。
Microsoft rolls out passkey auth for personal Microsoft accounts 2024/05/03 BleepingComputer — Microsoft が発表したのは、Passkeys を使用する Windows ユーザーが Microsoft Consumer Account にログインできるようになったことだ。つまり、パスワードレスの方式である、Windows Hello／FIDO2／Biometric／Device PIN などにより、認証できるようになったわけである。Microsoft Consumer Account とは、Windows／Office／365／Outlook／One Drive／Copilot／Xbox Live などの、同社におけるサービスや製品にアクセスするためのパーソナル・アカウントを指す。
How passkeys are reshaping user security and convenience 2023/11/28 HelpNetSecurity — この Help Net Security のインタビューは、1Password の Head of Passwordless である Anna Pobletts が、Passkeys の導入と 2024年のその加速について語ったものだ。この傾向は、特にフィンテックや銀行などの規制の厳しいサービスにおいて顕著になっており、それらのユーザーはシンプルで馴染みのあるサインイン体験を求めている。Anna Pobletts は、パスワードレス認証がヘルプデスクや IT リソースの負担を軽減する方法と、ビジネスの加速／増収などの、より差し迫った問題に対して、時間とエネルギーを注ぐための方法についても述べている。
Google Adds Passkey Support to New Titan Security Key 2023/11/16 SecurityWeek — 今週に Google は、Passkeys サポートを追加した、Titan セキュリティ・キーの新バージョンを発表した。Titan セキュリティ・キーは、フィッシングに強い二要素認証デバイスであり、連動するアプリケーションの数も増えている。Google の新たな Titan セキュリティ・キーは、NFC 機能を備えた USB-A／USB-C のモデルであり、従来からのモデルを置き換えるものとなる。
Amazon adds passkey support as new passwordless login option 2023/10/17 BleepingComputer — Amazon が静かに追加したのは、顧客向けの新しいパスワードレス・ログインの選択肢としての Passkeys のサポートであり、それにより、情報を盗み出すマルウェアやフィッシングに対する保護が強化されることになった。Passkeys とは、携帯電話／コンピューター／USBセキュリティキーなどのデバイスにリンクされた、生体認証や暗証番号を使った Web サイトへのログインを可能にするデジタル認証情報のことだ。
Microsoft is Rolling out Support for Passkeys in Windows 11 2023/09/26 TheHackerNews — 今日から Microsoft は、デスクトップ OS のメジャー・アップデートの一環として、Windows 11 で Passkeys のサポートを正式に展開する。この機能によりユーザーは、ID／PW を入力することなく、代わりにデバイスの暗証番号や生体情報を用いてステップを完了し、Web サイトやアプリケーションにログインできるようになる。FIDO 標準に基づく Passkeys は、2022年5月に初めてパスワードの代替になるものとして発表され、フィッシングに強いとされている。その後に Apple や Google に採用され、また、この数カ月の間に他のサービスでも採用されている。
GitHub passkeys generally available for passwordless sign-ins 2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。
GitHub goes passwordless, announces passkeys beta preview 2023/07/12 BleepingComputer — 7月12日に GitHub は、パブリック・ベータ版でパスワードレス認証のサポートを導入し、ユーザーがセキュリティ・キーから Passkeys にアップグレードできるようにしたと発表した。この Passkeys は、コンピュータ／タブレット／スマートフォンなどの個々のデバイスに紐づけられ、クレデンシャルの盗難や漏えいの試みを防止する。それによりフィッシング攻撃からユーザーを保護し、データ侵害の可能性を最小限に抑える上で、重要な役割を果たす。
Google extends passkeys to Google Workspace accounts 2023/06/05 HelpNetSecurity — 2023年5月上旬の時点で、コンシューマー向けに Passkeys の提供を開始した Google だが、今度は Google Workspace と Google Cloud のアカウント向けにも展開することになったようだ。この機能は、まもなく900万以上の組織でオープンベータ版が利用可能になり、従来のパスワードを必要としない、手間いらずのサインイン・エクスペリエンスが、ユーザーに提供されることになる。
Google Adds Passkey Support to Chrome for Windows, macOS and Android 2022/12/12 TheHackerNews — Google は、次世代パスワードレス・ログイン規格である Passkeys のサポートを、Chrome の Stable バージョンで正式に展開し始めた。同社の Ali Sarraf は、「Passkeys は、フィッシングによる攻撃が可能な、パスワードなどの認証要素に代わる、より安全性の高い技術である。それらの再利用は不可能であり、また、サーバー侵害で漏洩することもないため、フィッシング攻撃からユーザーを保護できる」と述べている。
Security Vulnerability: Researcher Finds FIDO2 Open to Session Hijacking 2024/05/12 SecurityOnline — パスワードレスのスタンダードとも言える FIDO2 は、フィッシングや中間者 (MiTM) 攻撃からの保護のために設計された認証規格であるが、Silverfort のセキュリティ研究者である Dor Segal の新たな研究により、深刻な脆弱性が存在することが明らかになった。FIDO2 のセキュリティ機能は強力だが、認証セッションは依然として、MiTM 攻撃により乗っ取られる可能性があり、機密性の高いユーザー・データを暴露し、アカウントを危険にさらす、可能性が潜むことが示唆される。
Mobile Banking Malware Surges 32% 2023/05/09 InfoSecurity — Kaspersky 最新年次レポート “Financial Threats Report for 2023” のデータによると、世界のモバイル・バンキング向けマルウェアは、2022年と比べて 32% も増加している。この、5月6日に発表されたレポートが指摘するのは、Android ユーザーを狙う攻撃が急増し、アフガニスタン／トルクメニスタン／タジキスタンでは、バンキング型トロイの木馬に遭遇する割合が最も高くなっている点だ。特筆すべきは、モバイル・バンキングを狙うマルウェア攻撃ではトルコがトップであり、約３％のユーザーが感染しているという。
New Flaws in Fingerprint Sensors Let Attackers Bypass Windows Hello Login 2023/11/22 TheHackerNews — Dell Inspiron 15／Lenovo ThinkPad T14／Microsoft Surface Pro X のノート PC に存在する脆弱性の悪用により、Windows Hello 認証バイパスの可能性が生じることが、新たな調査により発見された。それらの脆弱性は、ハードウェア／ソフトウェア製品のセキュリティ調査会社 Blackwing Intelligence の研究者が発見したものであり、Goodix／Synaptics／ELAN の指紋センサーが埋め込まれるデバイスの欠陥である。
Why MFA Is Not the Panacea the Industry Is Touting it to Be 2023/10/06 InfoSecurity — 多要素認証 (Multi Factor Authentication：MFA) とは、ユーザーが本人であることを証明するために、ユーザーと認証システムのみが知るべき２つ以上の「秘密」の共有を要求する、デジタル認証ソリューションのことである。MFA は、単純なログイン名とパスワードよりも改善されたものである。しかし、非常に危うくなっており、何十億とは言わないまでも、何億ものオンライン攻撃を成功させてしまっている。残念なことに、ほとんどの MFA はパスワードと比べて、あなたを遥かに安全にすることはできず、また、この業界は、あなたが使用すべき MFA について十分に話していない。それであっても、貴重なデータやシステムを守るためには、可能な限り MFA を使うべきである。
Google adds passkeys support for passwordless sign-in on all accounts 2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。
2023 2023/08/16：GitHub からのバグ報奨金：2022年には $1.5 Million が支払われた 2023/07/20：Lazarus が開発者を狙っている：悪意の GitHub プロジェクトに御用心 2023/07/13：Linux の偽 PoC エクスプロイトに御用心：GitHub を悪用してマルウェアを配布 2023/07/12：GitHub がパスワードレス認証を導入：Passkeys のベータ版が公開されている 2023/06/22：GitHub で懸念される RepoJacking 攻撃：変更された名称の悪用が容易だと判明 2023/06/14：GitHub リポジトリで発見されたマルウェア拡散の新手口：研究者たちの偽プロファイルを悪用 2023/05/23：シークレットが氾濫する GitHub の世界：どのように緩和していくべきなのか 2023/05/10：GitHub のプッシュ・プロテクション：すべてのパブリック・リポジトリで無料化 2023/04/22：GitHub の新機能：プライベートな脆弱性レポートを安全に共有できるようになった 2023/04/18：RedLine の GitHub リポジトリをテイクダウン：C2 サーバの管理画面を破壊した！ 2023/04/06：GitHub が SBOM エクスポートをサポート：ソフトウェア要件への対応を容易にする 2023/03/25：GitHub の RSA SSH シークレット・キー：パブリック・リポジトリに誤って公開される 2023/03/10：GitHub のシークレット調査：2022年には 1000万件の機密情報が新たに漏洩していた 2023/03/01：GitHub のシークレット・スキャン・アラートが正式運用：誰もが犯す間違いを自動的にチェック 2023/02/15：GitHub CoPilot への評価：AI モデルのトレーニングに開発者を利用して良いのか？ 2023/01/30：GitHub から盗まれたコード署名証明書：Desktop／Atom 版が 2月2日に失効 /01/17：GitHub … Continue reading “GitHub”
Twilio discloses another hack from June, blames voice phishing 2022/10/27 BleepingComputer — クラウド・コミュニケーション企業の Twilio は、2022年6月のセキュリティ・インシデントに起因する新たなデータ侵害を開示したが、その背景には、８月に生じたハッキングで顧客の情報にアクセスした同一の攻撃者がいるようだ。Twilio によると、新たに開示された 6月29日の件は、短時間のセキュリティ・インシデントだったという。攻撃者はソーシャル・エンジニアリングを用いて、音声フィッシング攻撃で従業員を騙して認証情報を受け取った。その後に、盗まれた認証情報は、限られた顧客の情報にアクセスするために使われた。
Google Rolling Out Passkey Passwordless Login Support to Android and Chrome 2022/10/12 TheHackerNews — 水曜日に Google は、次世代認証規格である Passkeys のサポートを、Android と Chrome に対して正式に展開した。Google は、「Passkeys は、フィッシングに狙われやすいパスワードなどの認証要素に代わる、より安全性の高い認証手段である。再利用できず、サーバーの侵入で漏れることもなく、フィッシング攻撃からユーザーを保護する」と述べている。この機能は、共通のパスワードレス・サインイン規格をサポートするための、広範なプッシュ規格の一部として、2022年5月に発表されたものだ。
IoT OT Security News 