Azure AD と ADFS のベスト プラクティス: パスワード スプレー攻撃からの防御
こんにちは。 今まで、パスワードを作るたびに、それを推測しようとする人々が必ず現れました。このブログでは、最近きわめて頻繁に目にするようになった一般的な攻撃について説明し、それから身を守るためのベスト プラクティスをご紹介します。この攻撃は、一般的にパスワード スプレーと呼ばれています。 パスワード スプレー攻撃を行う攻撃者は、使用されることの多いパスワードによるアクセスを大量のアカウントやサービスに対して試み、パスワード保護されている資産を入手しようとします。通常、これはさまざまな組織や ID プロバイダーが標的になります。たとえば、攻撃者は Mailsniper などの一般的に手に入るツールキットを使用して、複数の組織に属するすべてのユーザーを列挙し、すべてのアカウントでパスワード “P@$$w0rd” と “Password1”を試します。わかりやすく示すと、次のような攻撃が行われます。 標的となるユーザー 標的となるパスワード User1@org1.com Password1 User2@org1.com Password1 User1@org2.com Password1 User2@org2.com Password1 … … User1@org1.com P@$$w0rd User2@org1.com P@$$w0rd User1@org2.com P@$$w0rd User2@org2.com P@$$w0rd この攻撃パターンは、個々のユーザーまたは会社の立場からはログインの失敗にしか見えないため、ほとんどの検出手法をすり抜けてしまいます。 攻撃者の立場からすると、これは数当てゲームのようなもので、非常によく使用されるパスワードがいくつか存在するということがわかっているという状態です。そのような非常によく使用されるパスワードを使っているアカウントは全体のわずか 0.5 から 1.分散型デジタル ID とブロックチェーン: 将来の展望
こんにちは。 本日の記事では、気軽に楽しめる読み物として、デジタル ID の将来について今後期待される展望を簡単にまとめてみました。楽しんでいただければ幸いです。 Microsoft では、過去 1 年間にわたり、ブロックチェーン (およびその他の分散型台帳技術) を使用して新種のデジタル ID (個人のプライバシー、セキュリティ、コントロールを強化するために新規に設計された ID) を作成するためのさまざまなアイデアを検討してきました。その過程で学んだことや、培われたパートナーシップは、今後大いに役立つことが期待されます。本日はこの機会を利用して、私たちの考えや今後の方向性を皆さんにお伝えしたいと思います。このブログはシリーズ記事の一部であり、Peggy Johnson が投稿した、Microsoft が ID2020 イニシアチブに参加したことを発表したブログ記事に続くものです。Peggy の記事をまだお読みになっていない方は、まずその記事をお読みになることをおすすめします。 チームのプロジェクト マネージャーであり、分散型デジタル ID に関する検討を率いる Ankur Patel に、それをテーマとした議論を開始するよう依頼したところ、彼は以下の記事を投稿しました。この記事では、私たちがこれまでに学んだ中核的な教訓と、これらの教訓から生まれた、この分野を進展させるための投資を促進する際に利用している原則を共有することに重点が置かれています。 今回も、皆様からの感想やフィードバックをお待ちしております。 お読みいただき、ありがとうございました。 Alex Simons (Twitter: @Alex_A_Simons) Director of Program Management Microsoft Identity Division ———- こんにちは、皆さん。Microsoft Identity Division の Ankur Patel です。今回、ブロックチェーン/分散型台帳をベースとする分散型 ID について検討を重ねる中で学んだ教訓と、今後の方向性を皆さんにお伝えする機会を持てたことを非常に光栄に思っています。 私たちの見解 多くの方々が日々体験されているように、世界では今、グローバルなデジタル トランスフォーメーションが進んでおり、デジタルな現実と物理的な現実が現代的な生活様式として 1 つに融合され、その境目があいまいになってきています。この新しい世界では、新しいタイプのデジタル