Blogロードバイク通勤のRubyプログラマで伊豆ダイバー。BitArtsトップ会社について製品/サービス著書/関連書籍お問い合わせ2011-04-28まともなシステムはパスワードを預かったりしない今やありとあらゆるWebサイトでパスワード認証が利用されています、Web開発者ならみんな1度や2度は実装した経験がありそうっていうか日常的に作っていそうなパスワード認証機能。パスワード認証を実現するためには、パスワードそのものをサーバ上で保持する必要はありません。超基本的な話なんだけど、そのことを分かっていない開発者が少なからず存在するような気がします。「ユーザー登録でパスワードを預けておいて、一致するかどうかで認証するんだよね?」と考えるでしょう。登録時に指定されたパスワードから、一定の計算で求めた「ハッシュ値」を預かります。認証時は入力されたパスワードから同じ計算でハッシュを求め、ハッシュ同士が一致するかどうかで認証します。パスワードそのものを預かる必要はないのです。万が一ハッシュ値が漏洩してもパスワードは分かりません。いわゆる不可逆暗号です。逆に言うと正しいパスワード以外でも認証を通ってしまう可能性はあるのですが、一般的にはかなり一意性の高い演算アルゴリズムを使うので、まず大丈夫です。不正アクセスを防ぐことも大事だけど、安全に100%はありません。万が一、情報流出した場合に被害が最小限になるように考えることも非常に大事です。パスワードは流失した場合のリスクが非常に高いので、そのままサーバ上に保持するようなことはあってはいけません。これって、セキュアプログラミングの要素として、なぜか今まであまり触れられなかった部分じゃないですかね?ユーザー認証も自前実装をやめて、フレームワークを使うべき時代なのかなあ。RailsだったらDeviseとか。12:00まともなシステムはパスワードを預かったりしないメディアサイト構築CMS「Clipkit」は累計およそ600のWebサイトで採用。月間1,000万PVを超える人気サイトも複数あります。ラグル株式会社は、このプロダクトを一緒に育ててくれるエンジニア(Rubyプログラマ/フロントエンドエンジニア/SRE)を募集しています。当社は総合PR会社の株式会社ベクトル(東証1部:6058)のグループ会社です。はてなブログProロードバイク通勤のRubyプログラマで、伊豆ダイバー。Founderビットアーツは1998年よりWebアプリケーションを専門としてシステム開発サービスを提供しています。OEM向け製品開発にも取り組んでいます。現在はラグル株式会社を立ち上げて、Webメディアサイト構築CMS「Clipkit」を作っています。さいたまクリテリウム2019-10-10「ザ社内報」のつり革広告が登場しました!もっと見る月別アーカイブはてなブログをはじめよう!miyamaeさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。