投稿日2017-01-28もくじ1Passwordアカウントの乗っ取りアカウントのゾンビ化CMSの管理画面ソーシャルエンジニアリング「Webサイト制作のワークショップ」のメモです。パスワードは、自分で覚えることができて手入力できるようなものは使用しない。自動入力かコピペしてログインする。enjoy!1Password強固なパスワードを生成して、安全に管理するためのアプリ。呼び出すことができる。attack)がある。Wikipedia4桁のパスワードだとしたら、0〜9、a〜zまでをすべて総当りに試していく方法。0001|0002|...|9999aaaa|aaab|aaac|...|zzzzaaa1|aaa2|aaa3|...|zzz98桁の大小英数字および記号を含むパスワードだとしても、数十日でクラックされる計算となる。16〜32文字など、可能な限り長いパスワードを生成する。アカウントが乗っ取られて「このアカウントを乗っ取ったぜ!うへへ!」と投稿されればすぐにわかり対策を取れるが、実はすでに乗っ取られていて、そのパスワードを元に他のアカウントへの乗っ取りを試されているかも知れない点。被害にはあわないが、より大きな被害へとつながる可能性がある。アカウントのゾンビ化パスワードの使い回しやパターン化してはいけない。アカウントが乗っ取られた場合、他のアカウントも乗っ取られるのは時間の問題。やって本人が乗っ取りに気がついていないゾンビアカウントが潜んでいる。本人が二段階認証を設定するなどどんなにセキュリティを強化していたとしても、その友達のアカウントのいくつかが乗っ取られている場合には、為す術がない。信頼できる連絡先として登録された3人以上の友達の許可でアカウントにログインすることができる仕様のため。CMSの管理画面あらゆるWebサイトの管理画面で日常的に総当たり攻撃が行われている。構築されたサイトなど、ドメイン名に一定のディレクトリ名を追加すれば、簡単に管理画面にアクセスすることができる。いった方法で総当たり攻撃を行うロボットからサイトを守るために、いくつかの手法を組み合わせる。管理画面のURLを変更する|管理画面にアクセスされるのを防ぐアクセス認証||管理画面にアクセスされるのを防ぐCAPTCHA|ロボットによる総当たり攻撃を防ぐ数回ログインを失敗すると数時間アクセスできないようにする|ロボットによる総当たり攻撃を防ぐソーシャルエンジニアリングパスワードはリアルなやりとりでも盗まれる。ビジネスマナーとして「失礼になるから」ということを悪用している。過去に実際にあった話で、会社にかかってくるしつこい営業電話をずっと断っていた社長がいた。ある日、社長がいない時間帯にその営業から電話があった。「ケータイが壊れてしまって、社長のケータイ番号がわからなくなってしまったので教えてください」この電話を受けた人は、そういった事情であればと教えてしまった。このようなビジネスの現場であることを利用したソーシャルエンジニアリングにも十分に気をつける。「Webサイト制作のワークショップ」のメモです。SNSとの連...WS|Macのおすすめアプリ「Webサイト制作のワークショップ」のメモです。必要最低限の...WS|ページの読み込みスピード「Webサイト制作のワークショップ」のメモです。Webサイト...WS|WordPressのインストール「Webサイト制作のワークショップ」のメモです。Ohmori未来志向のクリエイター。東京で制作プロダクションを経て独立し、フリーランス歴20年。これまで幅広く国内外のプロジェクトに携わる。クリエイティブのスキルを学べるサービスを創造中。電子書籍TokyoHeadTerminal。