SPREAD情報セキュリティ勉強会 STOP!パスワード使い回し!のその先は? #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

今日はSPREAD勉強会です！　#SPREAD勉強会 / STOP!パスワード使い回し!のその先は? 2015年8月29日 - こくちーずプロ（告知'sプロ） kokuchpro.com/event/SPREAD20… @kokuchproさんから

AKIЯA @contrail045

勉強会始まりました！ #SPREAD勉強会 pic.twitter.com/8qAJLnU6mn

拡大

くのいち (Kunoichi) @kuno_ichi

SPREAD情報セキュリティ勉強会参加中。辻さんのお話始まりました。 #SPREAD勉強会

けーじゅ @ke1ju

参加者全員で作りあげる勉強会！SPREAD勉強会に来ています。自己紹介が終わり、ソフトバンク・テクノロジー 辻さんの「STOP！使いまわし！！のその先は？」が始まりました。#SPREAD勉強会

AKIЯA @contrail045

自己紹介も終わり、早速辻さんから「STOP！パスワードの使い回し！のその先は？」のお話 #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

事件は攻撃側が常に起点で、基本的にはこちら側は後手で不利。 なので、ユーザは負けないようにすることしかできない立場 #SPREAD勉強会

Mayumi HIRATA @mayucci

楽しい自己紹介が終わっていよいよ辻さんのお話がはじまりました！ パスワードのお話をしていただくのは2年前から久しぶりで2回目になります。 辻さんの軽快な語り口に皆さん引き込まれています♪ #SPREAD勉強会 fb.me/4O1smmDJZ

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

オンラインパスワード突破の方法 総当り型攻撃 辞書型攻撃 リバース型攻撃-パスワードを固定して、ユーザIDを変更するという逆パターン。弱いパスワードのユーザを探す リスト型攻撃 リバース型攻撃というのがあることを初めて知りました。 #SPREAD勉強会

Mayumi HIRATA @mayucci

まずはおさらいをしましたよ！ #SPREAD勉強会 pic.twitter.com/nPdujeH3Qr

拡大

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

パスワードの鉄則 　短いパスワードは設定しない 　推測しやすいものを設定しない 　同じパスワードを複数のサービスで使い回さない #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

STOP!! パスワード使い回し!!パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ jpcert.or.jp/pr/2014/pr1400…　#SPREAD勉強会

けーじゅ @ke1ju

JPCERTの「STOP!! パスワード使い回し!!」キャンペーン jpcert.or.jp/pr/2014/pr1400… IPAの「パスワード －もっと強くキミを守りたい－」キャンペーン ipa.go.jp/security/keiha… #SPREAD勉強会

AKIЯA @contrail045

IPAの「パスワード －もっと強くキミを守りたい－」キャンペーン ipa.go.jp/security/keiha… #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

対策 　紙のメモ 　電子ファイル(パスワード付き) 　パスワード管理ツール #SPREAD勉強会

けーじゅ @ke1ju

対策例 ・紙のメモ ・電子ファイル＋パスワード ・パスワード管理ツール 自分にあった方法、自分が安心できる方法を使うのが大事。#SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

家の外で使うパスワードはほとんどないので、紙のメモを家に保管しておく #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

一歩進んだ対策を(気付く、または防止するための機能) 　認証コード 　ワンタイムパスワード(OTP) 　ログイン通知/ログイン履歴 #SPREAD勉強会

けーじゅ @ke1ju

気付く、または防止するための機能 ・認証コード ・ワンタイムパスワード ・ログイン通知/ログイン履歴 漏れてもすぐに気付けてパスワードを変えられれば、被害を最小限におさえられる。#SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

何かの時の備えは何事においても 自分の体に置き換えると、例えば、風邪をひかない体はないので、薬を常備したり、病院がどこにあるかを調べておいたり、保険に入っておくなど、体の調子がひどくならないように対策をしている #SPREAD勉強会

けーじゅ @ke1ju

「準備八割」いろんなことに言えます。ホントそのとおりだと思います。#SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

Google 認証システム play.google.com/store/apps/det…　#SPREAD勉強会

AKIЯA @contrail045

iPhoneのGoogle認証アプリ(Authenticator)を使ってDropboxの二段階認証を有効にする方法 yoshichiha.com/2014/02/09/dro… #SPREAD勉強会

AKIЯA @contrail045

Appleも対応したことだし、主要サービスの２段階認証をまとめてみた gootara.org/library/2014/0… #SPREAD勉強会

Masaru Ogura (AWS Trainer) @ 12/21 JAWS-UG朝会 @MasaruOgura

フィッシングサイトにユーザ名、パスワードを入力すると、正規のサイトに再度アクセスすることが多い #SPREAD勉強会

けーじゅ @ke1ju

フィッシング(Phishing) ・サイト誘導型 →メールなどで偽サイトに誘導してログインアカウントを入力させる。見た目は同じ。違いはURLぐらい。 ・メッセージング型（最近増えている） →認証情報をSMSなどで直接聞き出す。 #SPREAD勉強会