タグ: 暗号

Computer, Development, PHP Security

PHPのmt_rand()/rand()問題

2月 1, 2017 #PHP, #暗号, #脆弱性 投稿者 yohgaki

PHPのmt_rand()とrand()には状態の初期化／再初期化に問題があります。話しを簡単にするためにrand()をmt_rand()のエイリアスにする提案

https://wiki.php.net/rfc/rng_fixes

が適用された状態を前提にMT rand問題として解説します。しかし、基本的には古いPHPでrand()を使う場合も同じ（かそれ以上）の問題があります。

そもそもMT randは暗号理論的に安全な乱数生成器ではありません。安全な乱数の取得に使ってはなりませんが、MT rand以前の乱数に比べ予測が困難、ということで不適切な箇所で利用しているケースが散見されます。

結論から言うと、MT randで生成された乱数値は安全ではなく非常に危険1、です。

もっと読む

Computer, Development, PHP Security, Security

2要素認証のTOTPとHOTP、どちらがより安全か？

4月 19, 2015 #2要素認証, #セキュアコーディング技術, #暗号, #認証 投稿者 yohgaki

今すぐできる、Webサイトへの2要素認証導入では簡単に2要素認証が導入できること、2要素認証には

  • 時間ベースのOTP（TOTP：Time-based One Time Password RFC 6238)
  • カウンターベースのOTP（HOTP：HMAC-based One-Time Password RFC 4226）

があることを紹介しました。Google認証は両方をサポートしています。※

※ 今すぐできる、Webサイトへの2要素認証導入で紹介したライブラリはTOTPのみサポートしています。

もっと読む

Computer, Development, PHP Security, Programming, Security

今すぐできる、Webサイトへの2要素認証導入

4月 18, 2015 #2要素認証, #WordPress, #暗号, #認証 投稿者 yohgaki

Google、Facebook、Amazon(AWS)、Githubなど、大手Webサービス会社が2要素認証を取り入れてしばらく経っています。自分のWebサイトでも2要素認証を導入したい！と思ったことは無いですか？

簡単に可能です！

パスワード認証だけではもう安全とは言えません。ぜひ2要素認証を自分のサービス／プロダクトに導入してください。

もっと読む

Computer, Development, PHP Security, Programming, Secure Coding
Computer, Development, PHP Security, Security

SSL暗号を無効化する仕組み – BREACH, CRIME, etc

2月 18, 2014 #暗号, #脆弱性 投稿者 yohgaki

CRIMEやBREACHといったSSL暗号を無効化する攻撃を知っている方は多いと思います。しかし、その仕組みや攻撃方法は広くは理解されていないようです。Webシステムに関わる方であれば、BREACH攻撃の原理と対策を理解しておいて損はありません。BREACHや類似の攻撃は全く難しくありません。直ぐに理解できると思います。原理は簡単です！
もっと読む

Computer, PHP Security, Programming, Secure Coding

PHP本体でタイミング攻撃を防御できるようになります

2月 12, 2014 #PHP, #セキュアコーディング技術, #暗号 投稿者 yohgaki

PHP 5.6からタイミング攻撃に対する対策が導入されます。メジャーなアプリケーションはタイミング攻撃対策が導入されていますが、PHP 5.6から簡単に対策できるようになります。

タイミングセーフな文字列比較関数はhash_equalsとして実装されました。
http://php.net/manual/es/function.hash-equals.php

もっと読む
Computer, Development, PHP Security, Programming, Secure Coding