Device Bound Session Credentials (DBSC)の概要や分からないことをつらつらと書く
はじめに 先日 Google のブログに以下の投稿がありました。 cookie theft using device.html 詳細はこの後見ていきますが、かなり端折ると以下のツイートに凝縮されると思っています。 正直この先の話はこのツイート以上の話はないのですが、一緒に新しい仕…
カテゴリ「セキュリティ」で絞り込み中 クリア
Auth0のEvent StreamとAWS EventBridgeを連携して、リトライ可能かつ非同期に情報を連携する
はじめに この記事で実現すること この記事では、Auth0でユーザーをブロックした際に、自作アプリケーション側にもブロック状態が自動的に反映される仕組みを構築します。 具体的には、Auth0の管理画面でユーザー をブロックすると、その情報がAWS EventBridge経由でアプリ…
Device Bound Session Credentials(DBSC)のauthorizationを動かして悩んでみた
はじめに Device Bound Session Credentials(DBSC)のプレビュー版が提供されましたね。 and security/defending against account takeovers top threats passkeys and dbsc?…
Auth0のToken Vaultを体験できるデモアプリの流れ解説
はじめに 以前の記事で、Auth0のToken Vaultについて言及しました。 room.com/maronn2/articles/token vault by auth0 そこでは、Token Vaultを試せるアプリのサン プルコードを記載しました。 もちろん可能な限りセット…
Shai-Huludの内容を読んで、postinstallスクリプトを用いたシークレット情報を抜き出すコードを作成した
この記事ですが、あくまで「Shai Hulud」サプライチェーン攻撃の内容を推測し、疑似的に再現し、なぜすでにまとめていただいている対策が有効なのかを確認するために書いています。 推測の側面が強く、実際の攻撃内容とは似ても似つかない可能性が高いので、その点はご了承ください。 また…
git-secretsでAWSキー流出を防ぐ方法
はじめに ちょっとした検証用で作ったファイルはgitignoreに書き忘れ、そのままgit管 理されてしまうケースがあります。 通常は問題ないのですが、シークレットが記載されているファイルだとそうは行きません。 そこで今回はgit secretを用いて、AWSキーを間違えてプッシュ…
フロント⇔BFF⇔バックエンドでJWTはどこで使うのが良い？
はじめに JWT（JSON Web Token）は以下の利点があり、広く使われています。 1. 軽量かつ効率的: JWT は Base64 でエンコードされ、コンパクトで軽量な形式を持っています。これにより、データを効率的に転送できます。 2. JWT から値を取り出せる: JW…
JPモルガンが発表した論文の価値について
読む前の注意 私自身は量子コンピューターなどの完全な素人です。 今回話題にして いる論文について一通り目は通しましたが、誤りや理解不足は相当あります。 なので、そういった前提でよんでください。 はじめに 先日JPモルガンが以下の論文をNatureに投稿しました。 025 08737…
Node Crypto、Web Crypto APIを用いてECDSAによる秘密鍵・公開鍵の作成～署名・検証まで行う
はじめに JavaScriptには鍵周りを取り扱うことができるCryptoがあります。 このCryptoを使用することで、共有鍵や公開鍵・秘密鍵を作成できます。 なので今回はCryptoを使用して、以下のことをやっていきます。 秘密鍵・公開鍵の作成 共有鍵による秘密鍵の暗号化 秘…
Auth0のユーザーブロックをリアルタイム検知する仕組みをEvent Streamで作成した
はじめに 以下のような記事が投稿されるなど、認可処理を行うためのサーバーはますます増えていくと感じています。 そして、こういった認可管理を一元化するために、IdP（Identity Provider）を導入するというのは自然なアプローチかなと思います。 また、IdPへの負荷なども…
npm Trusted Publisherの概要と設定方法のガイド提供と中身の解説
このブログの内容について npm Trusted Publisherの概要と、その利点を説明します。 合わせて、半自動ガイドスクリプト（ guide.sh ）が実際に行うnpm/GitHub操作に沿って、npm Trusted Publisherを設定する手順を説明します。 ブロ…
OWASPのチートシートを読んでパスワードの保存方法を確認する
はじめに 現在ログインアプリを作成しているのですが、ふとパスワードをハッシュ化する時のお作法は何か疑問に感じました。 そこで今回はOWASPが展開しているパスワード保存についてのチートシートを見ていきます。 私と同様な疑問を感じた方は見ていただけますと幸いです。 でははじめます。…
Auth0のToken VaultをAI Agentの文脈から独立して触って感じたユースケースや所感について
はじめに 少し前にAuth0がToken Vaultを発表しました。 私がToken Vaultを見つけたのはAIエージェント関連の文脈だったので、最初はAI専用の機能かと思っていました。 しかし、実際に触ってみるともちろんAIの文脈で使えることは間違いないのですが、必ずしもAI…