ハッシュ関数

ログイン処理（認証）の実装で躓いた点を書く。 実行環境 処理の流れ 出来上がったソースコードたち werkzeug.security.check_password_hash() について ログイン処理の実装で躓いた点 前提 躓き ① 第一引数の取得で ProgrammingError 躓き ② 第一引数の取得で AttributeError 実行環境 python 3.10.13 sqlite 3.41.2 werkzeug 2.2.3 処理の流れ 新規登録画面からユーザ ID、パスワードを入力 新規登録ボタン押下 入力チェック OK なら、パスワードをハッシュ化してテーブルへ登録しログイン画…

趣味の個人開発でとあるログイン機能を設計・実装している。 「テーブルに平文パスワードを入れるのはだめだよな。普通どうするのかな」という疑問から調べてみると、generate_password_hash() と check_password_hash() に出会った。この記事では、generate_password_hash() について理解したことを書く。 事前知識は皆無であるため公式ドキュメントを参照しつつ、理解できなかった点は ChatGPT の力を借りた。 実行環境 generate_password_hash() とは method で設定できるハッシュアルゴリズム method "t…

ハッシュ関数は任意のデータを入力して固定のデータを出力する関数のことです。出力したデータから入力したデータを導くことができない一方向性、異なる入力データから同じ出力結果が得られる可能性が非常に低い耐衝突性といった特徴を備えています。代表的なハッシュ関数にSHA-256があります。ディジタル署名などに用いるハッシュ関数の特徴はどれか。 ア 同じメッセージダイジェストを出力する異なる二つのメッセージは容易に求められる。 イ メッセージが異なっていても，メッセージダイジェストは全て同じである。 ウ メッセージダイジェストからメッセージを復元することは困難である。 エ メッセージダイジェストの長さはメ…

Pythonは、データの暗号化やセキュリティに関連するさまざまなタスクを実行するための強力なツールとして広く使用されています。cryptographyと呼ばれるライブラリは、Pythonで暗号化に関連するタスクを処理するための優れたオプションです。本記事では、cryptographyを使用してデータのハッシュ値を計算する方法について詳しく説明します。cryptographyライブラリを使用してデータのハッシュ値を計算する手順は次の通りです。 ステップ 1: cryptographyのインストール cryptographyライブラリを使用するためには、まずPython環境にライブラリをインストー…

概要 ハッシュとは、ハッシュ関数と呼ばれる計算式により元データを特定桁数の値に変換すること。 例えば、文字列や画像データなどのファイルをSHA256と呼ばれるハッシュ関数に入力すると、256bitのハッシュ値が出力される。 ハッシュ関数の特徴 入力データにかかわらず必ず決まった桁数のハッシュ値を出力 入力データが異なれば、ハッシュ値は原則異なる。理論上は異なる入力データのハッシュ値が一致してしまう可能性はゼロではない（一致してしまうことを衝突という）。ただし現在主流のSHA256で衝突が発生する確率は「２の１２８乗分の１」であり、普段利用においては実質ゼロと言ってもよい。 ハッシュ値から入力デ…

電気設備の監視制御装置などにインターネットが利用されつつあるが，電気設備のみならず現代のネットワーク社会において，暗号化技術が重要な役割を果たしている。 暗号化には，主に二つの機能があり，情報を「秘匿（守秘）機能」により保護するだけでなく，「認証」機能により情報に本人性や完全性等の信用を与えることで，ネットワーク社会における安全性と信頼性を実現できる。 秘匿（守秘）機能は，平文（データ）を送信者と受信者以外の第 3 者から隠すことであり，送信側で暗号鍵を用いて平文を暗号化し，受信側で復号鍵を用いてその暗号文を元の平文に復号して保護する。 この暗号鍵と復号鍵とが同じであるか，あるいは暗号鍵から復…

パスワードを安全に保存する方法について学んだ議事録を残します。 パスワードをハッシュ化して保存する ユーザのパスワードを保存する時にパスワードを平文（そのまま）保存しておくと漏洩してしまった時に不正にアクセスされるリスクが高まります。 そのためパスワードはハッシュ関数を利用して、ハッシュ化して保存することが好ましいです。 ハッシュ関数の特徴 ハッシュ関数の特徴を解説します。 パスワードの長さに関係なく、ハッシュ値が固定になる 同じパスワードならハッシュ値も同じになる ハッシュ値からパスワードを推測しにくい パスワードが1文字でも違えばハッシュ値も異なる ハッシュ関数【SHA-256】 ハッシュ…

届いた不審メール まずは削除させる。開かないことを社員教育として徹底周知する。 とけ アジャイル開発の手法の一つであるスクラムにおいて，決められた期間におけるスクラムチームの生産量を相対的に表現するとき，尺度として用いるものはどれか。 とけ 問題は発生していないが，プログラムの仕様書と現状のソースコードとの不整合を解消するために，リバースエンジニアリングの手法を使って仕様書を作成し直す。これはソフトウェア保守のどの分類に該当するか。 マクシミン原理 得られる最小の値が最大 TLSアクセラレータ TLSで暗号化を行うための機器。 認知的ウォークスルー法 IMAPS 本文まで暗号化するのはIMAP…

Armorisでは、サイバーセキュリティ人材育成の他にも、さまざまな講座やワークショップを展開しています。今回は、本多暁が講師を担当する「DOJO Lite 流行技術概要解説」を紹介します。 この講座は、サイバーセキュリティに限らずIT全般について、ほやほやの最新情報を継続的にインプットしたい方にオススメです。その名の通り、流行技術を扱っているので、内容は毎度アップデートされます。生成AIなんてまさにそうですが、昨日までの常識が、明日にはもう古くなっていたりします。本多講師も開催2日前まで資料をアップデートして臨むものの、それでもフォローしきれない新情報があって口頭で補っています。本記事では、…

データ指向アプリケーションデザイン 第I部 データシステムの基礎を読んだ - $shibayu36->blog; の続き。今回は第Ⅱ部を読んだ。長いし難しいが勉強になる。 今回はクオラム、並行操作の検知、パーティショニングとセカンダリインデックス、スナップショット分離、さまざまな課題が合意の問題に帰結する話あたりが面白かった。 データ指向アプリケーションデザイン ―信頼性、拡張性、保守性の高い分散システム設計の原理作者:Martin KleppmannオライリージャパンAmazon 読書ノート ### 5章 レプリケーション - 同期型と非同期型レプリケーション 4001 - 同期型レプリケー…

どうも、ヘリトンボです。 この記事では仮想通貨の最強守護神、ブロックチェーンについて解説します。 ブロックチェーンは仮想通貨の根幹を支えるデータベース技術でもあり、これを理解せずして仮想通貨を語ることはできません。もちろん知らなくても取引することはできますが、この仕組みを理解しておくと、仮想通貨の投資にも根拠に基づいた判断ができ、ネガティブなニュースが出た際には冷静に事態を把握することができるようになります。 でもブロックチェーンについて調べてみると、どこも微妙に書いてあることが違ったり、小難しい単語が多すぎて意味不明…ということがよくあります。 そもそもなんでこんな分かりづらいことになってい…

今回も情報処理安全確保支援士の試験勉強の内容をアウトプットをしていきます。 勉強に使ったのはこちら 章の終わりにあるCheck問題に私なりの答えで解答していきます。 今回は6.4章：ワンタイムパスワード方式による本人認証のCheck問題です。 【Q1】ワンタイムパスワード方式とはどのようなものか。 認証を行うたびに毎回異なるパスワードを使用する方式。一度使用したパスワードは再利用せず使い捨てる。 【Q2】ワンタイムパスワードを実現する手法としてどのような種類があるか。 ①チャレンジレスポンス方式②S/Key方式③トークンカード（携帯認証装置）方式 【Q3】チャレンジレスポンス方式では、なぜパス…

はじめに Xを見ていたら以下のような投稿を見かけました。Here is a 72-byte alphanum MD5 collision with 1-byte difference for fun: md5("TEXTCOLLBYfGiJUETHQ4hAcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak")=md5("TEXTCOLLBYfGiJUETHQ4hEcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak")— Marc Stevens (@realhashbreaker) 2024年3…

2024年3月25日～2024年3月31日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第150回分。今回からタイトルをナンバリングしてみることにしてみました。 [FacebookのIAAPプログラム] [Cryptography & Security Newsletter #111] [その他のニュース] ▼KyberのCPUサイクル@RWPQC2024 ▼Levchin Prize 2024@RWC2024 ▼Quantum-Accelerated AIとPQC ▼osdn.dl.osdn.netの証明書有効期限切れ ▼31ラウンドのSHA-256衝突@FSE2024…

今回は皆さんが大好きな便利ツール「pg2arrow」のお話です。PostgreSQLでポータブルな列指向データ形式 Apache Arrow を読み出すには、Arrow_Fdwを利用する事ができます。 PG-StromではGPU-Direct SQLにも対応していますし、列指向データという事もあって、被参照列しかI/Oが発生しない、同じ列のデータが近傍に固まっているという大量データ処理に適した特性を持ってもいます。また、Apache Arrow形式のファイルを作成するにはPyArrowやPandasなど様々なツールがありますが、我々DB屋としてはPostgreSQLに格納されたトランザクショナ…

DNSSECの機能はどれか。 DNSキャッシュサーバの設定によって再帰的な問合せを受け付ける送信元の範囲が最大になるようにする。 DNSサーバから受け取るリソースレコードに対するディジタル署名を利用してリソースレコードの送信者の正当性とデータの完全性を検証する。 ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することによって，名前解決の可用性を高める。 共通鍵暗号技術とハッシュ関数を利用したセキュアな方法によって，DNS更新要求が許可されているエンドポイントを特定して認証する。 解答・解説 (adsbygoogle = window.adsbygoogle || […

LINE CTF 2024へ、一人チームrotationで参加しました。そのwrite-up記事です。またおまけとして、Binary Ninjaを初めて触ったのでIDAとのふんわり比較も記述しています。 また、今回からお試しとして、IDAの解析結果ファイル*.i64等をGitHubで公開してみることにしました。https://github.com/Tan90909090/ctf-writeups/tree/main/LINE_CTF_2024をご参照ください。 2024/04/02(火) 01:00頃追記: BrownFlagChecker問題の元ソースコードが公開されています: Black-…

2024年3月18日～2024年3月24日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第149回分。 [PQCと証明書 [IETF119]] [Windowsの2048ビット未満RSA鍵廃止] [その他のニュース] ▼TLS with Verifiable Credential [IETF119] ▼TLS, byte by byte ▼AES-GCM-SST [IETF119] ▼ルートCA分析 ▼Let's Encryptの新中間証明書 ▼NSSのRSA復号タイミング攻撃（CVE-2023-5388） ▼MD5テキスト衝突攻撃 ▼フリーWiFiでMITM ▼耐量子暗…

#IrisCTF2024 from Crypto.Util.number import getPrime, isPrime e = 65537 N = 1 while (N - 1) % e == 0: N = getPrime(2048) def xor(a, b): return bytes(x^y for x,y in zip(a,b)) class MySeededHash(): def __init__(self, N, e): self.N = N self.e = e self._state = b"\x00" * 256 self.seen = set() def _hash_…