[B! auth] TAKESAKOのブックマーク

twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。

忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",

TAKESAKO 2009/09/20

リンク

http://www.machu.jp/posts/20090801/p01/

TAKESAKO 2009/08/04

リンク

フォーム認証は本当に捨てられないのか - 岩本隆史の日記帳（アーカイブ）

フォーム認証とは 2008年も暮れようかという現在、Webアプリを作る際に﹁そうだBasic認証を使おう﹂と思う人はほとんどいないでしょう。ユーザIDとパスワードを入力するログインフォームを用意し、セッションIDをcookieに保存する方法を選ぶのが定石だと思います。ユーザIDとパスワードの代わりにOpenIDを受け入れる方法も考えられますが、セッションIDをcookieに保存するという意味では、先の例と違いはありません。この﹁セッションIDをcookieに保存する方法﹂のことを、以下﹁フォーム認証﹂と呼ぶことにします。 Basic認証が使われない理由なぜフォーム認証が選ばれるのか。逆にいうならば、なぜBasic認証*1が選ばれないのか。産業技術総合研究所の情報セキュリティ研究センターでは、Basic認証が使われない理由を下記のようにまとめています。ログアウト機能がないことログインせ

TAKESAKO 2008/11/11

リンク

BASIC 認証でログアウトを可能にする方法 - kazuhoのメモ置き場

Cookie でログイン状態を管理すればいいんじゃいのかな。まず、ログインボタンを押した時﹁だけ﹂is_logged_on を真にする。 HTTP/1.1 Authorization Required Set-Cookie: is_logged_on=1 WWW-Authenticate: Basic realm="Hoge123456" ...サーバ側では、Basic 認証のパスワードがあり、かつ、is_logged_on の値が真であることをチェックすればいい。 GET / HTTP/1.1 Cookie: is_logged_on=1 Authorization: Basic ... ... HTTP/1.1 200 OK ...で、ログアウトの際には、Cookie を消す。 HTTP/1.1 200 OK Set-Cookie: is_logged_on=0 ...そして、is_

TAKESAKO 2008/07/11

【is_logged_on=0 の場合には、Authorization ヘッダがなかろうが、パスワードが間違っていようが、401 を返さ「ない」。】

リンク

はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知

はてなグループの終了日を2020年1月31日(金)に決定しました以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記はてなグループ日記のエクスポートデータは2020年2月28

TAKESAKO 2008/06/28

【SHA1 だと長すぎて登録できないサービスがある】

リンク

OpenIDとRails：Authentication 2.0：CodeZine

はじめに　OpenIDは、ユーザー認証および識別サービス分野に大きな変革をもたらすサービスであり、フレームワークであり、プロトコルでもあります。2004年にBrad FitzpatrickによってスタートしたOpenIDですが、今ではAOL、Google、IBM、Microsoft、VeriSign、Yahoo!などの巨大インターネット組織からサポートされるほどのフレームワークに成長しています。OpenIDは、Webサイトのための信頼性に優れたオープンな分散ユーザー認証を実現する仕組みであり、Web開発者は認証コードを書く手間から解放されます。　本稿ではOpenIDの概要と、Webサイト開発にとってのOpenIDの利点について説明します。また、OpenIDをRubyonRails 2.0フレームワークに組み込む方法について例を挙げて説明します。必要な環境Rubyバージョン1.8.4以上

TAKESAKO 2008/06/18

リンク

こめんと(2008-04-22) - MutualTestFox 公開

■ [Misc] 怒涛うわー、なんか無茶苦茶忙しかった……。とりあえず2件の発表を終えました。やること溜りまくりですねぇ。 ■ [Work] Fail-Safe C release 1 公開というわけで、1つ目の発表はFail-Safe C の正式版公開です。最初に函館で発表したのが2001年のJSSST大会*1 で、かれこれもう7年もかかってしまいましたので、プレスリリースは自分なりの1つの纏めとケジメのつもりです。協力して頂いた皆様、本当にありがとうございました。 Slashdot をはじめいろいろ連絡とかバグレポとかフィードバックを頂いた皆様、対応が遅れていてすみません。有難く早急に取り組ませて頂きたいと思います。Fail-Safe C の研究を始めるに当たって﹁C言語を対象にする﹂と決めた時点で、実用に供するというのは大前提の1つです。これからもFail-Sa

TAKESAKO 2008/04/23

技術的な肝の部分は、暗号プロトコルをうまく使うことで、ユーザが間違ってフィッシングサイトを踏んでしまってそこで認証を行おうとしても、(1) パスワードの情報が相手に伝わらず、かつ (2) サーバ側にパスワードDBが

リンク

産総研：パスワード相互認証プロトコルの技術評価用ソフトウェアを公開

発表・掲載日：2008/04/22 パスワード相互認証プロトコルの技術評価用ソフトウェアを公開－抜本的なフィッシング詐欺防止技術の実用化に向けて－ポイントインターネットにおけるフィッシング詐欺を防止できる新しい認証方式を開発。技術評価用のウェブブラウザとサーバー用拡張モジュールをオープンソースで公開。ウェブブラウザに標準搭載され、フィッシング被害が減少することに期待。独立行政法人産業技術総合研究所【理事長吉川弘之】（以下「産総研」という）情報セキュリティ研究センター【研究センター長今井秀樹】（以下「RCIS」という）とヤフー株式会社【代表取締役社長井上雅博】（以下「Yahoo! JAPAN」という）は、これまでインターネットにおけるフィッシング詐欺を防止する「ウェブでの利用に適したパスワード相互認証プロトコル」の研究開発を進めてきた。このたび、新しい認証プロトコル

TAKESAKO 2008/04/23

https://www.rcis.aist.go.jp/special/MutualAuth/faq/detail-ja.html

リンク

Catalyst/DBICでDigest認証する - 日向夏特殊応援部隊

自分の為のメモですよ。準備まずはCatalystプロジェクトを作ります $ mkdir -p /path/to/dir $ cd /path/to/dir $ catalyst.pl AuthSample ユーザー用のDBICスキーマを定義します。 $ module-starter --module AuthSample::Schema $ cd AuthSample-Schemaでこのディレクトリにて、 CREATE TABLE user ( user_seq INTEGER PRIMARY KEY, user_id TEXT UNIQUE, password TEXT, created_on DATETIME, updated_on DATETIME ); こんなスキーマを定義して、schema.sqlとして保存して、 $ sqlite3 -init schema.sql auth

TAKESAKO 2008/04/15

リンク

ライブドアブログ｜無料で豊富な機能が充実

絵日記グルメライフスタイル・暮らしペット旅行・海外日記ニューススポーツビジネス・経済趣味・創作音楽書籍・雑誌漫画・アニメゲーム受験・学校ヘルス・ビューティ IT・家電学問・科学まとめ

TAKESAKO 2008/01/28

リンク

WEIS Protocol, Version 1.0

WEIS Protocol, Version 1.0 (Draft) Feb. 24, 2006 Kazuho Oku Summary WEIS (Web Identity Syndication) is a web-browser-based identity syndication protocol that allows web applications to syndicate authentication credentials with limited permissions to other web applications. The protocol is based on existing, widely-deployed standards: HTTP Authentication [HTTPAUTH] and HTML forms [HTML40]. This doc

TAKESAKO 2007/09/26

Feb. 24, 2006 Kazuho Oku - WEIS (Web Identity Syndication) is a web-browser-based identity syndication protocol

リンク

WebAPI のアクセス制御に使える OAuth という仕様 - まちゅダイアリー (2007-09-25)

TAKESAKO 2007/09/25

リンク

たけまる / OAuth - リソースへのアクセスを代行するプロトコル

_ OAuth - リソースへのアクセスを代行するプロトコル [oauth][openid] [2007-09-23-1] で AtomPub の認証について書いたからというわけではないのですが，OAuth というプロトコルの仕様を斜め読みしたのでメモしておきます．間違いがあったら教えていただけると嬉しいです m(_ _)m (追記) OAuth の「背景」みたいのについては，miyagawa さんからもらったコメントと，まちゅさんのエントリが参考になります． - miyagawa さん oAuthはFlickr,GoogleAuthSub,Y!BBAuth,AOL openAuth,TypeKeyなんかの統合プロトコルという位置づけ。例では401->WWW-Authenitcateが handshake になってるけど実際はもっと他の方法で運用されるんじゃないかなぁ - まちゅ

TAKESAKO 2007/09/25

http://oauth.net/documentation/spec

リンク

snippets from shinichitomita’s journal - AOL WebAIM APIを注目すべき５つの理由

AOL OpenAuthがすごいとか、JSONPによる認証だとか騒いでたけど、もう去年の11月にAOL Web AIMAPIが公開されていたということについて、なんで気づいてなかったのか。一年近くもこれを正当に評価してこなかったことは、恥ずべきことだ。 Web AIMAPIは、以下の理由で画期的、あるいはちょっとネガティブな側から見れば問題児なAPIである。そして、これからWebサービスAPIを設計／開発する人、およびWebのセキュリティを考える人にとっては、少なくとも現在こういったWebサービスの実装が存在していることについては、ちゃんと注視しておかなければならない。 1. サーバレスでメッセンジャーアプリを構築できるこれがとりあず一番目に重要なポイント。これはAPIリクエストとしてJSONP形式のバインディング(運搬方法)を採用していることによる。サーバレスでアプリが作れることの

TAKESAKO 2007/09/11

リンク

OpenAuthで友達リスト取得 - snippets from shinichitomita’s journal

AOL OpenAuthをJavaScriptで使う方法について。以前ちょっと調べてたことが、ちゃんとドキュメントになってた。 Yahoo! で、実はIDだけじゃなくって、AOLの友達リストも取って来れるという話。こちらにデモが。ソースも上記ドキュメントにダウンロードリンクあり。 http://dev.aol.com/gallery_files/getBL.html 動作としては、まずgetTokenサービスを利用して認証トークンを取得できたら、それを使って友達リストのJSONPサービスを呼び出す。友達リストのJSONPサービスリクエストURLはこんな感じになっている。 http://api.oscar.aol.com/presence/get?f=json&bl=1&k=bs1312tKAjxKsqZY&a=....&c=parsePresence (k: developer key

TAKESAKO 2007/09/08

リンク

認証情報の受け取りにJSONPを利用する - snippets from shinichitomita’s journal

これ、ほんとうにだめなのかな？ http://kokogiko.net/m/archives/002062.html 2007年09月07日 kazuhooku kazuhooku security 実装みてみないとわかんないけど、危ない橋のにおい。別のガジェットからiframeされたらどうなるのとか、Consumerの身元をどうやってユーザーに提示するの、とかはてなブックマーク - ここギコ！: MappletやiGoogleのガジェット等でOpenIDやはてな認証等を使う方法を思いついたもしConsumerの身元保証が難しいというのがネックなら、自前サーバとmapplet間はServer to Server でやるのではなく、JSONPをつかってフロントで情報を渡すというのは、どうか。受け渡しをフロントでやることで、正当なConsumerかどうかをHTTPリファラレベルでチェック

TAKESAKO 2007/09/08

リンク

livedoor メールにGmail採用 - snippets from shinichitomita’s journal

http://www.itmedia.co.jp/news/articles/0707/24/news041.html このニュースが面白いのは、これでlivedoor IDは3つの認証仕様のIdP︵アイデンティティ・プロバイダ︶になった、ってとこだな。 livedoor Auth OpenID SAML2.0︵aka. Liberty ID-FF︶ SAMLのインターフェースについては、”Circle of Trust”という性質上、OpenIDのように市井の開発者が勝手に使えるような感じでは多分ない。基本的に一方向じゃなくって双方向の信頼を求められるから。まあここらへんへのアンチテーゼであのDick Hardtの名プレゼンが出て来たわけだけども。でもSAMLは、比較的大きなサービサー同士とか、エンタープライズとの連携では、そうした用途で古くから仕様が練られていることもあり、おそらく使

TAKESAKO 2007/07/25

リンク

The domain name iqauth.com is for sale | Dan.com

NewsLearn more about the company, PR and product updates here.

TAKESAKO 2007/07/22

IQ-Auth: 画像なぞなぞ認証システム（by 増井さん）

auth
認証

リンク

第4回自己流認証 | WIRED VISION

第4回自己流認証 2007年7月20日 IT コメント：トラックバック (1) 自分を証明するために鍵やカードやハンコなどが広く使われていますが、計算機の上ではパスワードがよく利用されています。指紋や光彩を利用する生体認証も最近注目されていますが、特殊な装置が必要になりますし、偽造も可能な場合が多いので、どこでも使える強力な認証手法としてパスワードの地位に揺るぎは無いようです。パスワードを用いる認証方式は長年利用されているので、運用に関する多くの知見が存在します。システムを作成するときの注意点はよくわかっていますし、破られにくいパスワードの選び方や、他人に見られることなくパスワードを送る方法などについても深く研究されており、正しい使い方をする限り安全な認証手法であることは証明されています。歴史が長いため、パスワードを破るためのノウハウも蓄積されており、普通に思いつく固有名詞を単純に

TAKESAKO 2007/07/20

パスワード認証にかわるもの

リンク

AOLのOpenAuthがチャレンジング過ぎて - snippets from shinichitomita’s journal

AOLのOpenAuthという認証APIがあります。YahooのBBAuthだったり、Google Account Authentication、日本で言うならはてな認証、livedoor Authなどに代表される、最近流行のサービスプロバイダによる認証APIの一種なんだと思います。ただ、少なくともAOL IDを使うことはほぼないから、アナウンスは聞いてもとりあえずスルーしてたのだけど、たまたま仕様を読んでいたらかなりびっくりした。なんと通信経路にJSONPを使って認証トークンをやり取りできてしまう。JSONPはパブリック情報の配信以外に使うな、ってのが常識になりつつあった人たちから見たら、これはたぶん衝撃。でも、これがセキュリティ的にヤバいかっていうと、決してそうではなくって、OpenAuthではいわゆる﹁リファラによるサイト制限﹂を実装しているところがポイント。つまり、JSONPリク

TAKESAKO 2007/07/11

リンク

はてなブックマーク

タグ

関連タグで絞り込む (32)

authに関するTAKESAKOのブックマーク (20)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

今週のはてなブックマーク数ランキング（2024年7月第1週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス