[B! oauth] fubar_fooのブックマーク

OAuth認証とは何か?なぜダメなのか - 2020冬 - r-weblife

こんばんは。ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2020 1日めの記事です。qiita.com 初日なのでゆるふわな話をしましょう。何の話かもうだいぶ前ですね。9月のお話です。こんなTweetを見かけました。社内Slackにいる﹁OAuth認証﹂と書くと訂正してくれるbotが丁寧な解説をするようになっていた認証(Authentication)と認可(Authorization)は間違えやすいわりにミスると甚大な被害をもたらしがちなので、常日頃から意識を高めていきたいですね pic.twitter.com/oVQxBgZcHS— greenspa (@greenspa) 2020年9月28日このbotに対する思うところはもう良いです。今回は、﹁OAuthの仕様に沿ってID連携を実装するいわゆる"OAut

fubar_foo 2020/12/01

openid
oauth

リンク

JSON Web Signatureの紹介 - r-weblife

こんばんは、ritouです。TLで13日の金曜だからJSONの・・・みたいなのを見つけたのでちょっと書きます。って思ったらもう土曜日でしたorz JSON Web Signatureとは？ draft-jones-json-web-signature-02 - JSON Web Signature (JWS) JWSは、HTTP Authorization HeaderやURIクエリパラメータなど制限がある環境でも使えるようなコンパクトな署名形式です。ってあります。ざっくり説明すると、次の3つから構成されます。 JWS Header Input : 署名のためのアルゴリズムなどを含むJSONデータをBase64 URLエンコードしたもの JWS Payload Input : もともと署名つけたかったJSONデータをBase64 URLエンコードしたもの JWS Crypto Out

fubar_foo 2013/09/05

oauth
openid

リンク

Google Identity | Google for Developers

「Google でログイン」の SDK Android 用認証情報マネージャーウェブで Google でログイン（ワンタップを含む） iOS と macOS 用の Google ログイン業界基準パスキー OpenID Connect 以前のログイン Android でのワンタップ登録/ログイン Android 向け Google ログインウェブ向け Google ログイン Google API を呼び出す Android での認証ウェブでの認証 iOS/macOS での認証 OAuth 2.0 の使用 Google のアプリやデバイスとデータを共有する Google アカウントリンク Android 認証情報マネージャーブロックストアデジタルアセットリンク；Digital Asset Links（#適宜文脈に応じて） Android 自動入力フレームワーク Web オー

fubar_foo 2013/03/22

リンク

OAuth 2.0 を使用して Google API にアクセスする | Authorization | Google for Developers

フィードバックを送信 OAuth 2.0 を使用して Google API にアクセスするコレクションでコンテンツを整理必要に応じて、コンテンツの保存と分類を行います。 Google API は、認証と認可に OAuth 2.0 プロトコルを使用します。Google は、ウェブサーバー、クライアント側、インストール型、入力制限のあるデバイスアプリケーションなど、一般的な OAuth 2.0 シナリオをサポートしています。まず、OAuth 2.0 クライアント認証情報を Google API Console から取得します。次に、クライアントアプリケーションは Google 承認サーバーにアクセストークンをリクエストし、レスポンスからトークンを抽出し、アクセスする Google API にそのトークンを送信します。Google で OAuth 2.0 を使用するインタラクティブな

fubar_foo 2013/03/22

リンク

OAuthの認証にWebViewを使うのはやめよう

AndroidからTwitterへアクセスするためのライブラリとして，Twitter4Jが有名です．これを使ってみようと，﹁Android Twitter4J﹂と検索すると認証にWebViewを使った例がたくさん出てきます．・・・いや，ちょっとまて．それはちょっとまずいだろう．そういうわけでもうちょっと賢い方法を探してみました．何がまずいのさ﹁Android Twitter4J﹂と検索すると，上位にこんなページが出てきます． Twitter4jを使ってOAuth認証をアプリ内で行う方法 Twitter4j-2.2.xを使ったOAuth認証のコーディング例 twitter4jでツイートする Android+Twitter4JでOAuthするためのソースコード上のサイトでは次の様は方法をとっています．アプリ内にWebViewを貼り付け WebViewでTwitterの認証画面

fubar_foo 2013/03/22

openid
oauth

リンク

The problem with OAuth for Authentication.

I want to thank Nat Sakimura for doing a version of this post in Japanese . In some of the feedback I have gotten on the openID Connect sp...

fubar_foo 2012/02/20

OAuthを認証に使うとダメな理由：リソースアクセスの場合は通常なりすましはないが，認証の場合はなりすましが問題になる．（OAuthでも同一トークンでクライアント毎にリソースを変える謎実装なら同様の問題がありうる

openid
oauth

リンク

signed_requestの署名を確認する

2024年2月1日拙作プラグインの譲渡について拙作のMovable Typeのプラグインを、株式会社ワールドイズマインに譲渡いたしました。長きにわたり拙作のプラグインをご愛顧いただき、ありがとうございました。昨日、iframe版Facebookページで、﹁いいね﹂されているかどうかで表示を切り替える方法を解説しました。ただ、﹁いいね﹂されているかどうかで、セキュリティ的に重要な情報を表示するかどうかを切り替える場合、signed_requestが本当にFacebookから送られてきたものかどうかをチェックすることが必要です。今日はその方法を解説します。 1.signed_requestの署名昨日のサンプルは、signed_requestの文字列を、単純にデコードするだけでした。ただ、その方法だと、Facebookを装ったデータをPHP等に送りつけられると、﹁いいね﹂されてい

fubar_foo 2012/02/20

signed_requestの場合，HMACを利用．きっと時刻同期が必要だと思われる

リンク

単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる

In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。図１ OAuth 認証？の流れ一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A

fubar_foo 2012/02/06

リンク

Facebook の OAuth Migration で大混乱が起こる前に。 - OAuth.jp

2011/10/01、Facebook が認証まわりの API 仕様を変更します。結構大きな変更点の為、Developer としても、FB Canvas アプリもしくは Facebook Connectサイトの1ユーザーとしても、いろいろ混乱を経験する可能性もあるでしょう。この記事では、大混乱が起こる前に、実際の変更点とDeveloper としてできることをまとめます。変更点1 Graph API 以前に使われていた "fb_sig" や "fb_sig_session_key" といったパラメーターを使った認証方式が、一切使えなくなります。これにより、古い認証方式を使っている Facebook Canvas アプリおよび﹁Facebook ID でログイン﹂対応サイトで、ユーザーの認証ができなくなります。これらのアプリは Graph API 以降に登場した OAuth 2.0 ベ

fubar_foo 2011/10/21

リンク

Facebookログイン - ドキュメンテーション - Meta for Developers

欧州地域でのソーシャルプラグインに対する変更欧州地域でFacebook製品を使用しているユーザーに関しては、Cookie同意プロンプトが更新されたため、ソーシャルプラグインに何らかの影響が現れる可能性があります。欧州地域のユーザーは、1)Facebookアカウントにログインしている、2) 「アプリとウェブサイトのCookie管理」に同意している、のいずれかの条件を満たさない限り、「いいね！」と「コメント」のソーシャルプラグインのサポートを終了します。この二つの要件が満たされていれば、ユーザーは「いいね」や「コメント」ボタンなどのプラグインを見たり、操作したりすることができます。上記のいずれかの条件を満たさない場合、ユーザーはプラグインを見ることができません。欧州地域には、以下の国が含まれます。欧州連合 (EU): オーストリア、ベルギー、ブルガリア、クロアチア、キプロス共和国、チェコ共

fubar_foo 2011/10/17

リンク

OAuthの仕様について〜署名？それっておいしいの？〜

ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blogこんにちは、IDプラットフォーム技術の近藤裕介です。 OAuthを使ったアプリを実装している方の多くは特にパラメータの署名まわりの部分で少し詰まることが多いように見受けられます。署名はOAuthのキモとなる仕組みなので今回はこれに関する記事を書いてみようと思います。署名の仕組み OAuth︵以後OAuth Core︶の仕様では、一般的な署名の仕組みを使ってリクエストの内容の改ざんや送信者のなりすましをされにくくしています。いまのところ以下の3つの署名方式に対応しています。HMAC-SHA1 Service Provider(以後SP)側でConsumerkeyとSecret(秘密鍵)のペアをConsumerに発行し、APIリク

fubar_foo 2011/09/09

oauth

リンク

https://hueniverse.com/2010/09/oauth-2-0-without-signatures-is-bad-for-the-web/

fubar_foo 2011/09/02

リンク

課金API（mixiポイント決済） << mixi Developer Center (ミクシィデベロッパーセンター)

fubar_foo 2011/08/31

リンク

http://www.machu.jp/posts/20110722/p01/

fubar_foo 2011/08/04

リンク

SAP Help Portal

fubar_foo 2011/07/04

oauth

リンク

https://hueniverse.com/2010/05/introducing-oauth-2-0/

fubar_foo 2011/07/04

oauth

リンク

OAuth.jp

いままで Mix-up Attack は Client がAS毎に redirect_uri を使い分けていれば防げると信じられてきましたが、それじゃ防げないケースもあるよってのが OAuth ML に投稿されました。細かい解説は英語読んでもらうとして、シーケンスにするとこういうことです。 Attacker AS が (Display Name やロゴ等を通じて) 一見 Honest Client に見えるような Client (Attacker Client) を Honest AS に登録しておく必要があります。 User が Attacker AS 選んでるのに Honest AS に飛んで Approve してしまってる部分も、Attacker Proxy が利用可能な状況 (e.g., Client が HTTP なエンドポイントで Honest AS のログインボタン等を

fubar_foo 2011/06/09

oauth

リンク

Is OAuth 2.0 Bad for the Web?

Sustainable Security Requirements with the ASVS Josh Grossman provides a brief overview of what the ASVS is, but takes a closer look at balancing trade-offs and prioritizing different security requirements. Josh shares how to make the process repeatable and how to implement it as part of your own organization's requirements process.

fubar_foo 2011/06/09

リンク

oauth2-php - Step by Step Setup and Testing | edin.no-ip.com

My partners and I are now developing OAuth2.0 for Drupal Single-Sign-On (SSO) and Services API integration. During development we discover the oauth2-php library from Google code (http://code.google.com/p/oauth2-php/). Here a simple step-by-step setup and testing procedure. Download the latest source code The official package is still a OAuth2.0 draft v9 implementation (http://oauth2-php.googlecod

fubar_foo 2011/05/25

oauth

リンク

ちょっと前に話題になったOpenID Connectの仕様とは？ - r-weblife

OpenID Connectでググってみたものの、紹介記事ばかりで中身を説明してる人があんまりいないようでした。仕様ドキュメント？かどうかわかりませんが、まともなドキュメントは http://openidconnect.com/ しかありません。英語読めるエンジニアならこれ読んでだいたいわかってるのかもしれませんが、ざっとまとめておきます。3行で説明 OAuth 2.0を使って、URL形式のUser Identifierを返す User Identifierは User Info APIとして属性情報取得に利用できる host-metaを利用した独自Discoveryと、DynamicにClient登録のしくみがある処理フロー OpenID Connect on Web Server Profile シーケンスはこんな感じですね。ここでは、一番処理の多いケースを考えます。条件は

fubar_foo 2011/05/23

openid
oauth

リンク

はてなブックマーク

タグ

関連タグで絞り込む (8)

oauthに関するfubar_fooのブックマーク (32)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第3週）

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス