タグ検索の該当結果が少ないため、タイトル検索結果を表示しています。
CSRF 対策はいまだに Token が必須なのか?
CSRF 対策は One Time Token を form なりに付与して、サーバ側でチェックすれば良い。 それをデフォルトでサポートしてるフレームワークなどもあるし、なくてもライブラリでいくらでも対応できる。 どうせ完全にステートレスなサービスはなかなかないので、サーバ側に redis や memcache を用意するのも別に大変じゃない。 なので、 CSRF 対策として Token を付与するのは、最も安全で推奨できる方式ではある。 っていうのを踏まえた上で、もう SameSite=Lax デフォルトだけど、今でも Token 必須なの？みたいなのがたびたび話に出るので、いい加減まとめる。 前提 この話は、スコープがどこなのかによって話が多少変わるので、そこを絞る。 今回は Passive ではなく Active に対策していく場合を考えるので、前提をこうする。 SameSite=l
GitHubでhttpsのパスワード認証が廃止された。Please use a personal access token instead. - Qiita
GitHubでhttpsのパスワード認証が廃止された。Please use a personal access token instead.GitGitHub $ git push origin branch名 remote: Support for password authentication was removed on August 13, 2021. Please use a personal access token instead. remote: Please see https://github.blog/2020-12-15-token-authentication-requirements-for-git-operations/ for more information. fatal: unable to access 'https://github.com/名前/リ
Token CSS
Token CSS is a work-in-progress. Bugs, missing features, and breaking changes are expected! Token CSS is a new tool that seamlessly integrates Design Tokens into your development workflow. Conceptually, it is inspired by tools like Tailwind, Styled System, and many CSS-in-JS libraries that provide tokenized constraints for your styles—but there's one big difference. Token CSS embraces .css files a
おはようございます。ritou です。 5月下旬ぐらいにチーム内勉強会としてJSON Web Token(JWT)についてわいわいやりました。 その際に作成した資料に簡単な説明を添えつつ紹介します。 このブログではJWTについて色々と記事を書いてきましたが、その範囲を超えるものではありません。 ちょっとだけ長いですが、ちょっとだけです。お付き合いください。それでは始めましょう。 JSON Web Token boot camp 2020 今回の勉強会では、JWTについて概要、仕様紹介という基本的なところから、業務で使っていくにあたって気をつけるべき点といったあたりまでカバーできると良いなと思っています。 JSON Web Token 概要 まずは概要から紹介していきます。 JSON Web Tokenの定義とはということで、RFC7519のAbstractの文章を引用します。 JSON W
RFC 8725 JSON Web Token Best Current Practices をざっくり解説する - Qiita
GitHub Actionsに「強い」AWSの権限を渡したい ~作戦3 - AssumeRole with Google ID Token ~ - KAYAC engineers' blog
こんにちは。技術部の池田です。 この記事では、Github Actions上に「強い」AWSの権限を渡すために以下のことを行います。 App Runnerでお手軽にGoogle ID Token 取得するためのWeb Applicationを動かす。 Web Applicationから取得できるGoogle ID Tokenを信頼するIAM RoleにAssumeRoleする。 AssumeRoleによって得られた一時的な強い権限で、強い権限を要求する作業(Deploy, Terraform Apply)をGithub Actionsで行う。 これにより、Github Actions上にAWSのアクセスキーを置かずに、ある程度安全な方法でAWS上での強い権限を要求する操作を実行できます。 そのため、例えばGithub Repositoryに不正アクセスされてしまったとしても、AWSの本番環
GitHub Actions上でPRを作る時はsecrets.GITHUB_TOKENは使わない方がよさそう - くりにっき
事象 GitHub Actions上で使える secrets.GITHUB_TOKEN だと別のジョブを起動できないというのが一番の理由。 https://docs.github.com/en/actions/reference/events-that-trigger-workflows#triggering-new-workflows-using-a-personal-access-token 具体的にどういうケースで困るのかというと、GitHub Actions上でPRを作った場合にそのPRに対するビルドが行われません。 普通だったらコミットIDの左側に✔が出るはずなんだけど出ない図 pushやPRなどのビルドをGitHub Actions以外（例：CircleCIなど）で行っている場合には問題ないです。 解決策 いくつか案はあるのですが現状だと GitHub App Token を使
Auth TokenをlocalStorageに入れようが、cookieに入れようがどっちもXSS危険性には無防備（同ドメイン内なら ...） - Qiita
Auth TokenをlocalStorageに入れようが、cookieに入れようがどっちもXSS危険性には無防備（同ドメイン内なら ...）JavaScriptcookieJWTxsstoken tokenを保存する場所 localStorage cookie cookie (http only) メモリ内 (変数) よく言われるのが JWT tokenをlocalStorageに入れるべきではない ということ。 理由としてはJavascriptで簡単に読めてしまうので、XSSがあった場合意図しないスクリプトを動かされてしまい、結果としてtokenが盗まれるというもの。 対応策として cookie (http only) を色んな所で推奨してる。 https://techracho.bpsinc.jp/hachi8833/2019_10_09/80851 http://cryto.net
EngineeringSecurityBehind GitHub’s new authentication token formatsWe're excited to share a deep dive into how our new authentication token formats are built and how these improvements are keeping your tokens more secure. As we continue to… We’re excited to share a deep dive into how our new authentication token formats are built and how these improvements are keeping your tokens more secure. As w
SecurityToken authentication requirements for Git operationsIn July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App installation token) for all authenticated Git operations.… In July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App
I saw @VictorTaelin's tweet recently on increasing the effective context window for GPT-* by asking the LLM to compress a prompt which is then fed into another instance of the same model. This seemed like a neat trick, but in practice presents some issues; the compression can be lossy, crucial instructions can be lost, and less characters != less tokens. I set out to build a more usable version of
GitHub Actions - Updating the default GITHUB_TOKEN permissions to read-only
GitHub Actions – Updating the default GITHUB_TOKEN permissions to read-only githubactionsworkflows February 2, 2023 Previously, GitHub Actions gets a GITHUB_TOKEN with both read/write permissions by default whenever Actions is enabled on a repository. As a default, this is too permissive, so to improve security we would like to change the default going forward to a read-only token. You can still f
GitHub ActionsのOIDC id tokenでGCPにアクセスしてみた - ryotarai's blog
注意: この記事は古くなっています。現在は正式リリースされています。ドキュメントはこちら 巷で話題になってるGitHub Actionsのid tokenでGCPにアクセスしてみた。 AWS federation comes to GitHub Actions | Aidan Steele’s blog (usually about AWS) これを参考に試してみた。 GCP側 以下、49482415725, ryotarai-github-oidc-sampleはproject number, project ID（このprojectは削除済み） cloud.google.com これを参考にWorkload Identityまわりの設定をする。 まず、IAM, Resource Manager, Service Account Credentials, and Security Tok
Azure AD参加端末におけるPRT (Primary Refresh Token)悪用のリスクと対策について | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
TOP > セキュリティブログ > ペネトレーションテスト > Azure AD参加端末におけるPRT (Primary Refresh Token)悪用のリスクと対策について はじめに オフェンシブセキュリティ部ペネトレーションテスト課の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテストをしています。 テレワーク環境の整備が進んだ昨今、エンドポイント端末の管理とセキュリティ対策はゼロトラストネットワークを実現するにあたって重要なポイントとなります。 ゼロトラストネットワークのよくある構成の一例としては、エンドポイント端末を Azure ADに参加させてIntuneでデバイス管理を実装している環境が挙げられます。 Azure ADに参加するエンドポイント端末は、PRT(Primary Refresh Token)と呼ばれる認証
GitHub AppsのToken作成Actionが公式から出たので乗り換えるときの注意点 - 風に吹かれても
はじめに GitHub ActionsでGitHub Appsを使うときには登録時に入手できるApp IDとsecret keyから一時的に使用できるトークンを発行する必要があります。 このトークンはGitHubが用意しているRest APIやGraphQL APIに対してリクエストすることによって入手することができます*1が、いちいちAPIを叩く準備をするのは面倒なので個人が作成したActionであるtibdex/github-app-tokenやSentryが提供しているActionであるgetsentry/action-github-app-tokenを使うことによって楽をすることができました。 今まで非公式なActionに依存していたトークン生成ですが、GitHubが公式でAppsトークンを作成するActionであるactions/create-github-app-tokenを提
Mapbox GL JS 2.0からオープンソース・ソフトウェアでなくなり、access tokenが必須になりました - smellman's Broken Diary
クソが！ というわけで、Mapbox GL JSが2.0よりオープンソース・ソフトウェアではなくなりました。 github.com Mapbox SDK for iOSで起きたことがJavascriptでも発生したという感じです。 何が変わるの？ mapbox.accessToken にアクセストークン(public access token)を埋め込まないといけなくなります。 以下のようなコードを試してみましょう。 <script> mapboxgl.accessToken = undefined var map = new mapboxgl.Map({ container: 'map', style: 'https://tile.openstreetmap.jp/styles/osm-bright-ja/style.json', center: [140, 35], zoom: 8 }
GitHub - cybozu/octoken-action: GitHub Action for creating an installation access token for a GitHub App
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
こまけぇ話は置いておいて、BearerとSender-Constrainedの話がHTTP Cookieのところでも出てきたよというお話なのですが、ここを少し補足します。このBearer vs Sender-Constrainedという用語が一番出てくるのがOAuthの文脈です。 文字で読みたい2分間OAuth講座 : (1) The Basic Concepts (2) Bearer and Sender Constrained Tokens - r-weblife Bearer Token : 第1回で説明した地下鉄の切符のようなトークン。所持していれば使えるので、他の人が拾っても使えます。 Sender Constrained Token : 利用者を制限するトークン。飛行機の搭乗券のように、利用者が指定されている、制限されているもの。 概念はこんな感じですが、実装方法は色々なものが
Auth0 を使って ID Token と Access Token の違いをざっくり理解する | DevelopersIO
みなさんは ID Token と Access Token の違いを理解していますか？ Access Token を使用した保護された Web API を実装する機会は何回かありましたが、理解して使っていたかというとそうではありませんでした。プライベートな Web API にアクセスするときは、Access Token を Authorization ヘッダーに Bearer で渡せばいいんでしょ? ID Token?? の認識で、なんとなく使っていたような状態でした。最近、認証・認可や OAuth 2.0 / OpenID Connect を勉強する機会があり、2 つのトークンの違いについてざっくりと理解できましたので、ブログにしてみました。 このブログでは、OAuth 2.0 / OpenID Connect に対応している Auth0 という IDaaS を使って、この 2 つのトー
GitHub - GitHubSecurityLab/actions-permissions: GitHub token permissions Monitor and Advisor actions
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
GitHub - actions/create-github-app-token: GitHub Action for creating a GitHub App Installation Access Token
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
「ID TokenをAuthorization Headerにつけて送る」というお作法について思うところ - r-weblife
macOS 13 VenturaやiOS 16ではCAPTCHAの代わりにPrivate Access Tokenを利用した証明が可能に。
macOS 13 VenturaやiOS 16ではCAPTCHAsの代わりにPrivate Access Tokensを利用した証明が可能になるそうです。詳細は以下から。 現在、ログインを必要とする多くのサイトで、ログインユーザーがボットではなく本当の人間かを判断するため、人間しか判定できない文字を表示して入力させたり、画像中から車や動植物、道路標識などの特定のオブジェクトを含むエリアを選択させる「CAPTCHA* (私はロボットではありません)」テストが利用されていますが、 *Completely Automated Public Turing test to tell Computers and Humans Apart (完全に自動化された、コンピューターと人間を区別する公開チューリングテスト) WWDC22の「Replace CAPTCHAs with Private Access
[Chrome拡張] URLに付いた tracking token を削除する（Chrome Manifest V3対応） | ず＠沖縄
![[Chrome拡張] URLに付いた tracking token を削除する（Chrome Manifest V3対応） | ず＠沖縄](https://cdn-ak-scissors.b.st-hatena.com/image/square/230b075e224782b099423bb76cd100ae95c6236b/height=288;version=1;width=512/https%3A%2F%2Fwww.zukeran.org%2Fshin%2Fd%2Fwp-content%2Fuploads%2F2022%2F08%2F20220815-clid-remover-1.png)
JSON Web Token Validation Bypass in Auth0 Authentication API
CyberCX has released its annual Digital Forensics and Incident Response Year in Review Report for 2023 →
[GitHub]secrets.GITHUB_TOKENで実行できる権限について簡単ながらマッピングしてみた | DevelopersIO
![[GitHub]secrets.GITHUB_TOKENで実行できる権限について簡単ながらマッピングしてみた | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/d1762eaf81b2855f2648b259156f5cb9c7592542/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F07%2Fgithub-eyecatch.png)
Auth0のSilent Authentication (サイレント認証)とRefresh Token Rotation (リフレッシュトークンローテーション)を完全に理解した (い) - 一から勉強させてください
Auth0 の Silent Authentication (サイレント認証)と Refresh Token Rotation (リフレッシュトークンローテーション)を完全に理解したい気持ちが急に高まってきたので書きます。 全体の流れとして React SPA with Auth0 での認可フローについて Silent Authentication (サイレント認証)について Refresh Token Rotation について まとめ みたいな流れで書きつつ、Silent Authentication や Refresh Token Rotation は何を解決しようとしているのか、それぞれのリフレッシュ方法でどのような挙動になるのか、などについて理解を深めていきたいと思います。 また、React SPA with Auth0 の認可フロー部分のイメージを沸かせるために以下のサンプルリ
GitHub Actions: Use the GITHUB_TOKEN with workflow_dispatch and repository_dispatch
GitHub Actions: Use the GITHUB_TOKEN with workflow_dispatch and repository_dispatch actions September 8, 2022 Customers will now be able to use the GITHUB_TOKEN with workflow_dispatch and repository_dispatch events to trigger workflows. Prior to this change, events triggered by GITHUB_TOKEN would not create a new workflow run. This was done to prevent the accidental trigger of endless workflows. T
Capability URLsをBearer Tokenと捉えた場合のJWT適用の可能性 - r-weblife
March 24, 2021 You can now use GITHUB_TOKEN to authenticate with the Packages Container registry in your Actions workflows. Say goodbye to all those PATs (delete them from your profile too!), and say hello to using the GITHUB_TOKEN in your workflows to read, create, update, and delete containers. - name: Login to Packages Container registry uses: docker/login-action@v1 with: registry: ${{ env.REGI
こんにちは。レトリバの飯田(@meshidenn)です。TSUNADE事業部 研究チームのリーダーをしており、マネジメントや論文調査、受託のPOCを行なっています。 みなさんは、BERTなどの学習済み言語モデルに対して語彙を追加したくなることはありませんか？ 諸々の論文(こちらやこちらやこちら)により、特定ドメインやrare-wordの語彙を追加することによって、性能が上がることが知られています。 そこで、語彙を追加しようと思い、TransformersのTokenizerの仕様を見ると、add_tokens という関数があります。これを使えば、tokenizerに語彙を追加できるので、あとはembedding側にも新しい語彙を受け取れるようにすれば万事解決です！ とは、うまくいかないので、今回はこの辺りについて、ちょっとした解説をします。 add_tokensの問題点 なにがうまくいかな
スタディスト開発部の松野です。最近GitHub Actions上でGitHub GraphQL APIを使って情報を取得する機会が多くありました。そこでGitHub Appsなるものを知り、使ってみたのでその紹介をしたいと思います。 結論(TL;DR)GitHub Actions から GitHub API を叩く際の認証と認可でどの仕組みを使うか検討したPersonal Access TokenやOAuth Appを使うと、ユーザー個人に紐づく仕組みのため色々やり辛い社内用の GitHub Appsを作成し、そのPrivate keyからAccess Tokenを生成する方法で解決GitHubと連携するための仕組みGitHubには、作成しているツールとGitHubとの連携を容易にする仕組みとして、GitHub Apps、OAuth App、Personal Access Tokenがあり
はじめに 普段Access Tokenは意識しているけど、Refresh Tokenの存在が薄い部分があるので、改めて何者なのかまとめたいと思います。 ※今回はRefresh Tokenという部分にフォーカスした記事となりますので、そもそものOAuth2の概念等についてはネットに分かりやすい記事がたくさんありますのでそちらを参照ください。 Token Tokenはざっくりいうと認可プロセスを実行するための情報をまとめたものになります。クライアントがこの情報を取得し、リソースサーバへアクセスするために利用されます。 JWT OAuth2のToken自体の形式は仕様化されていないので、よくJWT(JSON Web Token)を利用します。読み方はジョットです。 JSONとあるようにclaimと呼ばれる属性情報がJSONで表現されているTokenになります。 構成要素として以下のようなデータを
コインチェックのIEOに申し込んでみた！仮想通貨トークンセールで「Palette Token」が買えると良いな♪ - マネー報道 MoneyReport
コインチェックの新サービス「IEO」とは 仮想通貨取引所の「コインチェック」が新しいサービスを本日2021年7月1日に開始しました！ その名も「Coincheck IEO」！ コインチェックからのメールを紹介させて頂くと下記の様なサービスの様です。 「IEO（Initial Exchange Offering）」は、企業やプロジェクト等がユーティリティ・トークンを電子的に発行することで資金調達を行う仕組みであるICO（Initial Coin Offering）の中でも、暗号資産取引所が主体となってプロジェクト審査、およびトークン販売を行うモデルです。海外においては、世界中の開発者・投資家・サービスプロバイダー等のネットワーク参加者とオープンな分散型ネットワークを構築する手段や、新たなインセンティブ設計の手段としてIEOが活用されています。 この度、提供を開始する「Coincheck IE
基礎講座シリーズでは「専門的なレベルまでは深堀りしたくないが、1時間だけ真剣に学んで最低限の理解を確保しておきたい」という方を対象に、ブロックチェーンを調べたり説明したりすることを専門にしている我々が情報共有を行っていきます。 今回では、CryptoKittiesやマイクリプトヒーローズ、Gods Unchained, DecentralandなどのゲームやVR空間で使用されているNon-fungible token（以下NFT）について理解していきましょう。
eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.iIr5BW1YfvKF3hK9_1tyf-hGvDs7G7mz8j59pOvi2sp5aX6_Zl0upHXLajbLL574UeB6yQqOxDAh0-WUPnqTLJxbtfIDe3Ni1GWcg4pKf9G0QVOw2EK4_PiSJyf1FAIouXrCgDGJRwFXwIRxlPrTfboCCo68hgXFBAMKLcJW7Pc
William Entriken (@fulldecent), Dieter Shirley <dete@axiomzen.co>, Jacob Evans <jacob@dekz.net>, Nastassia Sachs <nastassia.sachs@protonmail.com> Simple Summary A standard interface for non-fungible tokens, also known as deeds. Abstract The following standard allows for the implementation of a standard API for NFTs within smart contracts. This standard provides basic functionality to track and tra
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
2020年版 チーム内勉強会資料その1 : JSON Web Token - r-weblife
Behind GitHub's new authentication token formats
Token authentication requirements for Git operations
CompressGPT: Decrease Token Usage 70%
indiv（平山 翔）「10分で分かるNFT（Non-fungible token）」（2020年3月初出）
TokenでもCookieでもBearer vs Sender-Constrained の概念を覚えよう｜ritou
GitHub Apps経由で発行したtokenを用いて、GitHub Actionsで使う
Packages: Container registry now supports GITHUB_TOKEN
BERTでの語彙追加~add_tokenに気をつけろ!~ - Retrieva TECH BLOG
Personal Access TokenからGitHub Appsに移行する
米国SEC「Token Safe Harbor 2.0」提案 参考和訳
Refresh Tokenってなに？〜JWTと絡めて〜
10分で分かるNFT（Non-fungible token）
JWT(JSON Web Token)の「仕組み」と「注意点」 - わくわくBank
ERC-721: Non-Fungible Token Standard
note.com/sharp
konpekinospiel.hatenablog.com
soccer-soul.hatenablog.com
coffret11x.hatenablog.com
yaanavi.com
note.com/waterplanet