定番メールソフト「Becky! Internet Mail」がMicrosoft 365のOAuth 2.0に対応／Gmailも利用可能
追記 2020-05-13 この方法に問題があることをご指摘いただきました。本来関係ないクライアントがリソースサーバーにアクセスできる問題がありますので、取り急ぎこの方法は非推奨であることを書いておきます(では、どのようにすればいいのかというところをまた後日追記します)。 リソースサーバーと全く関係の無いクライアントが、全く関係のない文脈で正当に取得した ID トークンを用いて、リソースサーバーの API にアクセスできてしまうと思われます。リソース側が evil かどうかも関係なく、むしろリソースサーバーは騙される側ですね。図を参照してください。 pic.twitter.com/kKCZohOgu2 — Taka@Authlete, BaaS for OAuth 2.0 & OpenID Connect (@darutk) May 13, 2020 追記 2020-05-18 結論として
はじめに DPoP（ディーポップ）という仕様を紹介します。 OAuth 2.0 Demonstration of Proof-of-Possession at the Application Layer (DPoP) この仕様は、悪い人がアクセストークンを盗んだとしても、それだけでは API に対する不正アクセスができないようにするための仕組みです。 従来は、クライアントアプリケーションがアクセストークンを提示して API にアクセスしてきたとき、そのアクセストークンが有効であれば、API アクセスは許可されていました。しかし、DPoP などの Proof of Possession（PoP）の仕組みを用いると、アクセストークンを提示しているクライアントがそのアクセストークンの正当な所有者かどうか（＝アクセストークンの発行を受けたクライアントと同一かどうか）もチェックされるようになり、アク
よくあるフローってのは Google の API ドキュメントを読んでたらよくでてくるやつ（Calendar API の例）。つまり: 前回のアクセストークンが保存されていたらそれを使い、なかったら localhost にサーバを立て、redirect_uri をそこに設定した認可のための URL をユーザに提示し、 code を受け取ったらアクセストークンと交換し、 トークンを保存する。 みたいな一連の流れ。これまでどの部分を抽象化したらいいのかあまり感覚がわからなくて手を出してなかったんだけど、いいかげん面倒なので書いてみた次第。 oauth2util package - github.com/motemen/go-nuts/oauth2util - pkg.go.dev 使い方は簡単で import "github.com/motemen/go-nuts/oauth2util" ..
こんにちは！バクラク事業部の@ysakura_です。普段はバクラクビジネスカードの開発をしています。 先日、Partner APIの開発を担当する事になり、その前段としてバクラクシリーズ全体で利用できる OAuth 2.0 の認可サーバーを開発しました。 OAuth 2.0 により、Partner APIのセキュリティ向上を目的としています。 今回は入門記事として、 OAuth 2.0 の元となる課題感 / OAuth 2.0 での解決方法 / API Key方式との比較 を画像を交えながら説明します。OAuth 2.0 は分かった様で分からない状態になる事も多いと思うので、理解の一助になれば幸いです。 ※ あくまで入門記事ですので、OAuth 2.0 の詳細なフロー図などは出てきません。 前提となるシナリオ 他社のシステム(SaaS等)にデータを連携するシーンを考えます。 例として、バク
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは。 サービス統括本部の都筑(@kazuki229_dev)です。 新卒4年目で普段はYahoo! ID連携のサーバーサイド、iOSのSDKの開発などを担当しています。 Yahoo! ID連携とは、Yahoo! JAPANのシングルサインオンやユーザーの属性情報を取得するID連携の仕組みです。 Yahoo! ID連携とは このYahoo! ID連携ではPKCEというOAuth2.0の拡張仕様を実装しました。 https://developer.yahoo.co.jp/changelog/2019-12-12-yconnect.html そこで、PKCEの基本的な話と、実装の際に調査したことをまとめてみました。 PKCEとは
Authlete を活用して OAuth 認可サーバの構築期間を短縮した - Gaudiy Tech Blog
こんにちは、Gaudiyでソフトウェアエンジニアを担当しているsato（@yusukesatoo06）です。 弊社が提供するファンコミュニティプラットフォーム「Gaudiy Fanlink」において、外部サービスにAPI提供をする必要があったことから、外部連携について色々と調べて実装しました。 そこで今回は、調査からサーバ構築までのプロセスと、そこで得た学びや気づきを共有できればと思います。 1. OAuthとは 1-1. OAuthの概要 1-2. OAuthのフロー 2. OAuthが必要な背景 2-1. 外部サービス連携 2-2. 他の連携方式との比較 3. OAuthの提供 3-1. 提供方式 3-2. 今回の選定方式 4. OAuthサーバの構築 4-1. Authleteについて 4-2. 必要なエンドポイント 4-3. システム構成 5. 開発を通じて 5-1. 開発を通じた
「Googleでログイン」「Facebookでログイン」などのOAuth認証を模倣してパスワードを盗み出す手口が考案される
ウェブサービスの中には、サインインの際にGoogleやFacebookといった他サービスのアカウントを用いる「OAuth認証」が可能なものも存在しています。このOAuth認証ページを模倣することでパスワードやIDを盗み出す手口が考案されました。 Browser In The Browser (BITB) Attack | mr.d0x https://mrd0x.com/browser-in-the-browser-phishing-attack/ Behold, a password phishing site that can trick even savvy users | Ars Technica https://arstechnica.com/information-technology/2022/03/behold-a-password-phishing-site-that-c
資料ダウンロード: https://www.authlete.com/ja/resources/videos/20200317/ 2020 年 3 月 17 日にオンライン開催した勉強会『OAuth & OIDC 勉強会 リターンズ【入門編】』の録画です。Authlete の川崎貴彦が、OAuth 2.0 と OpenID Connect の概要、JWS/JWE/JWT、ID トークン、OAuth 2.0 と OpenID Connect のフロー、JWK、PKCE、デプロイメントパターン、Authlete について説明しています。
Slackアプリ(OAuth)をささっと開発し、Slack App ディレクトリに掲載するまでの方法と対策まとめ - Qiita
Slackアプリ(OAuth)をささっと開発し、Slack App ディレクトリに掲載するまでの方法と対策まとめJavaScriptNode.jsAPIOAuthSlack Repsona LLCの@GussieTechです。「ガントチャートも無料でサクサク便利なプロジェクト管理ツール」Repsona（レプソナ）を開発しています。 クリックだけでできるSlack連携を実装しました。案外簡単で、Slack App ディレクトリへの掲載ハードルも高くなかったのです。実装や掲載までの方法、ハマったポイントなどを書きたいと思います。同様の機能を検討している方の参考になれば嬉しいです。 なぜ作ったのか？ Slack連携は、Repsonaユーザーのみなさまからかなり多くのご要望をいただきました。開発後すぐにSlackコミュニティでも連携開始しましたが、更新がリアルタイムで確認できるのはかなり便利です。
【連載】世界一わかりみの深いOAuth入門 〜 その1:OAuthってなに？ 〜 | SIOS Tech. Lab
以下のユースケースを考えてみます。Twitterにつぶやくと、自動的にそのつぶやきがFacebookにも反映される仕組みです。 ID・パスワード認証の場合それでは先のユースケースをID・パスワード認証の場合どのように行われるかを見ていきます。 TwitterのシステムにAさんのFacebookのユーザーID、パスワードを登録します。 Aさんがつぶやきます。 Twitterのシステムに登録されているFacebookのユーザーID・パスワードを元にFacebookに接続します。 TwitterがユーザーAさんの代わりにFacebookに投稿します。 このしくみは、大きな弱点があります。TwitterにはAさんのFacebookのユーザーID・パスワードが登録されています。Twitterを運営している人に悪い人がいて、その人がAさんのFacebookのID・パスワードで勝手にFacebookに接
TwitterにOAuth 2.0でログインできるomniauth-twitter2 gemを作りました | うなすけとあれこれ
tl;dr unasuke/omniauth-twitter2: omniauth strategy for authenticating with twitter oauth2 ↑ これをつくりました Twitter認証、要求される権限がデカい問題 Twitter認証でログインできるWebアプリというものは色々あり、便利なので日々使っているという方は多いことでしょう。 しかしTwitter loginで要求される権限の粒度はこれまで以下の3つしかありませんでした。 Read Read and Write Read and write and Direct message これはあまりにも大雑把で、「要求される権限が広すぎる！」「いやいやこういう事情で……」というやりとりを見掛けたことは何度もあります。 「Twitterのアプリ連携で余計な権限まで求められる！」その理由がよくわかるまとめ【
【書評】OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編） #技術書典 | DevelopersIO
OAuth や OIDC について、仕様を読みながら学習を進めていると、「何に使えるのかよくわからない値」や「挙動はわかっても実際にどのような攻撃を防げるのかがよくわからない値」がたくさん出てくるように感じます。 例えば以下は私の Slack での発言を検索した結果ですが、c_hash で何が防げるのかわからず苦悶しています。 そこで、OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編） を読んでみたところ、この手の混乱に非常に役立つように感じたので、こちらで紹介させていただきます。 OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編） 仕様を元に OAuth や OIDC の勉強をしていてわかりづらいのは、具体的な攻撃の手法よりも前に、防御の方法について記載があるためではないかと感じています。 それに対して、この本では具体的な攻
Auth0を利用してPKCEを一緒に試しつつ、理解していきましょう。本記事ではPKCEを実際に試してみて、理解できることをゴールに書いていきます。 はじめに みなさま。はじめまして、Auth0社の筒井です。ソリューションアーキテクト・テクニカルアカウントマネージャーとして主にAuth0のEnterprise版をご契約頂いたお客様に対して技術支援を行っています。今回はゲストブロガーとして投稿します。 Auth0を利用してPKCEを一緒に試しつつ、理解していきましょう。PKCEはすでに様々なところで詳細に説明されているので、ご存知の方も多いと思います。 本記事ではPKCEを実際に試してみて、理解できることをゴールに書いていきます。 さっそくですが、PKCEって何でしょうか？ PKCEは、Proof Key for Code Exchangeの略で、呼び方はピクシーと呼びます。RFC 7636と
先週末に Zero-day in Sign in with Apple とかいう記事が出ていました。 この記事ではいまいち詳細がわからないんで、ちょっと実際 Apple IdP の挙動調べてみたら、当該 Endpoint 発見しました。 実際にどこが脆弱だったのか 非 Safari ブラウザで、適当な RP にアクセス e.g.,) http://signin-with-apple.herokuapp.com/ (Nov SIWA RP) Safari だと OS の Native UI が出てきてブラウザ遷移しないので注意 既に連携済の RP の場合は一度連携解除しておくこと Sign in with Apple のボタンをクリックして Apple AuthZ Endpoint に遷移 AuthZ EP: https://appleid.apple.com/auth/authorize
OAuth vs SAML vs OpenID Connect vs SSO それぞれの違い。 2020.06.16 社内勉強会 はじめに この記事は株式会社digglueの新卒を含む社員向けの勉強会で利用した内容です。今回のテーマ「OAuth, SAML, OpenID Connect, SSOの違い」です。内容や表現の間違いなどがあるかもしれませんがご了承ください。 学習の目的 OAuthやActive Directoryなどのシングルサインオンの認証について理解を深めようとすると、SAML, OAuth, OpenID Connect, SSOなどの関連性のある用語が多く出てきて混乱します。今回はこれらの用語を比較し、認証についての理解を整理します。 SSO(シングルサインオンとは) 1度のログインにより複数のサービスはアクセスするための仕組みがSSOです。SAML, OAuth,
npm security update: Attack campaign using stolen OAuth tokens
Securitynpm security update: Attack campaign using stolen OAuth tokensnpm's impact analysis of the attack campaign using stolen OAuth tokens and additional findings. As of June 2, 2022, GitHub has completed directly notifying all impacted users for whom we were able to detect abuse from the attack on npm. If you have not received a notification directly from GitHub, we do not have evidence that yo
父 on Twitter: "セブンイレブンのキャンペーンの件、フィッシングかと思ったら公式がpinしていて目を疑った… ほぼアカウント乗っ取りに等しい権限をすべて渡すことを意味している。OAuthのスコープについて理解した開発者が作ったとは考えにくい。緊急メ… https://t.co/oXKL0TFUQC"
セブンイレブンのキャンペーンの件、フィッシングかと思ったら公式がpinしていて目を疑った… ほぼアカウント乗っ取りに等しい権限をすべて渡すことを意味している。OAuthのスコープについて理解した開発者が作ったとは考えにくい。緊急メ… https://t.co/oXKL0TFUQC
【連載】世界一わかりみの深いOAuth入門 〜 その2:アクセストークンとリフレッシュトークン 〜 | SIOS Tech. Lab
こんにちは、サイオステクノロジー武井です。今回は、ちょっと難解なOAuthをわかりみ深く説明してみたいと思います。本記事は、私がOAuthを理解するまでの備忘録みたいなものになり、説明が至らないこと多々あると思いますが、生暖かい目で見守って頂けますと幸いです。 全4回シリーズでお届けする予定で、今回は第2回目となります。 その1：OAuthってなに？ 今回はこちら → その2：アクセストークンとリフレッシュトークン その3：OAuthを認証に使うことの危険性 その4：stateパラメーターによるCSRF対策 アクセストークンとは？ 今回は、「その1：OAuthってなに？」であげたOAuthの4つの特徴のうち、以下の2つ(3と4)を説明致します。 従来のID・パスワードベースとは異なるトークンベースの認証 トークンには限られた権限だけを与えられているので、万が一トークンが盗まれても被害が少な
システム関連で幅広い事業を展開しているサイオステクノロジーのプロフェッショナルサービスチームが、日々何を考え、どんな仕事をしているかを共有する「SIOS PS Live配信」。今回は、利用頻度の高いOAuthをテーマにシニアアーキテクトの武井氏が登壇しました。まずはID・パスワード認証と比較しながら、OAuth認証について紹介します。全4回。 セッションのアジェンダ 武井宜行氏：こんにちは。SIOS PS Liveの第1回目を始めます。SIOS PS Liveでは、サイオステクノロジーのプロフェッショナルサービスラインのエンジニアたちが、隔週に渡っていろいろな技術情報を提供していきます。 弊社は認証、特にプロフェッショナルサービスラインは認証技術を得意としている部署なので、第1回目は「OAuthの入門」と題して、「世界一わかりみの深いOAuth入門」について説明したいと思います。さっそく始
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは、「Microsoft Teams」の新機能を次々とリリースしている。これは新型コロナウイルスの感染拡大を受けてテレワークを導入し、Teamsを利用するようになった7500万人のユーザーを支援するためだ。しかし、Teamsのポートフォリオで、このソーシャルディスタンスの恩恵を受けていない製品に、ビデオ会議向けの「Microsoft Teams Rooms」がある。 TwitterやSquareなどの企業は新型コロナの終息後、ビデオ会議製品を必要としなくなる可能性が高い。両社の最高経営責任者（CEO）を務めるJack Dorsey氏は米国時間5月18日、オフィスが再開した後も、在宅勤務を続ける選択肢を従業員に提供したか
Nginx + OAuth2 Proxy + StreamlitでGoogleログイン後にStreamlitにアクセスする環境をローカルコンテナ環境で作ってみた | DevelopersIO
Nginx + OAuth2 Proxy + StreamlitでGoogleログイン後にStreamlitにアクセスする環境をローカルコンテナ環境で作ってみた こんちには。 データアナリティクス事業本部 機械学習チームの中村(nokomoro3)です。 今回は、Nginx + OAuth2 Proxy + StreamlitでGoogleログイン後にStreamlitにアクセスする環境をローカルコンテナ環境で作ってみます。 実行環境と準備 実行環境としてはWindows 10マシンを使います。 また前提としてRancher Desktopをセットアップ済みであり、Googleの認証情報作成のためにGoogle Cloudにログインできる環境を作成済みという前提で進めます。 Rancher Desktopのセットアップについては以下も参考にされてください。 Windows 11 に Ran
雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH
※ 2023年改定: Google Cloudのキャプチャを最新のものに差し替えました。 ※ 電子版はpdfとepubをダンロードできます。 ステッカーは「OAuth完全に理解した！」ステッカーになります。 トップの画像をご確認ください。 Auth屋の本の評判: https://togetter.com/li/1477483 本書の書評: https://dev.classmethod.jp/articles/atmosphere-oauth2-0-book/ ※ 2023年改定: Google Cloudのキャプチャを最新のものに差し替えました。 ※ 電子版はpdfとepubをダンロードできます。 ステッカーは「OAuth完全に理解した！」ステッカーになります。 トップの画像をご確認ください。 Auth屋の本の評判: https://togetter.com/li/1477483 本書の
![雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH](https://cdn-ak-scissors.b.st-hatena.com/image/square/c58b3500ffe21a145cd03b5a1035694bdb90f44c/height=288;version=1;width=512/https%3A%2F%2Fbooth.pximg.net%2Fc%2F620x620%2Fcf80a27c-5163-4a4b-9d2b-2ba823d41bec%2Fi%2F1296585%2Fe4c73e6e-fc1c-433e-803f-3600aad8e634_base_resized.jpg)
GitHubのセキュリティチームは4月15日、公式ブログ「Security alert: Attack campaign involving stolen OAuth user tokens issued to two third-party integrators」において、盗まれたOAuthユーザートークンを悪用してGitHubのプライベートリポジトリなどにアクセスし、データを盗み出す攻撃が確認されたと伝えた。 攻撃者による悪用が確認されたのはHerokuおよびTravis-CIによって発行されたOAuthユーザートークンで、これらのトークンを使用するnpmを含む数十の組織からデータがダウンロードされた形跡があるという。 Security alert: Attack campaign involving stolen OAuth user tokens issued to two th
OAuth 2.0 Security Best Current Practice Abstract This document describes best current security practice for OAuth 2.0. It updates and extends the OAuth 2.0 Security Threat Model to incorporate practical experiences gathered since OAuth 2.0 was published and covers new threats relevant due to the broader application of OAuth 2.0.¶ Status of This Memo This Internet-Draft is submitted in full confor
OAuth 2.0 および OpenID Connect (OIDC) は、関連技術を含め、数多くの仕様から構成されています。API アクセス認可やデジタルアイデンティティを専門としない方にとっては、OAuth 2.0 / OIDC 仕様をどこからどのように理解し、これらの仕様に準拠したサーバーをどのように実装すれば良いのか、難しさを感じることも少なくないかと思います。 そこで今回は、一昨年実施し好評を博した、OAuth 2.0 ＆ OpenID Connect をフルスクラッチ実装したエンジニア（株式会社 Authlete 代表）による解説を中心とした勉強会を再開催いたします。また最近の仕様策定の動向についても、アップデートをお伝えいたします。 OAuth 2.0 と OpenID Connect の概要 JWS/JWE/JWT、ID トークン OAuth 2.0 と OpenID Co
※この記事は別アカウント(hyiromori)から引っ越しました はじめに 最近、個人的に認証認可周りを学習していて、今回は OpenID Connect について学習したのでその内容をまとめた記事です。 世の中には既に OpenID Connect に関する優れた書籍やブログ記事が沢山ありますが、自分が学習する過程で色々なものを読むことでより理解が深まったと思うので、自分も学習したものをアウトプットすることで同じように学習している人の理解の助けになればと思い書きました。 まだ私も学習中なので、もし間違ったところなどあればコメント頂けるとありがたいです。 OpenID Connect とはなにか？ OAuth2.0をベースにして（認可だけでなく）認証も行えるようにした拡張仕様です。 なぜOAuth2.0が認証に使えないかというと、以下のように認証に使ってしまうとリスクが非常に高いからです。
上原 哲太郎/Tetsu. Uehara on Twitter: "噂になってるので見に行ってみましたが、なんじゃこりゃー！キャンペーン応募しようとすると、OAUTH認証連携要求されて、ムチャ過大な権限要求されるんですが。これOKすると7-11はあなたの代わりにツイートもDMもプロフ変更もできる。… https://t.co/bGccgsjRq8"
噂になってるので見に行ってみましたが、なんじゃこりゃー！キャンペーン応募しようとすると、OAUTH認証連携要求されて、ムチャ過大な権限要求されるんですが。これOKすると7-11はあなたの代わりにツイートもDMもプロフ変更もできる。… https://t.co/bGccgsjRq8
OAuthとは何？1.0とか2.0とかあるけど？ OAuthの歴史や由来についてOAuth。それは認証。それはわかるんですけどね…そもそもなんであるんだろうとかいうところからスタートの私。歴史を知っておくことは、今後の勉強の助けになることでしょう。温故知新。 まず読み方を調べてみると「オーオース」と読むらしいです。オーオー。語源的にはauthは「Authorization」でしょうよ。じゃ、頭文字Oはなんなのさ？
認証機能のないアプリケーションでOAuth2認証を提供する - OAuth2 Proxy 編 - 弥生開発者ブログ
こんにちは。Misoca 開発チームの eitoball です。先日、いびがわマラソン2019 を走ってきました。フルマラソンは2回目ですが、初めてサブ4（グロスで3時間55分、ネットで3時間47分）を達成しました！ はじめに 今回は、Webサイトへのアクセス制限に GitHub や Facebook の認証を簡単に使えるようにできる OAuth2 Proxy というソフトウェアの紹介です。 OAuth2 Proxy この記事、https://tech.misoca.jp/entry/2015/04/07/145743 では、mod_auth_openidc という Apache のモジュールを利用して、ウェブサイトに認証機能を追加する方法を紹介しました。認証に使うサービスは、OpenID Connect Provider である必要があります。OAuth2 Proxy では、認証に使うサ
For the past few years, security research has been something I’ve done in my spare time. I know there are people that make a living off of bug bounty programs, but I’ve personally just spent a few hours here and there whenever I feel like it. That said, I’ve always wanted to figure out whether I’d be able to make a living on bug bounties if I chose to work on them full time. So I tried doing that
APIキー、OAuthクライアントID、サービスアカウントキーの違い:Google APIs - 無粋な日々に
GoogleのサービスをAPI経由で利用する際、大きく3つの認証情報が登場します。「APIキー」、「OAuth2.0クライアントID」、「サービスアカウントキー」です。本投稿ではこれらの用途をざっくりと整理し、取得方法、Pythonでの使い方の違いを説明します。 まとめ 基本事項のおさらい APIの性質 認証情報の役割 3つの認証情報は想定される利用シーンが異なる 1. APIキー 取得方法 1. プロジェクトを選択 2. APIキーの作成 3. キーで利用するAPIを制限する（オプショナル） Pythonでの利用例 2.OAuth2.0クライントID 取得方法 1.同意画面の設定 2.OAuthクライアントIDの作成 Pythonでの利用例 3. サービスアカウントキー 取得方法 1. プロジェクトを選択 2. サービスアカウントキーの作成 3. 鍵ペアの作成 Pythonでの利用例 ま
SNSが一般的になって久しい昨今、SNSアカウントでサイトのサービスへログイン可能とする、いわゆるOAuth認証をよく見かけるようになってきました。 OAuth認証ログイン機能は、ユーザーからしてもサイトごとにログインIDやパスワードを覚えてなくて済むようになるため、とても有用な機能です。 ただし、そんな便利なOAuth認証ですがサイトからすると外部ドメインにあたるため、うまく設定をしないとGoogleアナリティクスでセッションが切れてしまうケースがあります。 今回はOAuth認証利用時にもセッションを切れないようにするための方法を紹介します。 なぜOAuth認証のための特別な設定が必要なのか 対応方法の概要 GTMでの具体的な対応の手順 GTM側での設定 GA側での設定 GTMの設定サンプルダウンロード なぜOAuth認証のための特別な設定が必要なのか Googleアナリティクスではセッ
Upcoming security changes to Google's OAuth 2.0 authorization endpoint in embedded webviews
Upcoming security changes to Google's OAuth 2.0 authorization endpoint in embedded webviews Posted by Badi Azad, Group Product Manager (@badiazad) The Google Identity team is continually working to improve Google Account security and create a safer and more secure experience for our users. As part of that work, we recently introduced a new secure browser policy prohibiting Google OAuth requests in
GitHub - oauth2-proxy/oauth2-proxy: A reverse proxy that provides authentication with Google, Azure, OpenID Connect and many more identity providers.
A reverse proxy and static file server that provides authentication using Providers (Google, Keycloak, GitHub and others) to validate accounts by email, domain or group. Note: This repository was forked from bitly/OAuth2_Proxy on 27/11/2018. Versions v3.0.0 and up are from this fork and will have diverged from any changes in the original fork. A list of changes can be seen in the CHANGELOG. Note:
OAuth2.0の流れをまとめてみる
※この記事は別アカウント(hyiromori)から引っ越しました はじめに 最近、個人的に認証認可周りを学習していて、その過程でOAuth2.0について学習している内容をまとめた記事です。 世の中には既にOAuth2.0に関する優れた書籍やブログ記事が沢山ありますが、自分が学習する過程で色々なものを読むことでより理解が深まったと思うので、自分も学習したものをアウトプットすることで同じように学習している人の理解の助けになればと思い書きました。 まだ私も学習中なので、もし間違ったところなどあればコメント頂けるとありがたいです。 注意点 この記事内ではOAuth2.0で定義されているフロー の1つ、認可コードによる付与（Authorization Code Grant）についてまとめています。 たくさんの仕様をいきなり網羅的にまとめるのは難しいので、1つに絞って今回はまとめています。 OAuth
AndroidでAppAuthを使ってOAuth 2.0認証を行う - asoview! Tech Blog
これはアソビュー！ Advent Calendar 2022の24日目です。 いよいよクリスマスイブまで来ました。 アソビューでバックエンドエンジニアをしている上中です。 はじめに ネイティブアプリでのOAuth認証 認証の流れ 実装 環境 Gradle アプリ内ブラウザを起動するまで 認可コード取得〜アクセストークン取得まで 最後に はじめに アソビュー！では2022年の夏に、待望のスマホアプリをリリースしました。 tech.asoview.co.jp ECサイトアソビュー！のユーザ認証はOAuth 2.0の認可コードフローで行っており、アプリではiOS/Android共にAppAuthというライブラリを利用してOAuth認証を実現しています。 AppAuthは、Android/iOSのネイティブアプリにおけるOAuth認証の認証フロー実装をよしなに抽象化してくれるライブラリです。 そこ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アプリケーションを oauth2-proxy で保護して curl でアクセスするまで
図解 DPoP (OAuth アクセストークンのセキュリティ向上策の一つ) - Qiita
OAuth2 のよくあるフローを何回も書きたくない #Go - 詩と創作・思索のひろば
「秀丸メール」からGmailにアクセスできなくなる事例多発 ～OAuthログインへの切り替えを／Yahoo!メールからの受信でエラーが発生する事例についても回避策を案内
OAuth 2.0 が解決するAPI連携の課題 - LayerX エンジニアブログ
OAuth2.0拡張仕様のPKCE実装紹介 〜 Yahoo! ID連携に導入しました
OAuth & OIDC 入門編 by #authlete
Auth0を利用してOAuth 2.0のPKCEを理解する | DevelopersIO
Zero-day in Sign in with Apple Deep-dive - OAuth.jp
OAuth vs SAML vs OpenID Connect vs SSO それぞれの違い。
OAuthのメリットは認可のためのプロトコルであること 従来のID・パスワードを利用した場合と比較した、OAuthの特徴とフロー
「Microsoft Teams Rooms」がまもなく「OAuth 2.0」認証に切り替え
「秀丸メール」の「Gmail」OAuth認証でサインイン不能 ～Google側のセキュリティ強化の影響で／対策版が先行開発バージョンとしてリリース
盗まれたOAuthユーザートークンでGitHubリポジトリからデータ奪う攻撃発生
OAuth 2.0 Security Best Current Practice
「OpenTween」のOAuthトークンが凍結、“Twitter”が利用不能に／5年ぶり2度目
OAuth & OIDC 勉強会 【入門編】 - Authlete
OpenID Connect についてと OAuth2.0 との違いを調べてみた
OAuth1.0認証を取る方法。読み方すら不明な認証をさくっとね。
Bypassing GitHub’s OAuth flow
SNSのドメインをOAuth認証時のもののみ参照元除外させる方法 | アユダンテ株式会社