アプリで「ログインしっぱなし」はどのように実現されているか？ - Qiita
このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし
トークンを利用した認証・認可 API を実装するとき Authorization: Bearer ヘッダを使っていいのか調べた - Qiita
トークンを利用した認証・認可 API を実装するとき Authorization: Bearer ヘッダを使っていいのか調べたAPIOAuthWeb TL;DR HTTP でトークンを利用した認証・認可をする手法として RFC 6750 がある OAuth に限らず、トークンを利用して認証・認可する機構の一部として Authorization: Bearer ヘッダを使うことができる 使い方について詳しくはこの記事の下のほうに書いた 要求 トークンを利用した認証・認可機構を持つ API を作りたい クライアントがトークンを HTTP リクエストに含めて送信し、サーバはトークンを検証してリソースへのアクセスを許可したい Authorization: Bearer トークン ヘッダでトークンを送る API あるよね、ああいうやつ 疑問 Authorization: Bearer ヘッダは OA
ikepyonのお気楽な日々〜技術ネタ風味〜
セキュリティ機能要件 アプリケーションのセキュリティを考えるとき、必要なセキュリティ機能がいくつか存在する。そしてその要件はほとんどのアプリケーションで大きく変わることがないと思う。以下はそのような不変の機能であると思う。 認証機能 データ暗号化 通信の暗号化 ログ出力機能 認証機能 認証機能を実装する際、以下のような要件が必要と思われる。 1.認証方法 パスワードによる認証を使用するのであれば、次項のパスワードに関する要件を参照すること。 ユーザーが限られ、取り扱う業務が重要であれば、クライアント証明書による認証を検討する。クライアント証明書による認証には、クライアント証明書の取り扱いに関するポリシー、ルールが必要となる。 2.ログインIDポリシー ログインIDに使用できる文字種は数字と大小英字を含み、記号も使用可能とする。 ログインIDにメールアドレスを使用しない。 ログインIDを認証
Evernoteユーザー必見！ 2段階認証を設定して大切なデータへの不正アクセスを防ごう - isuta（イスタ） -私の“好き”にウソをつかない。-
パケがかわいくてテンション上がる！さわやかな香りの優秀ヘアオイル「Arbor」は湿気で広がっちゃう髪にも◎
イヤホン端子に挿すだけのスマホ用セキュリティ装置「SecuLingo」、ロジカルテック
セキュリティ機器を開発・販売するロジカルテックは11月28日、スマホのイヤホン端子に挿せば認証を行う装置「SecuLingo(セキュリンゴ)」を発表、2014年1月に発売する。 「SecuLingo」は、パソコンで用いられているプロテクト用USBドングルと同様の認証機能をスマホのイヤホン端子に挿し込んで行う製品で、認証デバイスとしては世界初という。ドングル内に暗号回路を備え、スマホのソフトウェア暗号と照合、毎回異なるデータをやりとりすることで高いセキュリティを確保する。スマホにSecuLingoを挿さないと起動しないプログラムやアクセスできないウェブサイト、あるいは端末のロックなどに利用できる。 対応端末はiOS6.0以上、Android 2.2以上(イヤホンジャック3.5mmのもの)。サイズは幅27×高さ23(プラグを含めると40mm)×厚み10mm。3Vリチウム電池で動作する。価格はS
2段階認証を使おう～「Microsoft」「Google」「Yahoo! JAPAN」「Facebook」：セキュリティ通信：So-netブログ
2段階認証を使おう～「Microsoft」「Google」「Yahoo! JAPAN」「Facebook」 [インターネット] 不正ログイン対策のひとつとして、ポータルサイトやSNSなどでも「2段階認証」を採用するところが増えてきた。IDとパスワードを使用する従来の認証に、携帯電話などに送られて来る毎回異なるコードの入力を加えることにより、万が一IDとパスワードが盗まれても、それだけではログインできないようにしてしまおうという仕掛けだ。 今回は、国内でもすでに同機能が利用可能な、Microsoft、Googleの「2段階認証」、Yahoo! JAPANの「ワンタイムパスワード」、Facebookの「ログイン認証」についてご紹介する。名前や仕様に若干の違いはあるが、基本的にはどれも同じものと考えてよい。 ■2段階認証にはスマホがおすすめ 2段階認証は、IDとパスワードを使った従来のログイン手
NTTドコモが認証基盤を大手術、「回線ベースの認証はもはや限界」
NTTドコモが同社のクラウドサービス「ドコモクラウド」向け認証基盤の大手術に着手している。従来の回線契約をベースにした認証基盤ではマルチデバイスへ十分対応できないと判断。回線にひも付かないIDをキーとした認証へ変更を進めている。今年の秋冬にかけてドコモクラウドサービスの“キャリアフリー化”が一気に進む見込みだ。 「地味ながら、ドコモにとっては心臓外科手術に等しい大きな取り組み」。こう語るのは、NTTドコモの斎藤剛スマートコミュニケーションサービス部オープンサービス企画担当部長だ。これまでの回線契約（電話番号）をベースとした「docomo ID」の認証基盤を、回線にひも付かないIDベース（例えばメールアドレス）の基盤へと再構築するプロジェクトを統括している。 同社がプロジェクトに着手したのは2012年秋ころ。「回線ベースで認証するサービスがもはや限界に来た」（斎藤部長）からだ（図1）。理由は
パスワードの時代が終わる、DevOpsが台頭--2013年のITトレンド予測
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます アイデンティティがパスワードに取って代わり、開発と運用が一緒に進む“DevOps”が台頭してくる――。CA Technologiesが1月23日に発表したITトレンド予測トップ6によると、2013年はこうしたことが起きるという。 （1）ビッグデータの成長 ビッグデータはすでに企業ITの分野で大きなうねりとなっているが、2013年にビッグデータの管理者は、さまざまな技術と処理能力を使いこなすことのできる重要な役割になっていくと予測している。すでに進行中のビッグデータのプロジェクトは、2013年に投資対効果が実証されるとも予測している。クラウドを合わせることで、ビッグデータは成熟した、ビジネス価値をもたらす手段として定義されるともしている。
アカウント乗っ取りを防げ！Google２段階認証プロセスを設定する全手順
今朝、懐かしい方からメールがあって私はiPhoneをまじまじと見つめてしまいました。それはこのブログにも以前登場した「一流の研究者」の、私の師匠です。 しかしメールの内容はおかしなものでした。「いま海外にいるのだが、同行していた人が急病になってしまい、手術にお金が必要なので送ってくれないか」という内容で、つまりは詐欺メールです。 シグネチャまでも真似ていますが、誰かが師匠のメールアドレスを乗っ取ったのです。### ２段階認証を使おう 師は周囲にコンピュータのウィザードが大勢いますのできっと適切に対応がとられているものと思います。 しかし一度アカウントが乗っ取られると、住所録も含めて奪われてしまいますのでいつまでも自分の名前を騙って友人、親戚にこうした詐欺メールが送られるリスクが続きます。 私の周囲でも今年に入ってGmailが乗っ取られてこうした詐欺メールが飛んできたというケースが複数ありま
OAuth 2.0って知ってますかぁ？その2 - くらラボ研究記録
おはようです、好きな調味料はマヨネーズのくらです。 前回の OAuth 2.0って知ってますかぁ？ではOAuth 2.0のサーバ側のアプリ用のプロトコルであるAuthorization Code Flowをお話しました。今回はその2ということで、エンドユーザさんのブラウザ側で実行されるアプリのタイプである「Implicit Flow」についてまとめますよ〜♪ Implicit Flowとは Implicit FlowとはOAuth 2.0プロトコルのひとつなんです。サーバサイドで利用されるAuthorization Code Flowとちがって、Javascriptなどのスクリプト言語によってブラウザ上で実行されるアプリのフローになります。では、さっそくこの「Implicit Flow」について理解していきましょー！ 1. やっぱりすぐにはAPIにアクセスできませんッ また具体例としてFa
Google、2段階認証プロセスをスタート | ネット | マイコミジャーナル
Google Web Search Googleは7月28日(米国時間)、より安全なログインを実現する「2段階認証プロセス」の提供範囲を拡大し、40の言語に対応し、150を超える国や地域で利用可能になったことを発表した。「2段階認証プロセス」はGoogleが2月10日(米国時間)に発表したログインセキュリティ強化機能。ログイン時にこれまでのIDとパスワード以外にも、その時携帯に送られてくる確認コードを入力するというもの。ログインは面倒になるが、1度ログインしたら向こう30日間まで入力を不要にすることができ、セキュリティと使いやすさの両面を実現している。 Googleが提供するサービス、たとえばGmailであったりGoogleカレンダー、Picasaウェブアルバムなど、もはやGoogleのサービスなくしては生活や仕事が成り立たないという方も少なくないとみられる。こうした状況において、IDとパ
Firefox、ログインの常識を変える「BrowserID」を発表 | エンタープライズ | マイコミジャーナル
Firefox web browser - Faster, more secure & customizable Webサイトへのログインに新しい流行を作るかもしれない興味深い技術がMozillaから発表された。Mozillaの見込みがうまくいけば、数年後にはこの方式でどのWebサイトにもログインできるようになる可能性がある。発表された技術は「BrowserID」と呼ばれている。 Webサイトにおけるログインというのは、利用するユーザにとっても、開発するエンジニアにとっても面倒なものだ。ユーザはサイトごとに異なるIDとパスワードを入力しなければならないし、開発側はログインシステムをプライバシーの保護にも考慮しながら開発する必要がある。 「BrowserID」はこの双方の問題を解決する。開発側は数行のコードをページに挟みこむだけでログイン処理が実装でき、ユーザはどのサイトでもまったく同じUI
第18回 OpenLDAPとSASL | gihyo.jp
最初に 前回までのFDS記事でSASLという言葉が出てきましたが、そういえばこれまでSASLについてあまり触れることがありませんでしたので、今回はOpenLDAPとSASLの関係についてお話ししておきます。 SASLとはSimple Authentication and Security Layerの略であり、簡単に言ってしまうと認証のためのフレームワークのようなものです。SASLを使用することにより、開発者は既存のライブラリや仕組みを再利用することができ、利用者にはチャレンジ・レスポンス認証などの安全な認証方式を提供することができます。 また、認証方式についてですが、SASLの中にはいくつかのメカニズムが用意されており、Kerberos、GSSAPI、DIGEST-MD5などいくつかの方式を利用することができるのですが、今回は検証環境の関係上、KerberosなどではなくDIGEST-M
はてなブックマーク開発ブログ
はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。7月29日（月）～8月4日（日）〔2024年8月第1週〕のトップ30です*1。 順位 タイトル 1位 新卒の子に「とりあえずこれ」と伝えたら生産性が10倍になったメモ（なのに1万字越え）｜やまだくにあき 2位 「クレカを止めても不正利用が止まらない」のメカニズム【鈴木淳也のPay Attention】-Impress Watch 3位 とある博物館の売店を運営することになった話 – icoro 4位 夫の作る麻婆豆腐が絶品 5位 全部ア段にすると古典インドっぽくなる言葉 6位 【読書感想】「叱れば人は育つ」は幻想 ☆☆☆☆☆ - 琥珀色の戯言 7位 「黒字、出ちゃいました」 独立から半年、デイリーポータルZの今 林雄司に聞く (1/4) :: デイリーポータルZ 8位 スイカはこう切って！種が一気
いまさらですけど「OAuthなら安心」という誤解について
Twitter の BASIC 認証が廃止され OAuth が標準の認証方法になりましたね。 BASIC 認証と OAuth ものすごく簡単に言うと、 BASIC 認証というのは毎回 ID とパスワードを使う認証方法なので 外部のサービスを利用するには その運営者に ID とパスワードを預けることになる。 それに対して OAuth というのは Twitter から専用のアクセストークンというものが提供され アプリケーションはそのトークンを使って Twitter にアクセスするので 外部サービス運営者にパスワードを渡す必要がない。 そのサービスの利用をやめたい場合も サービス側に申請する必要はなく、 Twitter のサイト上で「許可を取り消す」というボタンを押すだけ。 これは安心。 安心じゃない 確かに、ID とパスワードを渡すということは 相手がその気になれば何でもできるということ。 ア
キー入力「クセ」で本人確認、１００％識別（読売新聞） - Yahoo!ニュース
ＮＴＴコミュニケーションズは、パソコンのキーボードで入力する際のクセや特徴を見抜いて個人を認証するソフトを開発した。 不正アクセスなどによる「なりすまし」を発見できる利点があり、パソコンを使った遠隔教育などでの活用が見込まれている。今年度中に国内初の商用化を目指している。 「キーストローク・ダイナミックス」と呼ばれる生体認証技術の一種で、キーを押してから離すまでの時間や、次のキーを押すまでのタイミングやリズムなどで個人差が大きいことを利用した。 事前に１０００文字程度のキー入力で様々なパターンのクセを登録し、その後入力される文章１５０文字程度ごとに、本人の打ち方との共通度を判定。打ち方のデータは、ネットワークにつながった利用者のパソコンから、同社の認証用サーバーに送られる仕組みだ。実証実験によると、本人か別人かをほぼ１００％見分けることが可能という。 パソコン利用中は継続して認証で
高木浩光＠自宅の日記 - ユニークIDがあれば認証ができるという幻想
■ ユニークIDがあれば認証ができるという幻想 2008年のNTTドコモによるiモードID送信開始以降、ケータイWebの世界に「かんたんログイン」なるエセ認証方式が急速に広がり、その実態は「はてなのかんたんログインがオッピロゲだった件」のように惨憺たるものになっている。こうした欠陥サイトはかなりあると考えられ、すべてを調べて廻ることはできないが、いくつかのメジャーどころのサイトについては、IPAの脆弱性届出窓口に通報して、対策を促す作業をやっている。 各サイトの「かんたんログイン」に欠陥があるかどうかは、実際に他人のIDでなりすましログインしてテストすることは許されない（不正アクセス禁止法違反になる）ので、自分用のアカウントを作成して（会員登録して）、自分のIDについてテストするのであるが、誰でも会員登録できるわけでないサイトがかなりあるようで、そういったサイトはどうしたらよいのか。以下は
opensso: ホーム
The Open Web SSO project (OpenSSO) provides core identity services to simplify the implementation of transparent single sign-on (SSO) as a security component in a network infrastructure. OpenSSO provides the foundation for integrating diverse web applications that might typically operate against a disparate set of identity repositories and are hosted on a variety of platforms such as web and appli
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.oracle.com/webfolder/technetwork/jp/javamagazine/JavaMag-JF13-Enterprise-bien.pdf
奮闘記その４７:PAMによる認証の話と設定