弊社アプリOrarioの安全性（セキュリティ）・危険性に関する公式見解。 | Orario
弊社アプリOrarioの安全性に関する公式見解 2017年04月17日 株式会社Orario 代表取締役 芳本 大樹 各大学・メディアで大学生の個人情報の流出を懸念し、利用を控える呼びかけが行われていることに関して、Orarioの安全性に関する公式見解を公表させていただきます。なお現在利用いただいているユーザー様に対してはご心配おかけいたしまして申し訳ございません。より一層安全にご利用いただけますよう努力してまいりますので、引き続き安心してご利用ください。 時間割アプリの「Orario」の特性と安全性について 各大学、メディアで個人情報の流出を懸念し、学生に時間割アプリの利用を控える呼びかけが行われておりますが、弊社アプリ「Orario」は大学が提供する学生アカウントの一切の不保持を徹底したアプリ設計を行っているため、安全にご利用いただくことができます。 ・開発の背景 大学が提供する情報が
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
OAuth 2.0で最近提案された"Chain" Grant Typeについて調べた - r-weblife
そういえば、GoogleのAPIもついにOAuth 2.0(たぶんDraft 10相当)への対応が行われたとかで、だいぶ浸透してきた感があるOAuth 2.0ですが、まだ仕様はFixしていません。 というか、仕様がFixしてもその単体の仕様に全ての定義が含まれるということにはなりません。 Access Tokenの形式(Access Token Type)はOAuth 2.0本体の仕様ではなく別の仕様になりますし、Access Tokenの取得方法であるGrant Typeについても拡張が許可されています。 今回は、新しいGrant Type仕様が提案されたというので調べてみました。 まずはブログエントリについて Independent Identity: OAuth: New Chain Grant Type "Chain"という、OAuth 2.0のgrant typeが提案されていま
やる夫と Python で学ぶ Twitter の OAuth - 宇宙行きたい
OAuth 調べてみたら難しくて理解出来なかったので， Python で標準ライブラリだけで 1 から書いてみました． ／ ＼ ／ _ノ ヽ､_ ＼ ／ oﾟ(（●）) (（●）)ﾟo ＼ twitter の OAuth 難しいお… | （__人__）' | ＼ ｀⌒´ ／ ＿＿＿_ ／⌒ ⌒＼ ／（ ●） （●）＼ ／::::::⌒（__人__）⌒::::: ＼ だからやる夫でやるお！ | |r┬-| | ＼ `ー'´ ／ Python のサンプルコードを付けていますが， 上から順に読めるようにおもいっきり手続き型で書いています． コメントで実際の処理の説明を書いています． Consumer Key と Consumer Secret の入手 ／￣￣＼ ／ u ＼ .＿＿＿_ |:
AIR/ActionScript3でTwitterのOAuthをするための必要最低限 - キノコの自省録
OAuth面倒くさいので、AIR/AS3で最低限認証通るようになるまでのメモ。 準備Twitterにアプリケーション登録。 https://twitter.com/apps OAuthライブラリ。iotashan氏作のものを利用。 http://code.google.com/p/oauth-as3/ ライブラリを使わず、OAuthを１から叩くと死ねます。 やること1. RequestToken取得 2. PINコード取得 3. AccessToken取得 1.RequestToken取得OAuthConsumerオブジェクトを生成。 keyにTwitterから取得したConsumer keyと、 secretに同じく取得したConsumer secretを設定する。 OAuthRequestオブジェクトを、 RequestTokenのURL(http://twitter.com/oaut
Google App Engine で dropbox API を使うにあたって - かずぽんのブログ
dropbox for developers の このページで公開されている python のライブラリを Google App Engine 上で使うに当たって、いろいろと下準備をしないといけなかった。 他の人も公開されているライブラリを Google App Engine 上で使うかもしれないので、下準備について書いておこうと思う。 パッケージのダウンロード Google App Engine ではこのドキュメントにあるとおり、必要最低限のPython のパッケージモジュールしか Google App Engine にインストールされていない。 このため、dropbox で公開しているライブラリを使うためには、以下のパッケージが必要になる。 oauth poster dropbox client library ブラウザかコマンドで上記のパッケージをダウンロードしてきましょう。 以下は
ガラケーでもOAuthに対応できそうな話
Hiromitsu Takagi @HiromitsuTakagi @mb4sqjp http://www.mb4sq.jp/login ケータイ版の「初めて利用する方」で、OAuthを使うとあるのに他サイトのIDとパスワードを入力させるのはなぜですか？「OAuth認証」ボタンの上に他サイトのパスワード入力欄があるのはおかしくないですか？ 2010-05-09 00:01:40 モバイルフォースクエア @mb4sqjp @HiromitsuTakagi ご指摘ごもっともです。始めはOAuthで実装していたのですが、現在はxAuth(4sqではAuth Exchange)で認証しています。※4sqのoauth画面が一部の機種だと文字化けするため。 説明文早めに直しておきます。 2010-05-09 00:13:19
OAuthプロトコルの中身をざっくり解説してみるよ - ( ꒪⌓꒪) ゆるよろ日記
「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー
PHPでTwitter APIのOAuthを使う方法 - twitteroauth版 - memo.xight.org
Summary PEARの HTTP_OAuthを利用すると、ソースがゴチャゴチャしていたので、 twitteroauth.php を利用してみる。 Access Token, Access Token Secret を取得 http://www.sdn-project.net/ups/oauth_test.txt の $consumer_key と $consumer_secret を変更してブラウザから実行。 例えば、このようなURLで実行。 http://example.com/oauth_test.php 数字が表示されたらNG。 Twitter アプリケーションの設定を見直す。(http://twitter.com/apps) Twitter の 「あなたの招待状」を「ブラウザアプリケーション」にしておくこと。 Callback URL に oauth_test.php へのUR
Google App Engineで他サービスの認証を用いる·gaema MOONGIFT
gaemaはPython製/Google App Engine用のオープンソース・ソフトウェア。Google App EngineではGoogleの認証システムが容易に使えるようになっている。とは言えOpenIDが多数のサイトで対応している現在、認証としては他のサービスを使いたい場合も多い。 OpenIDでログインするサンプル 類似のサービスとしてはTwitterやFacebookが挙げられるだろう。この手のサービスならば通知も兼ね備えるので、さらに使い勝手が良い場合もありそうだ。そんな多彩な認証ニーズに応えるのがgaemaだ。 gaemaは認証統合ライブラリとも言うべきソフトウェアで、OpenID認証の他、OAuth、Googleアカウント、Facebook、FriendFeed、Twitterといったサービスに対応している。デモ版ではGoogleアカウントに対応したものが試せる。 ログ
twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。
忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",
PHPからOAuth認証が出来るPEARライブラリ「HTTP_OAuth」:phpspot開発日誌
HTTP_OAuth PHPからOAuth認証が出来るPEARライブラリ「HTTP_OAuth」が9/2に公開されたようです。 OAuthといえば、Twitterを外部サイトから使う場合なんかで有名ですね。先日、Yahoo!JapanがOAuthのService Providerになりました。 まだ alpha の状態ですが、今後、アプリにOAuthの機能を組み込む場合はチェックしておいたほうがよいかも。 こうしたライブラリを使っていると中身が分からなくても使えるので、概念ぐらいは覚えておいたほうがよいかもしれませんね。 →APIアクセス権を委譲するプロトコル、OAuthを知る − ＠IT 関連エントリ PHPによる「PEAR::System_Daemon」を使ったデーモン構築 HTTPリクエストを簡単にする「PEAR::HTTP_Request2」が出ているみたい PHPの関数キャッシュ
OAuth Sequence Diagram Template - 日向夏特殊応援部隊
OAuth Sequence Diagram Template とりあえず、OAuth のお勉強用にテンプレ化。Web Sequence Diagrams すげー便利だなー。 participant User participant Consumer participant "Service Provider" note over Consumer 6.1 Obtaining an Unauthorized Request Token end note Consumer->"Service Provider": "6.1.1. Consumer Obtains a Request Token" activate "Service Provider" "Service Provider"->Consumer: "6.1.2. Service Provider Issues an Unauth
OAuthのセッション固定攻撃について（翻訳） - ものがたり(旧)
Explaining the OAuth Session Fixation Attackという文章が興味深いものだったので翻訳してみた。何か解決策を思いついた人はOAuthのメーリングリストに送ってあげると良いと思う。って僕は参加してもいないのだけど。あと誤訳とかはコメントしてもらえれば対応します。ワタクシ実のところOAuthなんて使ったこともなかったりして。 （原文はリンク先にもある通り、Eran Hammer-Lahav氏からcc-by 3.0 usで提供されている。） 追記: 日本でもニュースになっていた: http://www.atmarkit.co.jp/news/200904/23/oauth.html 追記2: 元記事の画像がアップデートされていたので、追従して更新 以下翻訳: 先週、われわれが発見して対応したOAuthのプロトコルセキュリティ問題には語るべきことが多くある。
「OAuth Core 1.0 Revision A」日本語訳をつくってみた - tzmtkのブログ
「OAuth Core 1.0 Revision A」を日本語訳してみました。 OAuth Core 1.0 Revision A 日本語訳 http://tzmtk.pbworks.com/OAuthCore10aJP 念のため、それ以前の「OAuth Core 1.0」の日本語訳、また仕様の差分載せておきます。（差分は少ないので本家のものを英語のまま見た方がわかりやすいです） OAuth Core 1.0 日本語訳 http://tzmtk.pbworks.com/OAuthCore10JP Revision Aでの仕様の差分（英語）： http://tzmtk.pbworks.com/sdiff.php?first=oauth%2Bcore%2B10a%2Bcompare&second=oauth%2Bcore%2B10a%2Bcompare.2009-07-10-17-01-14
「OAuth」とは 日本のユーザー襲った“Twitterスパム”の正体
MobsterWorldは、ユーザーはマフィアの1人となってお金を増やすゲーム。ほかのユーザーを敵として戦いを挑み、勝利すれば資金や経験値が得られる。ためた資金を使って武器を買い、攻撃力を高めたりできる。ゲームはTwitterのアカウントと連携しており、ゲーム上での行動がTwitter上でつぶやきとして発言される。 OAuthとは アカウントへのアクセス権を安全に渡せる仕組み Twitterはこの3月からOAuthを導入。ユーザーのアカウントのほぼすべての機能を、ID・パスワードを渡さずに、第三者のサービスから利用できるようにした。 アカウントへのアクセスを提供するだけなら、IDとパスワードを渡すだけでもいい。実際、TwitterのAPIを使ったサービスで、IDとパスワードを入力して利用するものは多い。 ただ、外部サービスにIDとパスワードを渡すとセキュリティ面で不安がある上、パスワードを
tzmtk / OAuthCore10aJP
OAuth Core 1.0 Revision A 日本語訳 はじめに OAuthはウェブサイトやクライアントアプリケーションなどのConsumerに対して、ユーザー自身のID・パスワードを渡すことなく、サService Providerの持つユーザー単位で保護されたリソースへアクセスする権限のみを譲渡することができます。OAuthは認証が必要なリソースへのAPI経由でアクセスする際の、自由度、利便性を提供します。 例として、１つの写真プリントサービス「printer.example.com」（Consumer）があり、あるユーザーが写真ストレージサービス「photos.example.net」（Service Provider）に保存している自分のプライベートな写真データ（リソース）をこの「printer.example.com」に渡したいとします。OAuthを使えば、ユーザーは「pri
APIアクセス権を委譲するプロトコル、OAuthを知る ― ＠IT
クロスドメインでのデジタルアイデンティティを守る APIアクセス権を委譲するプロトコル、 OAuthを知る 作島 立樹 NRIパシフィック 2008/1/21 マッシュアップと呼ばれる仕組みで、既存のWebサービスが次々とつながり、新たなサービスが登場している。しかし、メールアドレスなど重要な個人情報が意図せずに「つながれてしまう」可能性もある。そこで登場したのがアクセス権の「委譲」を目的としたプロトコル、OAuthである。本記事ではOAuthの仕組みとともに、なぜそれが登場したのかという背景にも触れる（編集部） マッシュアップの犠牲になるユーザーのアイデンティティ GETなどのHTTPメソッドをもちいてURLへリクエストする、いわゆる「RESTful」【注1】なWeb APIを使ったアプリケーション同士の交流は、いままさに隆盛を極めている。「マッシュアップ」と呼ばれているこのサービス形態
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OAuth/OpenID Connectを用いてID連携を実装するときに気を付けること #yapcasia
http://www.machu.jp/posts/20090801/p01/