パスワード氾濫時代のID管理とは？ ～最新のOpenIDが目指すユーザー認証の効率的な強化～
2. Copyright © 2014 OpenID Foundation Japan. All Rights Reserved. アジェンダ 不正アクセス対策としての「ID連携」 ID連携技術概要（SAML、OpenID、OAuth） 最新のID連携仕様 “OpenID Connect” 3. Copyright © 2014 OpenID Foundation Japan. All Rights Reserved. 自己紹介 工藤達雄 http://www.linkedin.com/in/tatsuokudo, @tkudos サン・マイクロシステムズ (1998~2008) https://blogs.oracle.com/tkudo 野村総合研究所 (2008~) OpenIDファウンデーション・ジャパン (2013~) http://openid.or.jp
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
「OAuth 2.0 (Implicit Flow) でログイン」の被害例 - OAuth.jp
。登場人物 OAuth 2.0対応してる某ゲームプラットフォーム 某ゲームプラットフォーム上で占いゲームを運営してる攻撃者 某ゲームプラットフォーム上で運営されてる農園ゲーム（= 被害アプリ） 某ゲームプラットフォーム上で無邪気に遊んでる被害ユーザ ※ 念のため、今回の話は特にゲームに限った話ではない。 前提 某ゲームプラットフォーム、農園ゲーム共に、XSS とか CSRF とかセッションハイジャックされるような脆弱性はない。 農園ゲームはプラットフォームが発行するAccess TokenをOAuth 2.0のImplicit Flowを使って受け取り、同じくプラットフォームが提供するProfile API (GET /me とか) にアクセスして、レスポンスに含まれる user_id をもとにユーザを認証している。 攻撃者は占いゲームのDBから任意のAccess Tokenを取得可能。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
