FacebookからOAuthを停止されてわかった今時のセキュリティ - Uzabase for Engineers

NewsPicksの高山です。 この記事はUzabase Advent Calendar 2021の23日目の記事です。昨日は我らが赤澤剛さんによるAWS Organizationの記事でした。 去る2021年10月12日に突然NewsPicksのサービスでFacebookログインやFacebookへの投稿ができなくなりました。この状態は12月13日まで2ヶ月もの間継続していて、ユーザーさんには不便を強いてしまいました。 米Facebook本社とメールでやりとりしていましたが、メール返信に何週間も待たされ、Facebook日本法人に助けてもらってようやく解決に至ることができました。 この苦労話はいくらでもできるのですが、今回はセキュリティの切り口で書いていきます。 Facebookの「データ保護評価」 データセキュリティ項目 「すべてのプラットフォームデータストレージ(すべてのデータベース

[ot2sy39]

こういう具体的に何を求められているのか解釈が分かれる文書嫌い。行政文書にも多い気がする。

[koyhoge]

FacebookのOAuth認証はこんなに敷居が高くなっていたのか。脱落するサービスもたくさん出てるのかな。

[endo_5501]

“ユーザベースグループとしてISO 27001の登録証を発行してもらっていたため、これを送ったことでかなりプラスに働いたようです”

[youhey]

FB はセキュリティだけに限らず、あらゆる面でバージョンアップのサイクルが早くて良い改善も多いんだけど毎回いっっつも説明不足なイメージある。そして後方互換を切り捨てるのも早いから付いてくのに疲弊する。

[teppeis]

Facebookプラットフォームを利用するために必要なデータ保護アセスメントについて

[ya--mada]

テキトーじゃねぇーかよ、と思ってしまった。FBみたいなプラットフォームから追い出されないとダメなんだな。/nist-sp800-171 といったら厳しすぎるのかもしれないが、近年の米国の情勢を見れば求められて当然では？

[pmakino]

自己申告次第でどうとでもなるの、実効性としていかがなものだろうか

[sawarabi0130]

正直に答えなければ悪質なアプリの業者でも残ってしまうのだろうか？

[NOV1975]

FBもこういうやり方しているとネタに使われるぞ？「FBでログイン、だと突然使えなくなる可能性ありまして、それを防ぐためには結構な保守費用が…」

[rgfx]

「結論からいうと、AWSの機能にお世話になりっぱなしでした。」おお…マネージドの恩恵ってこういうところにも効いてくるんだなあ…

[sds-page]

他人の作った認証に乗っかるだけだから楽かと思いきや満たさないといけない基準が高くて大変そう

[pinkumohikan]

どのぐらい守れば合格点なのか分からないけど、全部守ろうとするとだいぶ大変だ

[asataken]

自社のセキュリティ強化のためにブクマしておく

[Wafer]

"今日の仕事は楽しみですか。"

[hiroomi]

“「アプリとシステムの脆弱性やセキュリティ問題を12か月に1回以上テストしている」”

[shoechang]

Vista, XPはTLS1.2をサポートしてないのでそのことを言っているのではTLS1.1

[msakamoto-sf]

“「ログやその他のセキュリティイベントをモニタリングし、異常なセキュリティ関連イベントのアラートを生成する自動システムを導入している」”

[kenzy_n]

なりすましや騙りが無くなる事を願って