OAuthに脆弱性、TwitterやYahoo!がAPIを停止 － ＠IT

2009/04/23 APIベースでWebアプリケーションやローカルアプリケーションを連携させる技術として普及が期待されている認可プロトコル「OAuth」（オース）にセッション固定攻撃の脆弱性が発見された。OAuthに対応したAPIを公開しているYahoo!やTwitter、YammerがOAuth対応APIによるデータ提供を緊急停止する事態となっている（Yahoo!のコメント、Twitterのコメント、Yammerのコメント）。一方、OpenSocialなどでOAuthを使っているグーグルはコメントで、問題が発見されたものと異なるOAuthを使っているため、現在提供中のサービスについて影響はないとしている。同様に、DVDレンタルサービスのNetflixも影響はないとしているなど、対応が分かれている。 OAuthコミュニティは2009年4月23日に詳細な脆弱性の報告を掲載。問題は「OAut

[saitokoichi]

『OpenIDはログイン時の認証プロセスをサービスと切り分けることができる枠組みを提供し、OAuthはAPIを使ったデータアクセスをユーザーの明示的な許可に基づいて提供する枠組みを提供する』

[kitone]

CSRFみたいな

[toton]

「OAuth」にセッション固定攻撃の脆弱性

[stibbar]

フォーーーーーーーー！！！Twitterはハードロックなので、事前通告なしにいきなりとめるとか許される。いや、知らないけど。

[Tetsu3]

うえーこうぇー。

[syomu]

Twitter, Yahoo!のサービスに脆弱性?使わないべき?

[tsupo]

プロトコル自体にセッション固定攻撃の脆弱性 / 一方、OpenSocialなどでOAuthを使っているグーグルはコメントで、問題が発見されたものと異なるOAuthを使っているため、現在提供中のサービスについて影響はないとしている

[hirotow]

おーす、おら脆弱性。

[wacky]

oAuthにセッション固定攻撃の脆弱性が発見されたとのこと。問題は「OAuth Core 1.0」のプロトコル自体にあり、OAuthコミュニティは仕様改訂や公開済みの実装のバージョンアップを予定。

[lizy]

openidとの違いがよく分からんな……勉強しないと

[yorihito_tanaka]

「OAuthはOpenIDと並んでオープンなプロトコルによるサイト間連携を行う仕組みで、それぞれユーザー認証・認可のプロトコルだ」が変

[takkaw]

ガビーン