この2年でFirebase Authentication はどう変わった？セキュリティ観点の仕様差分まとめ - Flatt Security Blog

はじめに こんにちは、@okazu_dm です。 今回自分がぴざきゃっとさんが2022年4月に書いた以下の記事を更新したため、本記事ではその差分について簡単にまとめました。 Firebase Authentication利用上の注意点に関して生じた差分とは、すなわち「この2年強の間にどのような仕様変更があったか」と同義だと言えます。IDaaSに限らず認証のセキュリティに興味のある方には参考になるコンテンツだと思います。 更新した記事につきましては、以下をご覧ください。 差分について Firebase Authenticationの落とし穴と、その対策を7種類紹介する、というのがオリジナルの記事の概要でしたが、2年ほどの時間の中で対策については大きく進歩したものが4点ありました(残念ながら落とし穴が無くなった、とまでは言えませんが)。 今回記事の中で更新したのは以下4点です。 落とし穴 1.

[uhavetwocows]

firebaseのアプデに追従して加筆したので差分の解説記事書きました！

[utisam]

ちょうど久々に Auth さわってるので助かる。

[Bryntsalov]

よむ

[unmarshal]

パスワードポリシーはコンソールから設定できれば。。SDKのupdateEmail→前メアドに通知しないverifyBeforeUpdateEmailになった事は驚き。自己サインアップ（セルフサービス）をオフにするとそもそも使うメリットが半減する気が

[shields-pikes]

こういうまとめ、助かる！

[akiramaz]

SMS認証のリプレイアタック対策、やる気ないのかなあ。App Check連携もBetaのままだし

[sin_cos]

使っているものは identity platform ですが、Flatt さんの前回の記事は大いに役に立ってありがたかったんですが、今回の直近のアップデートもパスワードポリシーが有効になってるのを知らなかった・・・。