OAuth2.0のclient_secretって本当に秘密鍵ですか？ - ブログなんだよもん

OAuthをしているサービスをAndroid + PhoneGap経由で使いたくて調べて見ました。 そして、色々調べたり考えたりした結果、 client_secret ってそもそも秘密鍵にする必要なくね？ という天啓を得たので、つらつらと書いてみます。secretって名前なのに秘密である必要がないなんて、わけがわからないよ。 間違ってる気がしてならないので、誰か指摘をしてください。マジで。 とりあえず、前提として自分のサービスの認証替わりに使いたいわけじゃなくて、純粋にそのサービスを使うのが目的。OAuthなサービスはサーバサイドで使ったことは何度かあるんだけど、クライアントサイドで使うという事で、扱いが困るのがclient_secret。名前の通り、秘密鍵として扱う必要があると思ってたんだけど、正直安全にクライアント側で管理する方法が無い。 公開している通常のソースからは外してビルド時に

[tamafuyou]

“the client_secret is obviously not treated as a secret”

[seraphy]

http://stackoverflow.com/questions/27585412/can-i-really-not-ship-open-source-with-client-id

[mad-p]

「最後に考えられるのがアプリケーションの信用の横取り」

[epn123]

セキュリティ たしかに、バイナリに秘密鍵入れるのはダメだ

[mizuno234]

oauth セキュリティ