第1回アイデンティティ飲み会 - Yet Another Hackadelic
期待もこめて第1回と銘打っておきます。（ぉ あと、まだほろ酔いなので内容についてはスルーの方向で。 最終的に参加者は、 http://blogs.sun.com/tkudo/entry/identity_nomi_next_friday となった訳*1ですが、とても考えさせられる飲み会でした。 OpenIDだとかSAMLだとかの切り口の違いって、 誰をターゲットにしてるのか ビジネス的にどーよ って話で分けられるのかなとか思いました。 実はOpenID云々の話は僕は余りしていなくて、SAMLの話の方がにぎやかだった気がするんですが、SAMLが何者でOpenIDと対比してどうなのかは余りオンラインで話題になってない気がするんですけど。どうなんだろう。 id:shinichitomitaがSAMLについての入門を書いてくれるらしいのですが、それに期待すると言う事で。 個人的にはnat=さんのR
OpenIDの使いどころ - 日向夏特殊応援部隊
id:teahutさん*1が早速反応してくれたので、さらに被せちゃいます。 たけまる / OpenID に向いている認証と向いてない認証 の返信です。 OpenIDの使いどころについての分類 Sreg*2やAX*3の存在も含めると、OpenIDの持つ主要な機能は二つで、 IDの認証 IDに関連するメタデータの取得・設定 だと思います。 で前のエントリや、たけまるさんのエントリでは認証と言う機能が適用されるシーンについての話だったかと思います。 認証について たけまるさんはざっくり言えば、ヘビーな用途*4とライトな用途*5に分けてるのかなと思いました。これは分かりやすい分類ですね。 現時点の OpenID は，2. を対象としているのでしょう．サービスの都合でユーザのトラッキングを行いたい． でも，わざわざ新規登録するのは敷居が高くて，多くの人に使ってもらえない． じゃあ，OpenID でユ
たけまる / OpenID に向いている認証と向いてない認証
_ OpenID に向いている認証と向いてない認証 [openid] ZIGOROu さんのとこで，OpenID の使い道について面白い議論がされてい ました． Re:本当は怖いOpenIDによる認証 - Yet Another Hackadelic まず大前提として個人情報等、センシティブなデータを取り扱うサイトは 必ず会員登録は行うべきで、認証、認可はRPのIdentifierに対して与えら れるべきです。 RP (Consumer) のユーザID で認証するのであれば，OpenID を無理に使わ なくても良さそうな気がします．この後，ZIGOROu さんのエントリではい くつかの解決策が提案されているのですが，一歩戻って OpenID の使いど ころについて考えてみることにしました． # これから書くことって当たり前のことな気がするけど，そういうことで # も書いて確認できるのがブロ
OpenIDをとりまくセキュリティ上の脅威とその対策
なりすましは可能か——OpenIDとリプレイ攻撃 次にリプレイ攻撃（Replay Attack）について触れます。リプレイ攻撃とは簡単に説明すると、「パスワードや暗号鍵、あるいは認証済みのセッションデータなどを再利用してそのユーザーになりすます攻撃」といえます。OpenIDでもこのような攻撃が可能でしょうか？——答えは可能です。 id_resモードによってIdPからUserAgentを介してConsumerに渡される認証結果文字列を再度利用することによりConsumerサイトにおいてそのユーザーとして認可されてしまうでしょう。 これはちょっとしたConsumer側の対策で簡単に防ぐことができます。OpenIDの認証トランザクションが開始する際にConsumer側で独自のnonce（ハッシュを用いたなりすまし防止のためのランダムな文字列）をエンドユーザーに対して発行します。このnonceはユ
OpenIDをとりまくセキュリティ上の脅威とその対策 － ＠IT
前回はConsumerサイトを実際に作る際のプログラミングに関してお話ししましたが、今回はOpenIDに関するセキュリティについて考えてみます。 今回取り上げるトピックとしては、 などを段階的に説明していきます。IdPの構築方法を知る前にOpenIDプロトコルのセキュリティに関して熟知しておきましょう。 OpenIDプロトコルにおける通信経路のセキュリティ ここまで詳細に解説してきませんでしたがOpenID認証プロトコルのフェイズにおいて、どのようにセキュリティ上の安全性を担保しているかを解説しましょう。 まずはassociateモードを正常に実行するSmartモードの場合です。 ConsumerはユーザーからのClaimed Identifierを受け取ると、associateのキャッシュが存在しない場合は新規にIdPに対してassociateモードのリクエストを行います。第3回で「as
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
