Making auth easier: OAuth 2.0 for Google APIs
One of the most exciting things about the architecture of the web is how easily it supports mashups—URLs, IFRAMEs, XHR, and more make it easy to build great new services on top of building blocks from others. As more and more people use the web for non-public data, we need new techniques to secure those building blocks. That’s where OAuth comes in—an open, standard way for users to grant permissio
Now with 'Always use HTTPS' goodness
Ever since we launched Remember The Milk, we’ve supported secure and encrypted access over HTTPS to the website for all users (of course, passwords are always encrypted when sent over the Internet :). Today we’re making it even easier to always use a secure connection when accessing your tasks on the Remember The Milk website, with the introduction of the ‘Always use HTTPS’ setting, now available
グーグル、「政府専用Google Apps」発表。しかし、ロサンゼルス市はセキュリティの懸念でGoogle Appsの導入延期へ
グーグル、「政府専用Google Apps」発表。しかし、ロサンゼルス市はセキュリティの懸念でGoogle Appsの導入延期へ Google Apps for Govermentは、米連邦政府が求めるセキュリティ要件「FISMA」（Federal Information Security Management Act）の認定を得たとのこと。グーグルは昨年2009年9月には政府専用Google Appsの開発を表明しており、それが今回実現したものです。 Google Apps for Govermentの機能は、一般に提供されているGoogle Appsと変わらず、Gmail、Google Calendar、Google Docs、Google Sites、ビデオ共有機能などを備えています。 オバマ政権はクラウド調達によるコスト削減策を積極的に展開しており、クラウドをベースにしたITサービ
高木浩光＠自宅の日記 - 岡崎図書館事件について その1, DoS等で業務妨害罪とされた過去の報道事例, 山形の事件は悪意ある攻撃であったことを確認（21日..
■ 岡崎図書館事件について その1 5月26日にこんな報道があった。 図書館HPにアクセス3万3000回 愛知県警 業務妨害容疑、38歳を逮捕, 朝日新聞2010年5月26日朝刊 県警生活経済課と岡崎署によると、容疑者は、4月2日から15日にかけて、岡崎市中央図書館のホームページに、計約33,000回のアクセスを繰り返し、ホームページを閲覧しにくい状態にしたという疑いがある。（略） 同課によると、容疑者は1回ボタンを押すだけで、1秒に1回程度の速度でアクセスを繰り返せるプログラムを作っていたという。容疑者は同図書館の利用者だったが、目立ったトラブルは確認されていないといい、動機を調べている。 図書館にサイバー攻撃, 読売新聞2010年5月26日朝刊 県警は25日、インターネット関連会社社長を偽計業務妨害容疑で逮捕した。（略） 調べに対し、アクセスしたことは認めているが、動機については話して
Hideki SAKAMOTO の雑記 (2010-06-23)
◆ [Rails] 「Ruby on Rails 携帯サイト開発技法」第9章のサンプルコードに含まれる脆弱性について .tright small.(2010/6/25公開)^J2010/6/27: 「追記１」記載、微修正^J2010/6/28: 脚注*5 修正 まとめ ソフトバンククリエイティブ社から発行されている「Ruby on Rails 携帯サイト開発技法」の第9章に掲載されているサンプルコード（ファイル4/4）にはセッションIDの発行・管理に不備があるため、セッションハイジャックが可能です。 解説 この本の第9章には「携帯端末特化型セッション管理」と称していわゆる「かんたんログイン」の実装サンプルが掲載されています。第9章の冒頭部分から、その特長に関する記述を抜粋すると、 Cookieの代わりにリクエストヘッダからの情報を使ってセッション管理を行うという、携帯サイトならではのセッシ
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について
岡崎市中央図書館に1秒間に1回アクセスしたら逮捕されたけど不起訴になった件について。 当事者からの報告とそれに関連した高木先生などのつぶやきをまとめています。不完全かつ進行中です。
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な
XAuth is a Lot Like Democracy
XAuth is a lot like democracy: The worst form of user identity prefs, except for all those others that have been tried (apologies to Churchill). I've just read Eran's rather overblown "XAuth - a Terrible, Horrible, No Good, Very Bad Idea", and I see that the same objections are being tossed around; I'm going to rebut them here to save time in the future. Let's take this from the top. XAuth is a
WASForum Conference 2010: 国民のためのウェブサイトを運営するID認証の舞台裏 (前半) | 水無月ばけらのえび日記
公開: 2010年5月26日1時25分頃 WASForum Conference 2010、オープニングセッションに続いて、ヤフーの松岡泰三さんによる「国民のためのウェブサイトを運営するID認証の舞台裏」。松岡さんは「R&D統括本部プラットフォーム開発本部セントラル開発1部」に属し、OpenID、OAuth、認証API、認証(ログイン)、ソーシャルプラットフォーム、ストレージプラットフォーム、外部サービス連携……といった諸々のお仕事をされているそうで。 今回のお話は大きく前後半に分かれていて、前半はYahoo!の認証に関する仕組みや統計データについてのお話、後半は外部サービスとの連携の話になっていました。まずは前半部分のメモから。 Yahoo! Japan ID の現在アクティブユーザ数 …… 2396万IDYahoo!ウォレットのユーザ数 …… 1900万Yahoo!プレミアムの会員数
Introduction of OAuth 2.0 vol.1
2. • 名前 • Ryo Ito (id:ritou) • アカウント • twitter,friendfeed,hatena : ritou • ブログ • r-weblife http://d.hatena.ne.jp/ritou/ • 内容はOpenID/OAuthあたりが多め • 所属 • OpenID OP かつ OAuth SPな会社 • 2010年5月現在、社会人5年目 3. 2010年5月5日時点で、以下の資料を参考にして OAuth 2.0の仕様を噛み砕いている自分用メモ です。 全てを解説するのは無理なのであとで小分けに ブログで書く予定ですが、話についてこれる方 は参考にしてみてください。 The OAuth 2.0 Protocol draft-hammer- oauth2-00 http://tools.ietf.org/html/draft-ham
Gmail、サードパーティ・アプリケーションに門戸開く - OAuthをサポート | ネット | マイコミジャーナル
米Googleは3月30日(米国時間)、電子メールサービス「Gmail」のIMAP/SMTP機能で「OAuth」認証が利用可能になったことを明らかにした。これによりGmailのデータを活用した様々なサードパーティのアプリケーションやWebサイトの登場が期待できる。 GoogleはData Liberationというポリシーを掲げて、ユーザーがGoogleに置いている自身のデータを自由に利用できるように努めてきた。Gmailにおいては、POPやIMAPを通じてメールデータのエクスポートをサポート、またユーザーからアクセス権限が認められたサードパーティのアプリケーションやWebサイトがコンタクトなどGmail内のデータにアクセスする仕組みも用意してきた。ただし後者では、ユーザーがアクセスを認める際にサードパーティにGoogleアカウントのパスワードを渡す必要があった。そのためパスワード漏洩に対
[OAuth] 携帯でfoursquareのOAuthを無理やりやってみた
モバイルフォースクエアの開発初期に、OAuthでfoursquareの認証をやろうとしていた時に試した結果です。手元にあったAU,docomoの端末で確認しています。 AU(W61CA)でfoursquareのOAuthをやってみた ログイン画面 承認画面 日本語文字化け… 文字化け＆Denyが押せないが、動作はOK！ docomo Cookie対応機種(N-07A)でfoursquareのOAuthをやってみたログイン画面 承認画面 デザインは崩れるが、動作はOK! デザインは崩れるが、動作はOK! docomo Cookie非対応機種(SH704i)でfoursquareのOAuthをやってみたログイン画面→表示が崩れ、ログインボタンを押しても同じ画面が繰り返し表示されるだけ…。 ※当時はログインできていた記憶が…、サーバ側の実装が変わったかもしれないです まとめCookie対応機なら
![[OAuth] 携帯でfoursquareのOAuthを無理やりやってみた](https://cdn-ak-scissors.b.st-hatena.com/image/square/a903da7cbef1e8e8cfab1fe784e6d2186742d401/height=288;version=1;width=512/http%3A%2F%2F4.bp.blogspot.com%2F_IngpC7Xbw78%2FS-6ZdSwmKrI%2FAAAAAAAAAM8%2FA2Unl5Z7vLA%2Fw1200-h630-p-k-no-nu%2Fw61ca-4sq-login.JPG)
Route 477(2010-04-16)
■ [rails] Rails2/3用の認証プラグイン「devise」 http://github.com/plataformatec/devise Railscastsに簡単な紹介が上がってますのでそちらをどうぞ。 動画：Railscasts - Introducing Devise テキスト起こし：ASCIIcasts - “Episode 209 - Introducing Devise” 特徴は 必要なモデル・コントローラはUserのみ (Sessionは使わず、/user/sign_in とか create_user_session_path とかを使う) 認証周りのいろいろな機能がそれぞれモジュール化されている (confirmable, :recoverable, :rememberable...) とか。 Ruby Toolboxの他のプラグインとの比較は： Authlog
高木浩光＠自宅の日記 - ユニークIDがあれば認証ができるという幻想
■ ユニークIDがあれば認証ができるという幻想 2008年のNTTドコモによるiモードID送信開始以降、ケータイWebの世界に「かんたんログイン」なるエセ認証方式が急速に広がり、その実態は「はてなのかんたんログインがオッピロゲだった件」のように惨憺たるものになっている。こうした欠陥サイトはかなりあると考えられ、すべてを調べて廻ることはできないが、いくつかのメジャーどころのサイトについては、IPAの脆弱性届出窓口に通報して、対策を促す作業をやっている。 各サイトの「かんたんログイン」に欠陥があるかどうかは、実際に他人のIDでなりすましログインしてテストすることは許されない（不正アクセス禁止法違反になる）ので、自分用のアカウントを作成して（会員登録して）、自分のIDについてテストするのであるが、誰でも会員登録できるわけでないサイトがかなりあるようで、そういったサイトはどうしたらよいのか。以下は
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Security Questions to Ask Before Engaging with Cloud Providers – Old GigaOm
OAuth Bearer Tokens are a Terrible Idea « hueniverse
local-openid: Single User, Ephemeral OpenID Provider
openid / ab / wiki / Home — Bitbucket
TechCrunch | Startup and Technology News
Freedom In the Cloud - Software Freedom Law Center