HTTPS でも Full URL が漏れる？OAuth の code も漏れるんじゃね？？ - OAuth.jp
なんですかこれは！ New attack bypasses HTTPS protection on Macs, Windows, and Linux DHCP につなぐと PAC ファイルがダウンロードされて HTTPS であろうとアクセス先の Full URL は漏れるですって？ Web Proxy Autodiscovery ですって？ チョットニホンゴデオネガイシマス ってことで、まぁこれが実際どれくらい簡単に実現できる攻撃パターンなのかは他のセキュリティ業界の方々に後で聞くとして、この記事でも触れられてる OpenID Connect とか OAuth2 への影響について、ちょっとまとめておきましょうか。 Authorization Request & Response が漏れる response_mode=form_post なんていうのも一部ありますが、基本 OAuth2 /
Chrome Web Store Publish APIを使ってみようよ - Qiita
Chrome Web Storeに拡張機能等を公開する場合, manifest.jsonやら一式をzipで固めてフォームからアップロードして公開する必要があります. この作業, 適当なシェルスクリプトを書いておけば済むんですけどもどうにも億劫で, デプロイする度に"うまいこと自動で出来たらいいのになー"と思ってたんですが, 最近調べたら公開作業とか自動で出来そうなAPIがありました. Using the Chrome Web Store Publish API - Google Chrome 軽くみたところChrome Web Store向けのzipのアップロードや公開用のAPIが用意されているようです. これはもう試すしかないっしょということで, さっそくコードを書いて動かしてみます. コードの部分はPythonで書いていくよ. 準備はGoogle Developer Consoleから
OSSのクライアントインストール型プログラム(Atom用パッケージ)でOAuth2をなるべく安全に利用する - Qiita
はじめに 前の記事の、「配布物にOAuth2で利用するclient_secretを含むことのリスク」 についての続き。 いろいろなケースでも使えるとは思うが、具体的にはAtom用パッケージでGoogleのAPIを利用するためにOAuth2での認証を行う方法になっている。 先日のポストのあと、Twitterでのコメントも合わせて、良く分かってないながらもいろいろ整理してみた。ここらへんが結構わかりやすかった。 → 「RFCとなった「OAuth 2.0」――その要点は？」 まず、公開するプログラムのタイプは2つありそう。 サーバー型のプログラムで利用する前に前準備が必要で対象は不特定多数 クライアント側のプログラムで利用者はほぼ本人のみですぐに使いたい また、公開方法についても2つある。 バイナリで公開 ソースで公開 今回のパターンはAtomのパッケージなので、2-2に該当するパターンとなる。
`gate`をGitHub対応した - Kentaro Kuribayashi's blog
Google認証なリバースプロクシ＆静的コンテンツ配信サーバー「gate」 - unknownplace.orgで紹介されている、typesterさんのgateという、GoogleのOAuth2認証付きプロキシサーバがとても便利そうだったので、即座に使いたくなった。 これは、昨今増えつつあるメトリクス系のツールだとかの、インターネット上に置きつつも、社内のみに提供したいサービスを立てるに際して、フロントにnginxをおいた場合に、認証のことを考えるのがだるい、というか、nginxの設定自体がだるいみたいなときに役立つツールです。その際、自分とこ的にはGitHubのorganizationでアカウント管理できるとさらによいので、GitHub対応をしてpull requestを送ったところmergeされました。ありがとうございます。 会社で運用しているorganizationがfoo_orga
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenID Connect 101 @ OpenID TechNight vol.11
