HerokuのOAuthトークン流出で、やっておくといいことリスト（コメント大歓迎）
2022年4月16日(日本時間)にアナウンスがあった、Heroku/Travis-CIのOAuthトークンの流出および悪用を受けて、ユーザーとしてやっておくといいことをまとめました。 GitHubのOrganizationのオーナー向けと個人向けで分けてあります。 追記: 複数の補足のコメントを頂き、記事にも取り込んでいます。ありがとうございます！ 注意 執筆者はGitHub, Heroku, Travis-CIの専門家ではありません。この記事は誤っている可能性があります。 この記事は現在調査中の問題について書かれています。最新情報は必ず公式サイトをご確認ください。 GitHub Heroku Travis CI インシデントの概要 GitHubがHerokuとTravis-CIのOAuthアプリケーションに発行したトークンが流出・悪用したことで、それらの連携が有効だった多くのOrgani
株式会社 ALIS を退職しました
こんにちは、@y_temp4 です！ 新卒で入社した ALIS を 2019 年 6 月末で退職したので、退職エントリを書くことにしました。 約 1 年 3 ヶ月、バイトも含めると 1 年 5 ヶ月くらい ALIS で働いていたことになります。 今後はフリーランスとして活動していくので、もしお仕事のご相談等がありましたら Twitter の DM 等でお声がけいただけますと幸いです！ ALIS って何？ ※すでにご存知の方は読み飛ばしてください。 ALIS はブロックチェーンを活用したソーシャルメディアです。2017 年 9 月に ICO で資金調達を行い、当時の時価で約 4.3 億円の調達に成功しました。 ALIS | 信頼できる記事と人々を明らかにする全く新しいソーシャルメディア ALIS は記事を書くことや、記事にいいねすることによって ALIS トークンを得られるという仕組みがあり
pixiv Bug Bounty Program 2018 - pixiv inside
こんにちは、セキュリティエンジニアのkoboです。ピクシブでは2016年より脆弱性報奨金制度を運用していますが、2018年度に入ってから報奨金の増額や新しいプラットフォームへの参入など、これまでに増して注力しています。本記事では、最近のピクシブの脆弱性報奨金制度の動向と実際に報告された脆弱性の例を紹介していきます。 pixiv Bug Bounty Programの概要 期間: 2016/04〜 支払い済み報奨金総額: 300万円程度 報告総数: 294件 ピクシブでは2年半ほどに渡って脆弱性報奨金制度を実施してきましたが、2018年に入ってから脆弱性報告の件数、クオリティ向上の為に2つの重要な変更を行いました。 報奨金の増額 脆弱性を報告するハッカーに対してこれまでよりも高いインセンティブを提供することで報告を促すため HackerOneへの参入 世界最大のバグバウンティプラットフォーム
Home - Authlete
“OAuth/OIDC Component as a Service” Authlete's APIs are carefully crafted to focus on the core of OAuth 2.0 / OpenID Connect (OIDC). You can choose to build a complete OAuth/OIDC server with Authlete, or simply integrate Authlete with existing service components such as identity and access management (IAM) and API gateways. Just Forward OAuth/OIDC Requests to Authlete You don't have to evaluate cl
Twitterの仕様変更でHeroku Review Appsが使い物にならなくなった - ただのにっき(2018-06-14)
■ Twitterの仕様変更でHeroku Review Appsが使い物にならなくなった 今日、dependabotやtachikoma.ioが送りつけてきたプルリクを動作確認しながら淡々とやっつけていたら、あるWebアプリが動かない。ログにはmemcache(?)で認証(?)関係のメッセージが出ていたので、利用しているMemcacherサービスのトラブルかと思ったらそうではない*1。いろいろたどっていくとTwitter が OAuth 認証時 Callback URL をチェックするようになったみたいという記事をみつけた。これかぁぁぁ。Twitterからのアナウンスは1ヶ月前にあったということなので、まぁ知らずにほっといたおれが悪い。ちゃんと設定すれば問題ない(後述)。productionやstaging環境なら。 問題は、Heroku Review Appsである。 Heroku R
【新機能】AWS ELBのApplication Load Balancer(ALB)の認証機能でWebアプリにGoogle認証を追加する | DevelopersIO
【新機能】AWS ELBのApplication Load Balancer(ALB)の認証機能でWebアプリにGoogle認証を追加する Application Load Balancer(ALB)の認証機能のひとつ、OpenID Connectの例としてWebアプリにGoogle認証をかける様子をご紹介します。 ども、大瀧です。 本日、AWS ELBのApplication Load Balancer(ALB)に認証機能が追加されました。 Simplify Login with Application Load Balancer Built-in Authentication | AWS News Blog ALBの認証機能では様々なことができるのですが独自IdPとの連携は既に他のメンバーが記事を書いているので、本記事ではOpenID Connectの例としてGoogle Identi
OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る
認証は単純な概念で、別の言葉で言えば本人確認です。Web サイトにおける本人確認の最も一般的な方法は ID とパスワードの組を提示してもらうことですが、指紋や虹彩などの生体情報を用いた本人確認方法もありえます。どのような確認方法だとしても (ワンタイムパスワードを使ったり、2-way 認証だったりしても)、認証とは、誰なのかを特定するための処理です。開発者の言葉でこれを表現すると、「認証とは、ユーザーの一意識別子を特定する処理」と言えます。 一方、認可のほうは、「誰が」、「誰に」、「何の権限を」、という三つの要素が出てくるため、複雑になります。加えて、話をややこしくしているのは、この三つの要素のうち、「誰が」を決める処理が「認証処理」であるという点です。すなわち、認可処理にはその一部として認証処理が含まれているため、話がややこしくなっているのです。 認可の三要素をもう少し現場に近い言葉で表
Authlete を使って超高速で OAuth 2.0 サーバー & API サーバーを立てる - Qiita
Authlete を利用して, 超高速で OAuth 2.0 サーバー & API サーバーを立てる方法を解説する. 対象読者 OAuth 2.0 の基本的な概念 (アクセストークン, 認可コードフロー, 認可エンドポイント, トークンエンドポイント等) を大体把握している人 (もしカスタマイズしたいなら) Java 屋さん 所要時間 5~10 分 システム構成 構成は下図の通り. また, 今回は以下のようにダミー情報を用いることに注意. エンドユーザー情報 → 認可サーバー内に定義されたダミー情報 リソース → リソースサーバー内に定義されたダミー情報 手順 手順は以下の通り. Authlete にサインアップ 認可サーバーのセットアップ リソースサーバーのセットアップ 動作確認 1. Authlete にサインアップ 1.1. サインアップ こちらから, Authlete にサインアッ
良い Web API の5つの条件 - ボクココ
ども、@kimihom です。 私は仕事柄、色々な API の仕様を見て実装するようなことをしている。そこで感じる「個人的にあったら嬉しい Web API の機能」について語っていきたい。 1. API とドキュメントが無償で公開されている Web API の資料が誰でもアクセスできるようになっていること。そして開発者は無償でその開発環境を手に入れられること。これが一つ目の条件だ。 至極当たり前のように思えるんだけど、そうじゃないところが結構あるので、一番先に書いた。API を公にせずにドキュメントは担当者とのやり取りでメールの 添付 PDF ファイルにまとめられているとか普通に存在する。または、API を使うのに有料契約しなければ開発する環境すら用意できないところもあったりする。 Web API は色々な企業が自由に開発し、連携できるようになって欲しいと強く願う。一部の企業にだけ契約書を
Pull Requestに潜むタイポを自動的に検出し、修正を代行するBot - Qiita
いざPull Requestのレビュー！と挑んだ瞬間、「ここタイポな」という先制パンチをくらうのはとても残念なことです。 また、これは指摘しているほうにとってもチェックが負担で、気が重いものです。 人間は人間にしかできないチェックに集中すべきですし、貴重なレビュー時間を誤字脱字の修正に使うのはもったいないです。そこで開発したのが、タイポの自動検知と修正を代行するBot。その名もtypotです。 chakki-works/typot こちらは先日公開がアナウンスされたGitHub Marketplaceと共に公開された、新しいGitHubアプリの形態であるGitHub Appsで作成しています(それまではWebhookかOAuthだった)。 GitHub AppsはOAuthのようにユーザーではなく、リポジトリにひもつく形態になります。そのため、管理者ユーザーがいなくなった(あるいは権限を失
データ履歴管理のためのテンポラルデータモデルとReladomoの紹介 #jjug_ccc #ccc_g3
3. 2 Agenda 1. 自己紹介 2. RDBMSで履歴データを扱う スナップショットデータモデル トランザクション時間データモデル 有効時間データモデル バイテンポラルデータモデル 3. Javaからバイテンポラルモデルを容易に扱うReladomoの紹介 hashtag: #ccc_g3 4. 3 自己紹介 趣味：ドラム演奏 JavaOneコミュニティバンド Null Pointersで演奏経験あり（日本人初） Tech Lead @ FOLIO 伊藤 博志 Eclipse Collections：共同プロジェクトリード兼コミッター Reladomo：コントリビューター OpenJDK：コントリビューター JJUG CCC、Java Day Tokyo、JavaOne San Francisco登壇 2017年5月17日に株式会社FOLIO入社。 hashtag:
OpenID Connect 101 @ OpenID TechNight vol.11
The document is a presentation on OpenID Connect 101 by Nov Matake of OpenID Foundation Japan. It provides an overview of OpenID Connect, including how it uses OAuth 2.0 with an added identity layer, the code flow process, ID tokens and their contents, scopes, discovery, and dynamic client registration. It also discusses password leaks, two-factor authentication, and security best practices.Read l
Claudia.jsでサーバレスアーキテクチャでのOAuth対応を簡単に実装する - Qiita
mkdir [Proj Name] && cd [Proj Name] npm init npm install --save claudia-api-builder npm install --save aws-sdk npm install --save axios 以下のようなフロントエンドアプリを実装してみます。エラー処理や詳細は割愛します。また、Hello World的なものはCloudia.jsのTutorialをみた方が手っ取り早いです。 フロントエンドアプリがSNSの認証認可APIからOAuthのアクセストークンを取得する。(略) フロントエンドアプリがアクセストークンを付与してAWS API Gatewayにリクエストを投げる。(略) AWS API GatewayがSNSの認証認可APIを用いてアクセストークンを検証する。 AWS API GatewayがFaaSの関数
HTTPS でも Full URL が漏れる？OAuth の code も漏れるんじゃね？？ - OAuth.jp
なんですかこれは！ New attack bypasses HTTPS protection on Macs, Windows, and Linux DHCP につなぐと PAC ファイルがダウンロードされて HTTPS であろうとアクセス先の Full URL は漏れるですって？ Web Proxy Autodiscovery ですって？ チョットニホンゴデオネガイシマス ってことで、まぁこれが実際どれくらい簡単に実現できる攻撃パターンなのかは他のセキュリティ業界の方々に後で聞くとして、この記事でも触れられてる OpenID Connect とか OAuth2 への影響について、ちょっとまとめておきましょうか。 Authorization Request & Response が漏れる response_mode=form_post なんていうのも一部ありますが、基本 OAuth2 /
Chrome Web Store Publish APIを使ってみようよ - Qiita
Chrome Web Storeに拡張機能等を公開する場合, manifest.jsonやら一式をzipで固めてフォームからアップロードして公開する必要があります. この作業, 適当なシェルスクリプトを書いておけば済むんですけどもどうにも億劫で, デプロイする度に"うまいこと自動で出来たらいいのになー"と思ってたんですが, 最近調べたら公開作業とか自動で出来そうなAPIがありました. Using the Chrome Web Store Publish API - Google Chrome 軽くみたところChrome Web Store向けのzipのアップロードや公開用のAPIが用意されているようです. これはもう試すしかないっしょということで, さっそくコードを書いて動かしてみます. コードの部分はPythonで書いていくよ. 準備はGoogle Developer Consoleから
OSSのクライアントインストール型プログラム(Atom用パッケージ)でOAuth2をなるべく安全に利用する - Qiita
はじめに 前の記事の、「配布物にOAuth2で利用するclient_secretを含むことのリスク」 についての続き。 いろいろなケースでも使えるとは思うが、具体的にはAtom用パッケージでGoogleのAPIを利用するためにOAuth2での認証を行う方法になっている。 先日のポストのあと、Twitterでのコメントも合わせて、良く分かってないながらもいろいろ整理してみた。ここらへんが結構わかりやすかった。 → 「RFCとなった「OAuth 2.0」――その要点は？」 まず、公開するプログラムのタイプは2つありそう。 サーバー型のプログラムで利用する前に前準備が必要で対象は不特定多数 クライアント側のプログラムで利用者はほぼ本人のみですぐに使いたい また、公開方法についても2つある。 バイナリで公開 ソースで公開 今回のパターンはAtomのパッケージなので、2-2に該当するパターンとなる。
GitHub Pages 上で Web Application Flow で GitHub API を使用する - Qiita
tl;dr OAuth.io を利用すれば自前で Web サーバを用意することなしに Web Application Flow で GitHub API を利用することができる。 デモ GitHub Pages で GitHub API を使ってみよう JavaScript でちょっとアレコレするだけの Web アプリを公開するのにサーバを用意するのは面倒です。 Heroku も料金プランの改定により 24 時間稼働させるには有料となってしまいました。 そこで GitHub Pages です。 GitHub Pages は無料で静的な Web ページをホストしてくれます。 GitHub Pages で GitHub API を利用する際の問題点 GitHub API を利用するには OAuth のアクセストークンが必要です。 アクセストークンを取得する方法は Web Application
hello.js - JavaScript API for OAuth2 authentication and RESTful services
hello.js A client-side JavaScript SDK for authenticating with OAuth2 (and OAuth1 with a oauth proxy) web services and querying their REST APIs. HelloJS standardizes paths and responses to common APIs like Google Data Services, Facebook Graph and Windows Live Connect. It’s modular, so that list is growing. No more spaghetti code! E.g. Try out the next version The next version is a modern rewrite of
`gate`をGitHub対応した - Kentaro Kuribayashi's blog
Google認証なリバースプロクシ＆静的コンテンツ配信サーバー「gate」 - unknownplace.orgで紹介されている、typesterさんのgateという、GoogleのOAuth2認証付きプロキシサーバがとても便利そうだったので、即座に使いたくなった。 これは、昨今増えつつあるメトリクス系のツールだとかの、インターネット上に置きつつも、社内のみに提供したいサービスを立てるに際して、フロントにnginxをおいた場合に、認証のことを考えるのがだるい、というか、nginxの設定自体がだるいみたいなときに役立つツールです。その際、自分とこ的にはGitHubのorganizationでアカウント管理できるとさらによいので、GitHub対応をしてpull requestを送ったところmergeされました。ありがとうございます。 会社で運用しているorganizationがfoo_orga
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
