OpenID 2.0 における Covert Redirect と RP Discovery - OAuth.jp
さて、OAuth 2.0 & OpenID Connect における Covert Redirect の問題 についてはまとめたので、次は OpenID 2.0 についてです。 いいですか、OpenID Connect ではなく、OpenID 2.0 ですよ。古い方です。懐かしいですね、OpenID Authentication 2.0 – Final。 そういえば、OpenID Foundation Japan の翻訳 WG を立ち上げて、一番最初に翻訳したのが OpenID Authentication 2.0 の 日本語訳でしたね…(遠い目 と、昔話はそれくらいにして、本題に入りましょう。 まずは Covert Redirect 発生条件について OpenID 2.0 では、レスポンスパラメータは query に引っ付いてきます。fragment は使いません。 なので、open r
Covert Redirect is not new but.. A risk analysis and recommendations
Covert Redirect is not new but.. A risk analysis and recommendations So, there has been a flurry of worries induced by the CNET and other articles [1] about “Covert Redirect”. Like Leandro Boffi wrote in his blog post [2], this is not a new attack. It is an attack that has been known for at least 6 years. It is very disappointing that, after this long years, there still are sites this buggy, but w
Implicit Flow では Covert Redirect で Token 漏れるね - OAuth.jp
この記事は、先ほど書いたこちらの記事の訂正版です。 記事に入る前に、まずは全シンガポールにお詫び申し上げますm m さて、Covert Redirect についての説明は…超絶取り消し線はいりまくってる前の記事を読んでください、でいいでしょうか？ で、訂正分だけ以下に。 Fragment Handling in Redirect 宮川さんが記事にしてますね。 英語だけど。 で、まぁ要するに、(Modern Browser は) 30x リダイレクト時にリダイレクト元に付いてた URL fragment をリダイレクト先にも引っ付ける、と。 fragment は server-side には送られないけど、クライアントサイドではリダイレクト先に引き継がれる、と。 試しに http://www.idcon.org/#foobar にアクセスすると、http://idcon.org/#fooba
OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp
訂正 リダイレクト時の fragment の扱いを勘違いしていたため、本記事全体訂正します。 細かく訂正いれてると分けわかんなくなってきたんで、新しい記事書きました。 ゴールデンウィークまっただなかに Twitter で海外の ID 厨から袋だたきにあってたので、もうこの問題は片付いただろうとすっかり油断してた「Covert Redirect」の件ですが、日本でもゴールデンウィーク明けてバズりだしたので、一旦問題を整理した方がよさそうですね。 事の発端 Wang Jing さんていうシンガポールの大学院生が、こんなサイトを公開すると共に CNet はじめ各種メディアが取り上げたのが、バズりだした発端のようです。 前提知識 OAuth 2.0 や OpenID Connect だけでなく、OAuth 1.0 や OpenID 1.0/2.0 や SAML なんかでも、2つのサービスの間でリダ
OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も
OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Technological University（南洋理工大学）で学ぶ博士課程の学生Wang Jing氏は、「Covert Redirect」という深刻な脆弱性によって、影響を受けるサイトのドメイン上でログイン用ポップアップ画面を偽装できることを発見した。Covert Redirectは、既知のエクスプロイトパラメータに基づいている。 たとえば、悪意あるフィッシングリンクをクリックすると、Faceboo
最新のOpenAMを導入してOpenID Connect ServerとClientを実装する(前夜) | 天上TENGA唯我独尊
昨日、次世代フェデレーションプロトコルであるOpenID Connectが遂にコミットしたようだ。 画像は大好きな西島亜希ちゃんにワシの股間がコミットした瞬間を捉えたものである。 それに伴いかどうかは分からんが、OpenAMにも標準でOpenID Connectの機能が導入された模様。 そこで今回は、廉価で体験できるOSSを利用してOpenID Connectのサーバサイドの構築手順、クライアントサイドの実装サンプルを紹介する。 いきなりインストールの手順からブッこんでいくのも多少味気ないので、まずはビジョナリーからだ。 -認証認可連携とは何なのか- もしこんな質問を受けたらなんて答えるだろうか？ 「安心安全のログインシステムを構築するには、どうすればよいですか？」 このご時世、模範解答は決まっている、「自分でログインシステムを作らないこと」だ。 多くの方がご存知のとおり、インタ
OpenID Connect Identity Protocol Launches With Support From Google, Microsoft & Others | TechCrunch
OpenID Connect Identity Protocol Launches With Support From Google, Microsoft & Others Signing users in to a mobile or web app isn’t necessarily hard, but keeping their credentials safe is something that’s often best left to specialists. The OpenID Foundation today announced the launch of OpenID Connect, the organization’s latest standard for authenticating users and building distributed identity
12/17(火)、「ユーザーとシステムを繋ぐ「認証」を知ろう！ 〜OpenID Connect〜」に参加しました。 #devlove - ミッションたぶんPossible
はじめに 昨日は「渋谷：VOYAGE GROUP」で開催されたDevLOVE勉強会「ユーザーとシステムを繋ぐ「認証」を知ろう！ 〜OpenID Connect〜」に参加しました。 現在従事している仕事が有料の携帯コンテンツの開発・運用ということもあって、キャリアとの認証処理は必ず関わるのですが、どうも難し過ぎて分からないことが多く…。ちょっとでも取っつき易くしたい、理解を深めたいと思い、参加したのが動機です。自分でサービスを作るにしても絶対に必要になる知識ですしね。 当日のツイートはこちら。 2013/12/17 ユーザーとシステムを繋ぐ「認証」を知ろう！ ～OpenID Connect～ #devlove - Togetterまとめ なぜOpenID Connectが必要となったのか、その歴史的背景 最初は工藤達雄さんから、認証処理の背景と歴史を解説して頂きました。以下、聴講時のメモです
なぜOpenID Connectが必要となったのか、その歴史的背景
Prepared for #DevLOVE http://devlove.doorkeeper.jp/events/7419
事務局ブログ：OpenID 2.0 から OpenID Connect への移行のプラクティス @ Google (追記あり)
Google が RP (リライング・パーティ) に返却する「ユーザー識別子」は、同一ユーザーであっても、利用する API によって異なります。たとえば OpenID 2.0 ではユーザー識別子は "https://www.google.com/accounts/o8/id?id=Apt0atlGwa...." のような値ですが、OAuth 2.0 / OpenID Connect では "10016824261..." となります。 このふたつの値には関連性が無く、従来から OpenID 2.0 RP として Google の ID を受け入れていた Web サイト (これまで "OpenID のユーザー識別子" を取得・保持している) においては、OAuth 2.0 / OpenID Connect に移行するにあたっての課題となっていました。 これに対し Google は、OpenI
OpenID ConnectのSelf-Issued OP(OIDC SIOP)の話 - r-weblife
おはようございます、ritouです。 OpenID Connect Messagesの仕様で定義されてるSelf-Issued OpenID Providerについてのお話です。 いきなり参考リンク 英語読める人は仕様読めばよい。 仕様(English) : http://openid.net/specs/openid-connect-messages-1_0.html#self_issued 参考になりそうな資料 by @nov : Self isssued-idp ざっくり説明 こんな感じです。 OS(PC, モバイル端末)やブラウザ内で動作し、openid://で呼び出される ユニークなRSAやECDSAとかのprivate/publicな鍵ペアを生成して安全に管理する クライアント(Webサービスやアプリ)からリクエストを受けたら署名付のID Tokenを返す というところです。
idcon 16レポート - mad-pの日記
5月24日に行われた #idcon #16に行ってきました。ヒカリエ21Fの:DeNAセミナールームです。 イベントリンク Ustream togetter 今回はconsumer secretの秘匿、IIW報告などディープな話が聞けそうです。 (19:10) OIDFJからごあいさつ インド、ブッダガヤにいる山中さんから動画が届いています Video Letter from OpenID Foundation Japan & India 江川さんからイベント告知 Enterprise Identity Working Group 7/4 14:00〜 野村総合研究所 丸ノ内総合センター 「公式Twitterアプリに望まれる認証鍵の難読化とリバースエンジニアリング対策(仮)」 @BlackWingCat (黒翼猫) スライド [補助資料] 超軽量Twitterクライアント「もふったー」コン
開発コストや技術リスクを考えない「上流設計」がシステムの複雑化と大規模な障害の原因となっているのでは？ - 達人プログラマーを目指して
皆さん、明けましておめでとうございます。昨年の後半は私自身SI業界からWeb業界へ転職したことなど仕事環境の変化があり、ブログの更新頻度も鈍りがちになってしまっていましたが、本年もどうぞよろしくお願いいたします。 さて、ちょうど、一年前のお正月にはグルーポンのおせち料理事件が話題になっていましたが、私はおせち料理の品質とIT業界における品質の問題を絡めて、以下の記事を書きました。 グルーポンのおせち事件を受けてSI業界が本当に教訓とすべきこと - 達人プログラマーを目指して この記事では、一般にSIerによって開発される日本のシステムはあの事件のおせち料理のように、低い品質に甘んじているが、多くの場合、社内システムなどではそういった品質の問題が公に明らかにされることが少ないのではということを指摘しました。ただ、その時は私の希望も込めて 最近はOSSやクラウドなどの影響で社内システムもどんど
非技術者のためのデジタル・アイデンティティ入門
「非技術者のためのOAuth認証(?)とOpenIDの違い入門」が800はてブ超えをしたのに気を良くして、今度はアイデンティティについて書いてみることにしました(*0)。 （デジタル）アイデンティティとは、聞きなれない言葉だと思います。デジタルはまだしも、アイデンティティとなると、はてさて一体何？という感じではないでしょうか？ ところがこの言葉、OpenIDにせよ、OAuthにせよ、「認証」を語るときには、必ず出てくる言葉ですし、先日ニコニコ動画で放映され、のべ27000人以上の来場者を数えた「一番いいのを頼むための共通番号制度徹底解説 ～そんな共通番号制度で大丈夫か？～ MIAU Presents ネットの羅針盤」が取り扱っていた「番号」制度を考える上でも実際には欠かせないものなのです。 そんなに大切な概念なのに、ぱっと分かりやすい解説というのがなかなか無いのですね。私の大好きな
非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 Youtube版 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をして
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OAuth 2 and Fragment encoding.
Covert Redirect and its real impact on OAuth and OpenID Connect
http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html
http://tetraph.com/covert_redirect/
OpenID Summit Tokyo #openid_tokyo
