OAuth 2.0でユーザーが認可をする"アプリケーション"とはサービス全体のことではない - r-weblife
こんにちは、ritouです。 今回の内容は、Webブラウザからのみ利用できるサービスや特にiPhoneアプリのみ提供しているサービスではなく、 「一つのサービスをWebブラウザからもモバイルアプリからも利用できるようなサービス」についての話です。 こちらで取り上げられている内容です。 http://subtech.g.hatena.ne.jp/mala/20120214/1329199851 内容は OAuth 2.0でユーザーが認可をする"アプリケーション"とは何？ ユーザー、認可サーバー、クライアントの３者で認識にずれがあるのでは？ 認識の違いを解消するために認可サーバー、クライアントができることは？ という感じです。 OAuth 2.0でユーザーが認可をする"アプリケーション"とは何？ いろんな答えが返ってくると思われます。 「同意画面に書いてる内容によるんじゃないすか？」 「仕様見
OAuth 2.0 Implicit Flowをユーザー認証に利用する際のリスクと対策方法について #idcon - r-weblife
おはようございます、ritouです。 今回は、一部で先週話題なりましたOAuth 2.0のImplicit Flowについてのエントリになります。 (2012/2/7 いろいろと修正しました。) 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる | @_Nat Zone Thread Safe: The problem with OAuth for Authentication. 今回は以下の内容について整理したいと思います。 OAuth 2.0のどの機能にセキュリティホールがあるのか 誰が攻撃者になれるのか 対策 OAuth 2.0 Implicit Flowとは OAuth 2.0ではサードパーティーアプリケーションが保護リソースへのアクセス権限を得るためのいくつかのフローが定義されています。 (仕様中ではFlowやGrant Type
「OAuth 2.0 (Implicit Flow) でログイン」の被害例 - OAuth.jp
。登場人物 OAuth 2.0対応してる某ゲームプラットフォーム 某ゲームプラットフォーム上で占いゲームを運営してる攻撃者 某ゲームプラットフォーム上で農園ゲームを運営してる被害アプリの開発者 某ゲームプラットフォーム上で無邪気に遊んでる被害ユーザ ※ 念のため、今回の話は特にゲームに限った話ではない。 前提 某ゲームプラットフォーム、農園ゲーム共に、XSS とか CSRF とかセッションハイジャックされるような脆弱性はない。 農園ゲームはプラットフォームが発行するAccess TokenをOAuth 2.0のImplicit Flowを使って受け取り、同じくプラットフォームが提供するProfile API (GET /me とか) にアクセスして、レスポンスに含まれる user_id をもとにユーザを認証している。 攻撃者は占いゲームのDBから任意のAccess Tokenを取得可能。
Deprecation of Offline Access Permission - Facebook開発者
Access_tokens allow users to interact with your apps in meaningful and social ways. While we are deprecating the use of the offline_access permission, through a migration setting in the Developer App, we are now allowing the option to reset the expiration time for existing, valid access_tokens each time a user interacts with your site. For existing apps, there are no changes required for your app,
Meta for Developers
We continue to make Platform more secure for users. Earlier this year, we introduced the ability for users to browse Facebook over HTTPS. As a result, we provided “Secure Canvas URL” and “Secure Tab URL” fields in the Developer App for developers to serve their apps through an HTTPS connection. Today, 9.6 million people are browsing Facebook over HTTPS and the trend is continuing to increase. As p
Using Twitter @Anywhere Bridge Codes
Update: Twitter has removed oauth_bridge_code support from the API At @appworkshop in July @themattharris pre announced @Anywhere oauth_bridge_code support. The official announcement has yet to appear but this blog post provides everything you need to get started. An @Anywhere oauth_bridge_code can be used to get a long lived OAuth 1.0a access_token for the REST API. This allows sites to use @Anyw
PerlでOAuth 2.0を使ってみた - hide-k.net#blog
携帯の緊急地震速報の音が怖いので、「会いたかった」に変えるHackを募集しています。 こんばんは。 OAuth 2.0は仕組も特徴も理解していたのですが、実際に実装の必要が出てきたので今更ながら初めて使ってみました。 仕様は現在draft15というステータスで公開されています。(The OAuth 2.0 Authorization Protocol) OAuth 2.0の特徴としてはHTTPSを使って通信経路を暗号化することによりトークンを直接やりとりすることが可能となっています。そのため署名が必要なくなり、あの悪夢のような署名検証をしなくて済むようになったのが大きなメリットです。 とはいえ、読んでもよくわかんないのでコードにしてみます。Authorization ServerとResource Serverとして使ってみるのはFacebook。クライアントサイドフローとサーバーサイドフ
bit.ly の OAuth 2.0 とか色々試してみたら色々アレだった : にぽたん研究所
ある日、うちのサービスで bit.ly 使って URL を短縮したいねーなんて話があがって、まぁ、単純に短縮化するなら、@shiba_yu36 さん作の WebService::Bitly なんか使えば簡単に色々出来て便利だなーって思いました。 で、きっと、このモジュールを使っているであろうはてなダイアリーとか見てみたら、bit.ly の設定画面があるんですね。 自分自身の bit.ly アカウントを使えば bit.ly でトラッキングとか出来るし便利だなーと思いました。 …でもね、うちのサービスの利用者の方々は、はてな民のようなリテラシーの高いユーザばかりではないのですよ。 「bit.ly の API キー」とか言っても「は？？？？？」って感じの方が大多数。 意味わからないものを設定画面につけるとなっちゃん宛にクレームがいっぱい来てしまいます。 とりあえず、bitly API Docum
Objective-C向けOAuthライブラリ"OAuthCore"を使ってTwitter APIを叩いてみる - すぎゃーんメモ
Sabotter for iPhoneのアップデートに向けてTwitterのOAuth認証の部分の実装をどうするか検討していて。 Google Code Archive - Long-term storage for Google Code Project Hosting.にあるライブラリだとなんだか巨大すぎて、もっと軽く扱えるもの無いのかなーとhttp://dev.twitter.com/pages/oauth_libraries#objectivecをみてたらこんなのがあるらしい。 atebits / OAuthCore — Bitbucket たったの6ファイル！ これだけでOAuthのための基本的なことはできるようだ。試しにxAuthでtokenを取得してそれを使ってTweetする、というのを書いてみた。簡単にするため非同期じゃなくHTTPリクエスト処理してます #import "
PSGI/Plack で gadgets.io.makeRequest() の署名検証する - hide-k.net#blog
エアRTは家庭崩壊を招きかねないので絶対にしちゃだめです。 こんばんは。 そろそろモバゲーも mixi さんに続いて Yahoo! と協力して PC版 OpenSocial アプリケーションプラットフォームをリリースするそうです。というかします。 で、OpenSocial JS API では、外部のサーバーと安全に通信するための仕組みとして、Gadget Server を Proxy してリクエストする gadgets.io.makeRequest() という、メソッドが用意されています。このメソッドはオプションでリクエストに署名をつけることができて、受け手でその署名を検証することによってリクエストの妥当性を保証することができます。 これを Perl で実装する場合、詳しくは mala さんの mixiアプリのOAuth署名の検証 の記事が詳しいのですが、もうちょっと突っ込んで説明して P
Plack::Middleware::Auth::OAuth を作ってみた - hide-k.net#blog
最近、咳のしすぎであばらにヒビが入りました。 大多数の人は心配をしてくださってありがたいのですが、ごく一部の極道達がおもしろ画像を連投して笑わせてくるおかげで全治が大分先になりそうです。 こんばんは。 先日、「モバイルなプラットフォームでの OAuth Signature の検証」ってエントリーを書いた際にPlack::Middlewareとかでやるべきとか書いておいて放置していたのですが、某極道が「とっとと書かないと笑わせてあばらへし折るぞ！ごるぁ！」と脅してきたのでサクッと書きました。 GitHubに置いてあります。 Plack-Middleware-Auth-OAuth 使い方は簡単。 use Plack::Builder; my $app = sub { return [200, ['Content-Type' => 'text/plain'], ['Hello World']];
Net::Twitter::Role::OAuth - search.cpan.org
NAME Net::Twitter::Role::OAuth - Net::Twitter role that provides OAuth instead of Basic Authentication VERSION version 4.01043 SYNOPSIS use Net::Twitter; my $nt = Net::Twitter->new( traits => ['API::RESTv1_1', 'OAuth'], consumer_key => "YOUR-CONSUMER-KEY", consumer_secret => "YOUR-CONSUMER-SECRET", ); # Do some Authentication work. See EXAMPLES my $tweets = $nt->friends_timeline; my $res = $nt->up
モバイルなプラットフォームでのOAuth Signatureの検証 - hide-k.net#blog
相変わらず、題名にセンスがありません。こんばんは。 さて、ようやくローンチしたモバゲーオープンプラットフォームですが、仕組み的にはmixiさんのモバイル版とほぼ同じアーキテクチャで Gadget Server がプロキシー的な役割をする感じになってます。 大人の事情がかなり反映された仕組みなのですが、この仕組みで非常に重要なのがGadget ServerからのリクエストをSAPがいかに信頼するかという部分です。いわゆる 2-legged OAuthでAuthorizationヘッダに含まれるOAuth Signatureの検証する部分。その部分のコードスニペットをご紹介。(mixi 用のは公開していいかどうかわかんないのでモバゲー向けだけ) use OAuth::Lite::ServerUtil; use OAuth::Lite::Util qw/parse_auth_header/; u
OAuth関連トピックキャッチアップ : Y!は1.0クローズ、Gはanonymous OAuthを実装 - r-weblife
■ Yahoo! IncのOAuthがRev Aのみになる Yahoo!Incは今まで、4月にセキュリティの問題が見つかった際に一時的にOAuthのシステムを止めましたが、その後はユーザーに警告画面を出すものの動作はするように戻していました。 よって、OAuth Core 1.0とその問題が修正された仕様のOAuth Core 1.0aの両方の仕様でOAuthを利用できる状態になっていたのです。 これは既にOAuth Core 1.0を利用していたアプリケーションへの配慮だったのだと思われますが、11/9にOAuth Core 1.0のほうの仕様ではOAuthの処理ができなくなるようです。 http://developer.yahoo.net/blog/archives/2009/11/reminder_we_are.html http://developer.yahoo.net/foru
OAuth / ServiceProviders
Please list support sites and their respective endpoints/documentation here. Photobucket's API now uses OAuth for all consumer authentication. They've got a number of apps connecting already, and public key signups. SmugMug supports OAuth on its API. Twitter. FAQ. App registration. Ma.gnolia. Developer Center. Register your app. 88 Miles. Developers Pages. thmbnl. Developer Wiki. Pownce. API Sig
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
mala on Twitter: "クライアントサイドにのみ認可を与える = 「アプリケーション開発者を信用していなくても、アプリケーションそのものを信用していれば良い」という考え方をすると、Implicit Flowで取得したaccess tokenを自分の管理するサーバーに送るのがそもそも重大な過ちだと思う。"
gtm-oauth - Project Hosting on Google Code
Do Facebook Oauth 2.0 Access Tokens Expire?
http://twitter.com/oauth_clients
Google Code Archive - Long-term storage for Google Code Project Hosting.