特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない
怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
「コタれん」にOAuth認証機能を追加してみた - KodaNote
OAuth認証を試したいと思い、コタれんにOAuth認証機能を追加してみた。 コタれんでは既に devise による認証機能を持っていることを踏まえ、やりたいことは以下とする。 devise で既に登録されているユーザの emailアドレスと OAuth認証でログインした時の emailアドレスが一致すれば同一ユーザとして扱いたい devise 1.4.9 (あれ、古い?!) Facebook にアプリを追加 Facebook開発者サイト https://developers.facebook.com/apps 上記サイトでOAuth認証させたいアプリを追加する。 後に「App ID/API Key」と「アプリのシークレットキー」を使うのでメモったりしとく。 ソースコードを修正 plataformatec / devise の Wiki https://github.com/platafo
Rails: OmniAuth で簡単 Twitter 認証！
このウェブサイトは販売用です！ twiwt.org は、あなたがお探しの情報の全ての最新かつ最適なソースです。一般トピックからここから検索できる内容は、twiwt.orgが全てとなります。あなたがお探しの内容が見つかることを願っています！
rubyのTwitterGemを使ってつぶやいてみる – Tech Diary Blog
rubygemにはTwitter利用できるパッケージが入っています。 今回しようしたTwitterGemのバージョンはTwitter1.1.1になります。 大まかな手順としては以下の通りです。 ① Twitterアカウントを取ります。 ② Twitterアプリケーション登録申請を行います。 登録完了後にもらえる「Consumer Key」と「Consumer Secret」が必要になります。 ③ OAuth登録します。 登録後にもらえる「OAuth Token」と「OAuth Token Secret」が必要になります。 ④ TweetGemでつぶやいてみる。 ① Twitterアカウントを取ります。 これは簡単ですね。下記アドレスからアカウントを取得します。 https://twitter.com/signup ② Twitterアプリケーション登録申請を行います。 下記ページから登録申
ChirpUserStreamがOauth認証で使えたり未だにdeleteイベントが流れてきたりする件 - mizchi log
公式ではchirp stream はbasic認証でしか使えないよ、と言われてることを知らず、Oauth経由でchirp streamでfav監視するスクリプトを書いたら普通に動いていた。とりあえず公開します*1 jsonを眺めてた感じ、某小池が指摘した脆弱性、というか仕様バグっぽいのはいずれも解決されてない。 屋久島沈没 ／ User Stream 時代の Twitter の過し方 こんな感じ これ、タイムラインを見てるより全然面白い。何が楽しいかって、基本的には自分が興味がある人がふぁぼったものが流れてくるんだから、楽しいに決まってる。 ワールドカップのせいで多分負荷が重い時は止められてるんだけど(スペインvsパラグアイを観戦してたら止まった)、それ以外は順調に動いている。 以下event監視スクリプト gistは gist: 462891 - GitHub oauth部分はTwitt
OAuth で Streaming API - 記録用
GitHub - yayugu/Ruby-Twitter-Stream と http://oauth.rubyforge.org/ を利用して，Streaming API を使う際にも OAuth 認証する，6月で Basic 認証が終わりらしいので． やることは，Net::HTTRequest#basic_auth から OAuth の Net::HTTPRequest#oauth! に変更するという簡単なお仕事． できたものが GitHub - laughing/Ruby-Twitter-Stream: Simple library to access the Twitter Streaming API. It only needs pure-ruby and rubygems. ． TwitterStream#new に Hash の形で Consumer_Key とか渡してあげて，
tzmtk / OAuthCore10aJP
OAuth Core 1.0 Revision A 日本語訳 はじめに OAuthはウェブサイトやクライアントアプリケーションなどのConsumerに対して、ユーザー自身のID・パスワードを渡すことなく、サService Providerの持つユーザー単位で保護されたリソースへアクセスする権限のみを譲渡することができます。OAuthは認証が必要なリソースへのAPI経由でアクセスする際の、自由度、利便性を提供します。 例として、１つの写真プリントサービス「printer.example.com」（Consumer）があり、あるユーザーが写真ストレージサービス「photos.example.net」（Service Provider）に保存している自分のプライベートな写真データ（リソース）をこの「printer.example.com」に渡したいとします。OAuthを使えば、ユーザーは「pri
OpenID Tech Night Vol.6 ～OAuth、AXからOAuth HybridまでWeb Identity技術一挙紹介～ | gihyo.jp
OpenID Tech Night Vol.6 ～OAuth、AXからOAuth HybridまでWeb Identity技術一挙紹介～ 2010年5月28日、株式会社野村総合研究所にて、OpenID ファウンデーション・ジャパン主催のOpenID Tech Night vol.6が開催されました。本稿では、本イベントのレポートをお届けします。 はじめに モデレータの株式会社野村総合研究所 勝原さんから、「はじめに」と題して、もはやイベントの恒例となった「Digital Identityとは」という話がありました。 Web Identity Technorogyを「インターネット上で「じぶん情報」を安全に流通させ、サイト同士の連携を行うためのテクノロジー」であると定義し、以前からエンタープライズ向けで利用されているSAMLのようなプロトコルに比べ比較的簡単に実装できるWeb2.0的な認証
OAuth access to IMAP/SMTP in Gmail
Google has long believed that users should be able to export their data and use it with whichever service they choose. For years, the Gmail service has supported standard API protocols like POP and IMAP at no extra cost to our users. These efforts are consistent with our broader data liberation efforts. In addition to making it easier for users to export their data, we also enable them to authoriz
twitter-authのoauth認証失敗処理 - komagataのブログ
Help me, hacekrs!でもtwitter-authのgem（jugyoさんがforkした証明書を使えるバージョン）を便利に使わせてもらっています。 これ、Net::HTTPServerExceptionの401はrescueしてるんですが、OAuthの401は何もしてないので、認証を拒否して戻ってきた時とかにはエラーになっちゃいます。 % diff app/controllers/sessions_controller.rb{,.org} 62,63d61 < rescue OAuth::Unauthorized => e < authentication_failed(t('This authentication request is no longer valid Please try again')) and return なのでココ修正して使ってます。 ※ ここは元のg
Twitter の OAuth 許可ページがあまりにも酷い => 応急処置 - mooz deceives you
OAuth の Read と Write 先日, ツイート君に会話をまとめてもらい, 大変嫌な思いをした. Twitter の OAuth には Read 権限と Write 権限があって, Write 権限があると つぶやく 誰かをフォローする 誰かをリムーブする などのことが行えてしまう. つまり, Write 権限を要求するアプリケーションを許可することは, 「このアプリケーションが私のアカウントを使って勝手に変なことをつぶやいたり, 勝手に誰かをフォローしたり, 勝手に誰かをリムーブしても文句は言いませんよ」ということに等しい. さて, それでは OAuth の権限付与画面を見てみよう. ここでは冒頭に上げたツイート君が権限をこちらに要求してきている. では, いったい何の権限を要求してきているのだろうか. Read なのだろうか. それとも Write なのだろうか. 答えは R
8分21秒で分かるRubyとOAuthによるTwitterAPIの使い方（動画） - 昼メシ物語
TwitterAPIのBASIC認証は近々廃止され、今後はOAuth/xAuthにシフトされます。 混乱している開発者も多いと思うので、今回はOAuth対応なTwitterBotを作ることを前提にして、その簡単なやり方を動画に撮ってみました。スクリーンキャストというやつです。 動画の内容 Twitter Botをアプリケーションとしてtwitter.comに登録 Consumer Key, Consumer Secret を取得 Twitter BotアカウントのAccess Token, Access Secretを取得 RubyでTwitter Botアカウントに発言させるプログラムを作成 発言成功 補足：AccessToken発行に使用したスクリプト 動画の中で、AccessTokenの発行に、俺が書いたスクリプトを使っています。 これです。 http://gist.github.c
OAuthでデスクトップアプリがブラウザを経由させたくないときのxAuth - Codin’ In The Free World
最近twitter APIまわりで話題に出てきているようなので。 ちゃんと追いかけきれてないけど、恐らくこれのことですね。 http://tools.ietf.org/html/draft-dehora-farrell-oauth-accesstoken-creds-00 OAuth WRAPではUsername and Password Profileとして組み込まれてます。 http://d.hatena.ne.jp/lyokato/20091118/1258524429 WRAP/2.0が来るまでにOAuth1.0aで使いたい時に。 利用状況 ブラウザがない、あるいはブラウザを使うのが適切ではない状況での いわゆるデスクトップアプリのためのもの。 組み込みだったり、搭載されているブラウザが貧弱だったりとか。 ブラウザと連携させたくない、あるいは出来ないとき。 仕様 まず始めにクライア
OAuthと周辺技術の勉強会 — ありえるえりあ
OAuthの典型的シナリオ userがconsumer(Web上のサービス)を利用 userはSP(別のWeb上のサービス)にアカウントを持っている SPは一般にSNSで、userがSP上に蓄積した情報(個人プロファイルや友達リストなど)は原則的にSPの外部に非公開 consumerは、userに許可を得て、SP上の情報を取得する ただし、userはconsumerにSPのパスワードは教えない OAuth 1.0aの動作シーケンス 表記法 リクエストとレスポンスの区別は自明ですが、ひとめで分かるようにリクエストは --> 、レスポンスは ==> にしています。 リクエストやレスポンスペアの上に書いてある数字はOAuth1.0aスペックのセクション番号です。リクエストパラメータやレスポンスの内容はスペックの該当セクションを参照してください。 リクエストやレスポンスペアの下に書いてある文字列は
twitter の OAuth で思ったより豪快に認可してしまっている件 - 知らないけどきっとそう。
忘れたころに追記 API で _twitter_sess は発行されているようですが、web の UI にアクセスはできなくなったみたいです（つまり豪快さは解消されてます） OAuth コンシューマが twitter API にアクセスすると、ブラウザでログインしたときと同様のセッションクッキーが発行されている模様です GET https://twitter.com/account/verify_credentials.xml Authorization: OAuth realm="", oauth_consumer_key="***", oauth_nonce="***", oauth_signature="***", oauth_signature_method="HMAC-SHA1", oauth_timestamp="1253358338", oauth_token="***",
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ゼロから学ぶOAuth 記事一覧 | gihyo.jp
http://www.machu.jp/posts/20100606/p01/
GitHub - lancejpollard/authlogic-connect: Instant Oauth and OpenID support for your Rails and Sinatra Apps
Google Code Archive - Long-term storage for Google Code Project Hosting.