OAuth2.0の備忘録的まとめ - Ari-Press
Web系技術を学ぶ上で，やはりセキュリティ周りの技術は外せません。OAuth1.0ならばTwitter APIを触っていたんですが、、いつの間に2.0に！ということで、頑張って仕様書を読みつつ自分なりにまとめてみました。 The OAuth 2.0 Protocol draft-ietf-oauth-v2-10 を参考にしています。 また、以下で特に明示されない引用部分は全て The OAuth 2.0 Protocol draft-ietf-oauth-v2-10 から引用したものとします。 更に、以下の文章は2012/12/28時点でのAriの理解をまとめたものであり、内容を保証するのはこの時点でのAriの読解力のみです。 OAuth2.0の必要性 通常、ログインが必要なサービスを利用する際はログインID/パスワードの情報が必要になります。 特定のWebサービスに必要な時にアクセスする
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
Authomatic
Simple yet powerful authorization / authentication client library for Python WEB applications.Authomatic is an authorization / authentication client library for Python web applications inspired by Alex Vagin’s Simpleauth. In fact, I almost named it Deathsimpleauth, but that name would be too long for a succinct library. Features¶ Loosely coupled. Tiny but powerful interface. The python-openi
OAuth.jp
いままで Mix-up Attack は Client が AS 毎に redirect_uri を使い分けていれば防げると信じられてきましたが、それじゃ防げないケースもあるよってのが OAuth ML に投稿されました。 細かい解説は英語読んでもらうとして、シーケンスにするとこういうことです。 Attacker AS が (Display Name やロゴ等を通じて) 一見 Honest Client に見えるような Client (Attacker Client) を Honest AS に登録しておく必要があります。 User が Attacker AS 選んでるのに Honest AS に飛んで Approve してしまってる部分も、Attacker Proxy が利用可能な状況 (e.g., Client が HTTP なエンドポイントで Honest AS のログインボタン等を
OAuth 2.0 App-Only (Bearer Token)
<g> <g> <defs> <rect id="SVGID_1_" x="-468" y="-1360" width="1440" height="3027" /> </defs> <clippath id="SVGID_2_"> <use xlink:href="#SVGID_1_" style="overflow:visible;" /> </clippath> </g> </g> <rect x="-468" y="-1360" class="st0" width="1440" height="3027" style="fill:rgb(0,0,0,0);stroke-width:3;stroke:rgb(0,0,0)" /> <path d="M13.4,12l5.8-5.8c0.4-0.4,0.4-1,0-1.4c-0.4-0.4-1-0.4-1.4,0L12,10.6L6.2
r-weblife
ritou です。 本日2024/10/15(火)にパスキー関連でこんな記事が出ていました。 www.macotakara.jp ドラフト仕様として「資格情報交換プロトコル (CXP)」と「資格情報交換フォーマット (CXF)」が公開され、資格情報マネージャー内の資格情報 (パスワード、パスキーなど) を別のプロバイダーに転送するための標準フォーマットを定義します。転送が平文で行われず、デフォルトで安全であることが保証されます。 パスキー登録、利用時にユーザーがパスキープロバイダ(パスキーマネージャー、既存のパスワードマネージャーがパスキー対応した存在)を選択できるような流ればApple, Google, MSといったプラットフォーマーが対応を進めています。そしたら当然インポート/エクスポートも必要ですよねーとなって、それが標準化されていると。ユーザーに管理権を与えるべき、という観点では良
複数プロバイダの認証処理をシンプルにするOAuth.io
OAuth.ioは，80以上のOAuthプロバイダにインターフェースするAPIであり，サービスである。今回の記事では，共同創設者のMehdi Medjaoui氏とのインタビューを通じて，セキュリティやライセンスなどの詳細，今後の開発計画などについて紹介する。 OAuth.ioは，ユーザ認証やAPI認証のコード記述をシンプルにしようとする試みのひとつだ。開発者は異なるバージョンやプロトコル(1.0, 1.0a, 2.0)を実装した複数のOAuthプロバイダに対応しなくても，以下のスニペットに示すように，ひとつのAPIだけを使ってプログラムすればよい。 $('#fb-connect').click(function() { OAuth.initialize('YOUR_PUBLIC_KEY'); OAuth.popup('facebook', function(err, res) { if (
OAuth 2.0 for Client-side Web Applications | Authorization | Google for Developers
Send feedback OAuth 2.0 for Client-side Web Applications Stay organized with collections Save and categorize content based on your preferences. This document explains how to implement OAuth 2.0 authorization to access Google APIs from a JavaScript web application. OAuth 2.0 allows users to share specific data with an application while keeping their usernames, passwords, and other information priva
OAuth that just works.
Integrate 100+ OAuth providers in minutes. Setup your keys, install oauth.js, and you are ready to play !
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OAuth Security
GitHub - x1ddos/simpleauth: Simple authentication for Python on Google App Engine supporting OAuth 2.0, OAuth 1.0(a) and OpenID