OAuth 2.0 Implicit Flowをユーザー認証に利用する際のリスクと対策方法について #idcon - r-weblife
おはようございます、ritouです。 今回は、一部で先週話題なりましたOAuth 2.0のImplicit Flowについてのエントリになります。 (2012/2/7 いろいろと修正しました。) 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる | @_Nat Zone Thread Safe: The problem with OAuth for Authentication. 今回は以下の内容について整理したいと思います。 OAuth 2.0のどの機能にセキュリティホールがあるのか 誰が攻撃者になれるのか 対策 OAuth 2.0 Implicit Flowとは OAuth 2.0ではサードパーティーアプリケーションが保護リソースへのアクセス権限を得るためのいくつかのフローが定義されています。 (仕様中ではFlowやGrant Type
DjangoをOAuth/OAuth2/OpenID1.0、2.0に対応させる·django-socialregistration MOONGIFT
django-socialregistrationはDjangoでFacebookやTwitter、OpenIDなどの多数の認証に対応したモックアップアプリケーションです。 Djangoで各種Webサービスに対応した認証を実装したいと思ったならば試してほしいのがdjango-socialregistrationです。FacebookからOpenIDまで多数の認証を利用できます。 様々な認証システムが表示されています。 settingsに各サービスの認証キーを設定します。 Facebook、Twitter、GoogleなどのOAuth2の他、OAuth、OpenIDの認証に対応しています。OpenIDも1.0の他、2.0にも対応しています。 django-socialregistrationはPython/Django製、MIT Licenseのオープンソース・ソフトウェアです。 MOONG
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
OAuth 2.0の概要 - r-weblife
Eran がエントリ書いてました。 http://hueniverse.com/2010/05/introducing-oauth-2-0/ 今回の内容は翻訳ではありません。 読みながら感じたことを書き連ねたものです。 ■ なぜ新しいバージョンを考え始めたのか？OAuth 1.0aの課題 Eranは3つのポイントを挙げています。 Authentication and Signatures OAuthの実装にわずかでも関わった開発者が感じるのは、署名が面倒だということではないでしょうか？ twitterでBasic認証からOAuth/xAuthへの移行に苦労されている開発者の方もいると思いますが、やっぱり工数かかりますよね。 （まぁ、それでも独自でSP達が全部考えた仕様にかなり作りこんで対応するよりは、まだましかとおもいますけど？） これを、HTTPSを使ってSecretそのままでとことん簡
とりあえず
メモ代わり。てきとーに。 いや、ですからてきとーですって。 2年前ぐらいにPythonあたりでメールくれた方、ごめんなさい。メール紛失してしまい無視した形になってしまいました。。。 OAuthには、2legged OAuthなるものと、3legged OAuthなるものがあるらしい。 で、署名付きリクエストは、2legged OAuthというらしい。 2legged OAuthはHMACもRSAもやってみたので、次は3legged OAuthなるものをやってみる。 サービスプロバイダはGoogle。 サンプルとしてGoogle Contact（だっけ？)にアクセスして 自分で構築したShindig環境でアドレス張のデータを表示してみる。 おおきな作業の流れは以下な感じ。 1) ガジェットを用意 2) とりあえずShindigを動かして、該当するガジェット別のdomainを取得 3) goo
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
これは要チェック。OAuthプロバイダ実装のノウハウをコードから知る「OAuth Provider Demo」 | MOONGIFT | オープンソース・ソフトウェア紹介を中心としたITエンジニア/Webデザイナー向けブログ
OAuth Provider DemoはRails3で実装された、OAuthプロバイダのデモプログラム。 [/s2If] OAuth Provider DemoはRuby on Rails3製のフリーウェア（ソースコードは公開されている）。WebサービスでWeb APIを公開することは決して珍しいことではなくなっている。そして最も多いのは手軽に利用できるRESTfulのものが多い。 ユーザ情報のJSON そんなWeb APIを提供する場合、認証についてはOpenIDを使うのがセキュリティ的にも安心できる。そして各機能についてはOAuthを使うのが良い。そうすればアプリケーションにパスワードを保存しなくて済む。その時の参考になるのがOAuth Provider Demoだ。 個人的にこれはかなり欲しかったソフトウェアだ。OAuthを利用する側のライブラリは数多いが、提供する側のやり方について
JavaScript製のOAuthライブラリ·jsOAuth MOONGIFT
jsOAuthはJavaScript製のOAuthライブラリ。 [/s2If] jsOAuthはJavaScript製のオープンソース・ソフトウェア。今ではWeb APIを公開しているサービスは珍しくない。そして従来は配信系ばかりだったが、今ではWeb APIを通じたデータ登録や更新も可能になっている。そんな時の認証の仕組みに使われているのがOAuthだ。 テスト用コード（ここままでは動かないが…） OAuthはTwitterで最も知られるようになったが、元々はFlickrやGoogle、Facebookなどでも使われている機能ベースの認証技術だ。そしてそれをJavaScriptベースで実現したのがjsOAuthになる。 jsOAuthはJavaScriptによる実装なので、ソースコードが見えてしまう。OAuthではシークレットキーを使うので、それが丸見えというのは考えものだ。だがWebブ
mixi Developer Center (ミクシィ デベロッパーセンター) » 2-legged OAuthによるAPIアクセス
OAuth Signatureの生成方法 RESTful APIの利用に必要なOAuth Signatureの生成方法を以下に説明します。 Signature Methodは、現在、HMAC-SHA1のみ対応しています。 まず、署名生成に必要なベース文字列を生成するために次の値を用意します。 HTTPリクエストメソッド（GETやPOSTなど） 実際にリクエストが送信されるAPI URL。クエリーパラメータは含めないようにします。 OAuthの処理に必要な各種パラメータを設定します。パラメータの順序は、予めパラメータ名のアルファベット順にソートしておく必要があります。 例えば、下記のような値を用意します。 GET http://api-example.mixi.jp/people/@me/@self oauth_consumer_key=bc906fac81f581c3c96a&oauth
Using OAuth with the Google Data APIs - Google Data APIs - Google Code
Using OAuth with the Google Data APIs Eric Bidelman, Google Data APIs team September 2008 Contents Introduction Audience A little terminology Getting started Registration Signing Requests OAuth Playground Tool Choose your token Scopes(s) Modify OAuth Parameters and Settings Acquire the access token Using the access token Conclusion Resources Introduction It's an exciting time for developers. We'r
OAuth WRAP/2.0 | ゆっくりブログ
意外と知らない人が多いので書いておく。 OAuth 認証において Consumer Secret の漏洩について心配している人が多い。 Twitter API で言うところの Application Type: Client なアプリケーションの場合。 特に、LL(Perl, Ruby, PHP, Python …)で配布する場合。 Consumer Secret は秘匿するべきもので、やはり漏らして良いものではない。 # まぁ、知らないアプリケーションの問い合わせが来ても自己責任だけどね :P そのため、現状ではユーザーごとに Consumer Secret を取ってもらうしかない。 それを改善する手段として、現在 OAuth WRAP/2.0 という仕様が策定されている。 要はリクエストトークンが不要になる。イコール、Consumer Secret も不要になる。 Twitt
はてなブログ | 無料ブログを作成しよう
来年も作りたい！ふきのとう料理を満喫した 2024年春の記録 春は自炊が楽しい季節 1年の中で最も自炊が楽しい季節は春だと思う。スーパーの棚にやわらかな色合いの野菜が並ぶと自然とこころが弾む。 中でもときめくのは山菜だ。早いと2月下旬ごろから並び始めるそれは、タラの芽、ふきのとうと続き、桜の頃にはうるい、ウド、こ…
みかん箱
Google Developer Day 2010のDevQuizで出題された「2-legged OAuth」を解いた際に使用したソースコードです。一部、xxxxと伏せてある部分があります。言語にはPythonを使用しました。 OAuthでのアクセスを実現するために、oauth2モジュールを使用しました。 どのような署名を求めていたのかが失敗時のレスポンスのbodyに書かれていたため、その内容とOAuth 1.0のRFCとをにらめっこした結果、なんとか解けました。 #!/usr/bin/env python import oauth2 as oauth import time import urllib2 uri = 'http://gdd-2010-quiz-japan.appspot.com/oauth/xxxxxxxxxxxxxxxxxxxxx' params = { 'oauth_
2-legged OAuthを理解する - $shibayu36->blog;
APIの認証ってどうやってるんだろーって思っているときに、Google Dev Quizで2-legged OAuthの問題があったので、やりながら理解する事にした。perlで書いてみました。 OAuthのcpanモジュールを使った場合 この場合、簡単にできます。OAuth::Lite::Consumerにconsumer_keyとconsumer_secretとrealmを渡して作成してやった後、method, url, paramsを指定してrequestするだけです。timestamp値やnonceなどはすべて自動で付けて、署名を作ってくれています。 use strict; use warnings; use OAuth::Lite; use OAuth::Lite::Consumer; my $ua = LWP::UserAgent->new; my $request_url =
GoogleのOAuthを試してみた (Java編) | スマートネットワーク 開発ブログ
GoogleのOAuthを試してみた でRubyを使ってGoogleのOAuth認証サービスにアクセスできたので、調子に乗ってJava版も作ってみようと思ったのですが、予想以上に大変でした。 忘れないウチにポイントをメモしておきます。 デバッグ用の出力をする設定 oauth - Project Hosting on Google Code にあったJavaのOAuthライブラリを使用しました。このライブラリはHTTP通信にApacheのHttpComponentsを使っています。このライブラリはHTTP通信の内容をログ出力しているので、Log4Jの設定ファイルを書いてログレベルをDEBUGにしておくと、裏で行われているHTTP通信の内容を確認することができます。 これがないとエラーが起こった時に原因が分からないまま試行錯誤を繰り返すことになり、何度やっても上手くいかないのでプログラム
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20110722/p01/
Blog - Mikula Beutl - SEO Consulting
Blog - Mikula Beutl - SEO Consulting
Google Code Archive - Long-term storage for Google Code Project Hosting.
OAuth Playground