【PoC編】XSSへの耐性においてブラウザのメモリ空間方式はLocal Storage方式より安全か？ - GMO Flatt Security Blog
はじめに こんにちは。 セキュリティエンジニアの@okazu-dm です。 この記事は、Auth0のアクセストークンの保存方法について解説した前回の記事の補足となる記事です。前回の記事の要旨をざっくりまとめると以下のようなものでした。 Auth0はデフォルトではアクセストークンをブラウザのメモリ空間上にのみ保存するin-memory方式であり、XSSへの耐性のなさ等の理由でlocalStorageで保存することを推奨していない しかし、XSSでアクセストークンを奪取できるのはin-memory方式でも同じのはず(検証は行いませんでした)。localStorage方式を過度に忌避する必要はないのではないか なお、Flatt Securityの提供するセキュリティ診断はAuth0に限らずFirebase AuthenticationやAmazon CognitoなどのIDaaSのセキュアな利用
SPA認証トークンはlocalStorageでもCookieでもない、Auth0方式はいいねというお話 - @mizumotokのブログ
SPA認証トークンをどこに保存するかは論争が絶えません。localStorageやCookieがよく使われますが、Auth0は違う方法を採用しています。この記事では、Auth0のトークン管理の方式を理解でき、トークン管理上のセキュリティへの理解を深めることができます。 SPAの認証トークンをどこに保存するか ブラウザでトークンを保存できる場所 保存場所の比較 メリット・デメリット Auth0のアプローチ トークンはインメモリに保存 OpenID Connect準拠とトークン取得のUI/UXの悪化回避を両立 Auth0のjsライブラリ ログイン アクセストークンの（再）取得 図解 ログイン アクセストークンの（再）取得 自サービス内の認証だけのもっと簡易な構成 ログイン IDトークン取得 まとめ SPAの認証トークンをどこに保存するか React やVueで認証付きSPA（Single Pa
OAuth.io - Demo
Connect with Facebook Connect with Twitter Connect with Github Connect with Stack Exchange Connect with Soundcloud Connect with Youtube Connect with Tumblr Connect with Instagram Connect with Linkedin How to use OAuth.io SDK? it's really simple! After loading oauth.js, you can use OAuth object to authorize your user like this: // Initialize with your OAuth.io app public key OAuth.initialize('Publi
Google Cloud Messaging for Chromeを体験してみた | コーヒーサーバは香炉である
Google Cloud Messaging for Chromeキター! これでChrome Extensionに対してサーバからプッシュ通知ができる。 グーグル、「Chrome」でプッシュ通知を可能に–「Google Cloud Messaging for Chrome」発表 – CNET Japan Chromium Blog: Building efficient apps and extensions with push messaging Google Cloud Messaging for Chrome – Google Chrome もともとGCM (Google Cloud Messaging) はAndroid向けのテクノロジーで、C2DM (Android Cloud to Device Messaging) の後釜のようなものだった。それがGoogle Chro
text.ssig33.com - Facebook の JS SDK は使ってはいけない。
Facebook の JS SDK は使ってはいけない。 非常に問題がある。どうせ単なる薄いラッパーなんだし、必要に応じて自分であんなの書けるでしょう。問題について書く。 ありがちなアプリケーションの例 FB.login(function(res){ FB.getLoginStatus(function(res){ if(res.status === 'connected'){ FB.api('/me', function(res){ console.log(res.email) } } }) },{scope: 'email'}) 自分 のemail を取得出来る。 ところで、こうしたらどうなるだろうか。 FB.login(function(res){ FB.getLoginStatus(function(res){ console.log(res.status) FB.api('/me
Code — OAuth
OAuth Providers Open Source Authentik a12n-server Casdoor Glewlwyd Omejdn Keycloak OAuth.io ORY Hydra oidc-provider SimpleLogin Spring Authorization Server SSQ signon WSO2 Identity Server ZITADEL boruta Commercial Asgardeo Auth0 Authress cidaas Clerk Corbado Curity Identity Server Descope ForgeRock FusionAuth LoginRadius Okta PingId Red Hat Single Sign-On Stytch ZITADEL Cloud IBM Cloud App ID Rela
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Loading...
