アイデンティティ管理とその動向
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog Yahoo! JAPAN 研究所の五味です。 アイデンティティ管理とは、ネット社会における利用者個人やその個人に関わる情報を適切に保護しながら活用する技術の総称です。従来は、AAA（Authentication、Authorization、Auditing、それぞれ、認証、認可、監査）に関わる基盤技術でしたが、近年ではネットワークの発展に伴い、ドメインをまたがる分散システムにおけるデータ連携のための基盤技術と位置づけられてきています。そこで、本稿では、特に、ID連携に関する以下のような話題について説明いたします。 ID連携とは ID連携モデル ID連携の応用 ID連携トラストフレームワーク ID連携トラストフレームワーク アイデア
アプリから非公開ツイートにアクセスできてしまう脆弱性、Twitterが対処
サードパーティーアプリにTwitterのアカウントを使ってログインすると、非公開のはずのダイレクトメッセージが表示されてしまう問題をセキュリティ研究者が発見した。 Twitterのアカウントを使ってサードパーティーのアプリケーションにログインすると、非公開のはずのダイレクトメッセージにそのアプリからアクセスできてしまう問題が見つかったとして、セキュリティ研究者が1月22日のブログで情報を公開した。 この問題は、セキュリティ企業のIOActiveの研究者が、開発中のあるWebアプリをテストしていて発見した。このアプリはTwitterにサインインできるオプションを利用すると、自分のタイムラインのツイートを読んだり、ツイートを投稿したりできる仕様になっていた。しかし説明を読む限り、パスワードやダイレクトメッセージにはアクセスできないはずだった。 そこでサインインして使ってみたところ、このアプリと
text.ssig33.com - Facebook の JS SDK は使ってはいけない。
Facebook の JS SDK は使ってはいけない。 非常に問題がある。どうせ単なる薄いラッパーなんだし、必要に応じて自分であんなの書けるでしょう。問題について書く。 ありがちなアプリケーションの例 FB.login(function(res){ FB.getLoginStatus(function(res){ if(res.status === 'connected'){ FB.api('/me', function(res){ console.log(res.email) } } }) },{scope: 'email'}) 自分 のemail を取得出来る。 ところで、こうしたらどうなるだろうか。 FB.login(function(res){ FB.getLoginStatus(function(res){ console.log(res.status) FB.api('/me
Yahoo! JAPANの複数プロフィール対応は実に興味深い - r-weblife
こんばんは、ritouです。 最近、Yahoo! JAPANがこのような対応を行ったそうです。 http://event.yahoo.co.jp/7nn/ 1つのYahoo! JAPAN IDで、複数の“顔”を設定し、使い分けることが可能に -INTERNET Watch Watch Webサービス（特にSNS）における複数プロフィール対応ってのは実際のところどうなのでしょうか。 Yahoo! JAPANは今までどういう状態だったのか？ ここからの内容は「YBBのADSLも使ってて何かのときに500円戻ってきたこともありつつ、特に一昨年秋ぐらいまでまでヘビーなYahoo! JAPANユーザーだった」私が考えた個人的見解となります。 Yahoo! JAPANにはアドレスブックやメールといった個人のツール、知恵袋や掲示板、グループなどの以前からある他人とのコミュニケーションツール、Yahoo!
OAuth 2.0やOpenIDの最新動向に追いつくために勉強したことまとめ。 - hsksnote
OAuthやOpenID、仕組みもよく知らずに使ってきた僕が、その最新動向に追いつくために勉強したことをまとめます。 きっかけは OpenID TechNight #7 をUstで見たことで、わからないことが山盛りだったので色々と調べてみた。 OpenID TechNight #7 : ATND 各発表のスライドへのリンクがあるよ。 キーワードとしては、OAuth 2.0、OpenID Connect、Cloud Identity、RESTful API、といったあたりについて。それぞれ基本的なことと、Ustで話されてたことをまとめる。 OAuth 2.0 OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT を先に読めばよかった。 簡単にまとめると、OAuth 1.0の問題点は3つあって。 認証と署名のプロセスが複雑 Webアプリケーション以外の利用が考慮されて
TwitterでOAuth認証するアプリケーションのアクセスレベルに「DMへのアクセス権限」が追加された - F.Ko-Jiの「一秒後は未来」
これまでTwitterのOAuth認証にはアクセスレベルが「Readのみ」「ReadとWrite」という2段階しかなく、認証を許可してしまうとダイレクトメッセージの内容までアプリケーション側から読めてしまうという問題がありましたが、ようやくこの問題が解決するようです。 Beginning today, we’re giving you more control over what information you share with third-party applications. Apps that you use to access your direct messages will ask for your permission again. » Twitter Blog: Mission: Permission 公式にアナウンスされているように、Twitterアプリケーションのア
非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をしているサイトである伊
Twitterさん、OAuthのアクセス権限の細分化を！ : akiyan.com
Twitterさん、OAuthのアクセス権限の細分化を！ 2010-09-07 TwitterのOAuth認証を利用するサービスを作ってみたが... 一昨日の日曜日(9/5)に、クックパッドさんのオフィス提供による 『TFJ CodeCamp #2』 という1日開発合宿に行きまして、TwitterのOAuth認証を使ったサービスを初めて作ったんです。ユーザーのタイムラインを読んでいろいろやってくれるタイプのサービスを。で、実際OAuth認証するサービスを公開することを考えてみたんですが、どーにも無視できないリスクがありまして。 まず、TwitterのOAuth認証のアクセス権限レベルって、「全部のデータが読める」or「何でもできる」しかありません。今回のサービスはタイムラインさえ読めればいいのですが、OAuth認証としては全部のデータを読める要求しかできなくて、その認証をしてもらったならば
高密度小池 ／ OAuth とかについて
OAuth とかについて なんかいろいろ理解してない人がいるように見えるので。 あるサービスでのリソースに対するアクセス権をデスクトップアプリケーションなり Web アプリケーションなりに移譲する時に、一番簡単な方法は ID と PW をそのまま渡してしまう方法。 twitter では従来これが用いられてきた。 twitter の情報なんて大したことないから、 ID/PW 流出しても問題ないよね、というような論調比較的よく見ます。こういうこと言うのは迷惑。死んでください。 twitter と他のサービスで ID/PW を分けている人がいったいどれくらいいるのか。多数派ということは無いと思います(根拠無い推測だけど間違ってないと思う)。 twitter で使っている ID/PW が流出すれば様々な悲劇が起きます。 一次流出もとは他のサービスですが、これによって悲劇が起きた事例と
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Facebook、プライバシー管理機能強化のアップデートを年内に実施 
https://jp.techcrunch.com/2011/05/19/20110518twitter-revokes-automatic-3rd-party-dm-access-gives-users-more-details-on-app-permissions/