"なんちゃら iOS SDK" でありそうな被害例 - OAuth.jp
昨日の続き。「ソーシャルゲームなんて3000万人の特殊な人しかやってない」という意見もあるようなので、今日は iOS アプリ版。 登場人物 iOS SDK 出してるプラットフォーム iOS SDK と連携するプラットフォームの公式 iOS アプリ プラットフォーム上で "まっとうな" アプリを運営してる攻撃者 攻撃者が自作した攻撃用アプリ iOS SDK 使って開発された被害アプリ あいかわらず無邪気な被害ユーザ 前提 プラットフォームが提供する iOS SDK は、 プラットフォームが指定するカスタムスキーマ (ex. “xyz-connect://”) で始まる URI にアクセスすることで プラットフォーム公式 iOS アプリに access token 取得のフローを delegate し 公式アプリが被害アプリの指定するカスタムスキーマ (ex. “foobar-rowial:/
「OAuth 2.0 (Implicit Flow) でログイン」の被害例 - OAuth.jp
。登場人物 OAuth 2.0対応してる某ゲームプラットフォーム 某ゲームプラットフォーム上で占いゲームを運営してる攻撃者 某ゲームプラットフォーム上で農園ゲームを運営してる被害アプリの開発者 某ゲームプラットフォーム上で無邪気に遊んでる被害ユーザ ※ 念のため、今回の話は特にゲームに限った話ではない。 前提 某ゲームプラットフォーム、農園ゲーム共に、XSS とか CSRF とかセッションハイジャックされるような脆弱性はない。 農園ゲームはプラットフォームが発行するAccess TokenをOAuth 2.0のImplicit Flowを使って受け取り、同じくプラットフォームが提供するProfile API (GET /me とか) にアクセスして、レスポンスに含まれる user_id をもとにユーザを認証している。 攻撃者は占いゲームのDBから任意のAccess Tokenを取得可能。
node.js+express+PassportでOAuth認証 - Tech-Sketch
軽めの話題を 毎回割と「濃い目」の記事が多いこのTech-Sketchですが、今回は軽めの内容として、nodejsとそのモジュールであるPassportを利用した他サービスとの認証連携を説明しようと思います。 PassportはConnectやExpressベースのWebアプリケーションに認証の仕組みを組み込むことができるモジュールです。単純なローカルでのユーザ名・パスワードによる認証から、OpenIDやOAuthを利用した認証もカバーしています。それぞれの認証の方式はstrategyとして選択することが可能で、簡単に認証に関する実装を追加することができます。OpenID/OAuthで認証を行う場合のstrategyは、メジャーなサービスに対してのものはnpmでインストールできる形ですでに多数用意されています。 具体的にどのようなstrategyが用意されているかは、以下のリンク先を参照し
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
Google Sites: Sign-in
Not your computer? Use a private browsing window to sign in. Learn more about using Guest mode
ゼロから分かる、GAE＆Twitter API開発の始め方 (2/5)
Twitter APIを使う準備をしよう Twitter APIとGAEを使った開発の流れは、前回の記事でざっと説明しましたので、今回は具体的な手続きに入ります。まずはTiwtter APIの準備です。 Twitter アカウントの用意 Twitterのユーザーアカントを取得します。すでに持っているTwitterアカウントをそのまま利用しても構いません。持っていない場合はTwitterのトップページから登録してください。登録作業後に送られてくる確認用メールに記載されたURLを開いて、アカウントを確認できればOKです。 Twitterアプリケーションの登録画面を開く Twitter APIの利用には、Twitterアカウントのほかにアプリケーション登録が必要です。Twitterの設定画面からアプリケーション登録の画面を開きましょう。アプリケーション登録の画面は、一度登録してしまえば以後は比較
GoogleAppEngineでtwitterAPIをOAuth認証で使う（1） - めも帖
twitter APIでBASIC認証を使うのが6月30日までに決まったそうで。お仕事でtwitterのAPIを使ったことがありますが、BASIC認証のままでして。これからはOAuth認証だよ、ということなので試してみよう、と思いました。そうおもっただけならいいんですが、なぜかGoogleAppEngineで試してみる結果に...。 アカウントを用意する テスト用のアカウントを用意しました。外部アプリケーションの設定（http://twitter.com/apps）をします。すると、 Consumer key Consumer secret というのが設定されます。ええと、ここら辺は「ASCII.jp：ゼロから分かる、GAE＆Twitter API開発の始め方｜Twitter＆Google App Engineで始めるWebプログラミング入門」で。 このあたりで、いろいろと種類があるのがわ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Loading...
GitHub - mikeknapp/AppEngine-OAuth-Library: An OAuth library for interacting with Twitter, MySpace, LinkedIn and Yahoo on AppEngine
GitHub - joestump/python-oauth2: A fully tested, abstract interface to creating OAuth clients and servers.