次世代の認証技術 WebAuthnを紹介【前編】 | TECH | NRI Digital
みなさん、こんにちは。 NRIデジタルの工藤です。 私たちは、CoE活動として、新技術の探索・調査を行っています。 今回は次世代の認証技術として注目されている「WebAuthn」について前後編でご紹介します。 本記事ではWebAuthnの概要、WebAuthnを実現するための構成要素、実装シーケンスについてご紹介します。後半記事ではWebAuthnが抱える問題点とその解決策としてのPassKeyについてご紹介します。 WebAuthnとは WebAuthnの仕組み WebAuthnを実現するためには 認証器のWebAuthn対応状況 ブラウザのWebAuthn対応状況 WebAuthn 認証サーバを実現のために利用可能なOSS WebAuthnのシーケンス 登録 リクエスト情報 レスポンス情報 Attestation 認証 リクエスト情報 レスポンス情報 Assertion まとめ Web
パスキーとは何か、そしてその課題
パスキーはフィッシングに強く、テクノロジーに詳しくないユーザーでも使いやすい新しい認証方式で、いずれパスワードを置き換えると言われています。この記事では、パスキーの基本と、これからのウェブにとってパスキーがどういう意味を持つのかについてまとめてみます。 パスキーとは何か # 2022 年 12 月 9 日に Google が Android 版 Chrome でパスキーがサポートされたとのアナウンスが出ました。Apple もすでに最新版の macOS Ventura、iOS / iPadOS 16 で Safari がパスキーに対応しています。 パスキーは Apple、Google、Microsoft が協調して使う FIDO クレデンシャルの名前です。エンドユーザーのみなさんがパスワードの代わりとして認識し、直感的にログインできるよう「パスキー」というブランドとアイコンが決まりました。ウ
OpenID Connect CIBAフローを実装してみた感想 - okzkメモ
最近OpenID ConnectのCIBAフローを実装する機会があったので、その感想をメモっときます。 そもそもCIBAフローって何？ authleteの川崎さんのqiitaがマジ詳しいです。 qiita.com 認可コードフローなどの通常のフローはリダイレクトでトークンのやりとりを行うのでブラウザ上で動くことが前提となりますが、CIBAはブラウザ以外での認証リクエストを受け付けることができるので、いろんなとこに応用が効くと思ってます。 以下、川崎さんの記事を読んだりして、CIBAフローの雰囲気を理解した方向けに、実装してみた感想をカンタンにまとめます。 サーバサイドの実装 すでにOpenID Connectの実装があるんなら、POLLモードで最低限のCIBAフローそのものの実装はそこまで難しくないです。 tokenエンドポイント以外は新規実装でよいので既存の設定の整合性を考えなくてよいで
OAuth2の次に来ると言われる認可プロトコルGNAPとはなにか | メルカリエンジニアリング
Merpay Advant Calendar 2020、23日目の記事は、趣味で認証認可をやっている @nerocrux が送りいたします。 最近 GNAP という認可プロトコルのワーキンググループドラフトが出ていて頑張って細かく読みましたので、（次回はいい加減に仕事でやってることについてお話しますが）今回はその GNAP について紹介させてください。 GNAP とはなにか？ GNAP は Grant Negotiation and Authorization Protocol の略で、認可のプロトコルです。Justin Richerさんという方を中心に策定しています。作者によると、GNAP の発音は げなっぷ になります。 認可（Authorization）プロトコルと言えば、OAuth 2.0 (RFC6749) が広く知られ、運用されています。GNAP は OAuth 2 の後継とし
雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH
※ 2023年改定: Google Cloudのキャプチャを最新のものに差し替えました。 ※ 電子版はpdfとepubをダンロードできます。 ステッカーは「OAuth完全に理解した！」ステッカーになります。 トップの画像をご確認ください。 Auth屋の本の評判: https://togetter.com/li/1477483 本書の書評: https://dev.classmethod.jp/articles/atmosphere-oauth2-0-book/ 誰に向けた本かぜんぜんわからない。俺たちは雰囲気で OAuth をやっている。 そんなエンジニアに向けてこの本を書きました。 具体的には以下の質問に答えられないエンジニア です。 • スコープとはなんですか? • 認可コード (Authorization code) は何が行われた証ですか? • Webアプリ
![雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH](https://cdn-ak-scissors.b.st-hatena.com/image/square/c58b3500ffe21a145cd03b5a1035694bdb90f44c/height=288;version=1;width=512/https%3A%2F%2Fbooth.pximg.net%2Fc%2F620x620%2Fcf80a27c-5163-4a4b-9d2b-2ba823d41bec%2Fi%2F1296585%2Fe4c73e6e-fc1c-433e-803f-3600aad8e634_base_resized.jpg)
What Is Step-Up Authentication? When To Use It Over MFA or Adaptive Auth?
Ideally, your new service or app is easy to use and access, and customers—who you want using your product as quickly as possible — can start using it with minimal friction. Your core value proposition is just on the other side of a login screen, and making that entrance even marginally more difficult can risk sending those potential customers elsewhere. Step-up authentication is a way to strike a
秒間100万リクエストをさばく - Googleの共通認可基盤 Zanzibar - 発明のための再発明
はじめに Googleの提供するサービス郡が共通して利用している認可システムにはZanzibarという名前がついています。ZanzibarはGoogleDrive・Google Map・Youtubeなどの巨大なサービスにも使用されています。 そのため、利用量も凄まじく 数10億のユーザー 数兆のACL(access control list) 秒間100万リクエスト もの量をさばいています。 にも関わらず、Zanzibarはこれを10ミリ秒以内に返します(95パーセンタイル)。 この記事では、そんなZanzibarの内部構造に関する論文「Zanzibar: Google’s Consistent, Global Authorization System」の中から、主に大量のリクエストをさばくための工夫を紹介します。 ちなみに、以前Googleの社内システム用の認可システム「Beyond
OAuth 2.0 debugger
The authorize URI on the authorization server is where an OAuth 2.0 flow starts. The redirect URI tells the issuer where to redirect the browser back to when the flow is done. Every client (website or mobile app) is identified by a client ID. Unlike a client secret, the client ID is a public value that does not have to be protected. Clients can request additional information or permissions via sco
OAuth 2.0 Security Best Current Practice
Web Authorization Protocol T. Lodderstedt Internet-Draft yes.com Intended status: Best Current Practice J. Bradley Expires: 1 July 2019 Yubico A. Labunets Facebook D. Fett yes.com 28 December 2018 OAuth 2.0 Security Best Current Practice draft-ietf-oauth-security-topics-11 Abstract This document describes best current security practice for OAuth 2.0. It updates and extends the OAuth 2.0 Security T
Authentication and Authorization in GraphQL (and how GraphQL-Modules can help)
After a few years of working with GraphQL, as open-source developers and as infrastructure team in large enterprises, we’ve learned some lessons about GraphQL, and how to authenticate and authorize GraphQL API. Authentication and authorization should be simple, because for most cases, it’s just a piece of code that we wish to run before letting users access certain resources. In this article we’ll
OpenID Connect のあれが WebAuthn のこれになったらどうなるかって話 - r-weblife
おはようございます。ritou です。 builderscon tokyo 2018 にて WebAuthn のさわりの話をした時に、「OAuth / OpenID Connect」 との関係について質問がありました。 この質問に限った話ではありませんが、"認証のための技術" なんていうと、認証方式、認証状態のセッション管理、ID連携まで広範囲に渡るため、話が混乱してしまうものです。 ここでは OIDC で言うところの誰が WebAuthn で言う所の誰になるとどうなるのか、みたいな話を書きます。 前提 FIDO と Identity な標準化技術は "補完関係" 結構前ですが、もっと詳しい方が書いたものを紹介します。 https://www.jstage.jst.go.jp/article/itej/70/5/70_481/_pdf 上記FIDOの技術仕様は、認証の領域にのみ注力していま
Web Authentication API で FIDO U2F(YubiKey) 認証 | blog.jxck.io
Intro Web Authentication(WebAuthN) API の策定と実装が進んでいる。 これを用いると、 FIDO(Fast IDentity Online) U2F(Universal Second Factor) 認証が可能になる。 今回は YubiKey 認証の実装を通じて、ブラウザ API の呼び出しと、サーバ側で必要な処理について解説する。 https://w3c.github.io/webauthn/ DEMO 動作するデモを以下に用意した。 https://labs.jxck.io/webauthentication/fido-u2f/ YubiKey での動作のみ確認している。 コードは以下にあり、今回の解説もここから抜粋している。 (あくまで API の流れを解説するためのものであるため、飛ばした処理もあり、本番利用に耐えうるものではない。) https
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenID and OAuth. Confusing? - 2min. OAuth
Web Security Basics - An Introduction to the Essential Concepts Behind a Secure Website
Show and Tell: full authentication flow example, dash-auth-flow
GitHub - shieldfy/API-Security-Checklist: Checklist of the most important security countermeasures when designing, testing, and releasing your API
GitHub - Swizec/useAuth: The simplest way to add authentication to your React app. Supports various providers.
GitHub - lipp/login-with: Stateless login-with microservice for OAuth
BucketList App: Getting the Data (part 1) | appendTo
Animated SVG Avatar v2