Implicit Flow では Covert Redirect で Token 漏れるね - OAuth.jp
この記事は、先ほど書いたこちらの記事の訂正版です。 記事に入る前に、まずは全シンガポールにお詫び申し上げますm m さて、Covert Redirect についての説明は…超絶取り消し線はいりまくってる前の記事を読んでください、でいいでしょうか？ で、訂正分だけ以下に。 Fragment Handling in Redirect 宮川さんが記事にしてますね。 英語だけど。 で、まぁ要するに、(Modern Browser は) 30x リダイレクト時にリダイレクト元に付いてた URL fragment をリダイレクト先にも引っ付ける、と。 fragment は server-side には送られないけど、クライアントサイドではリダイレクト先に引き継がれる、と。 試しに http://www.idcon.org/#foobar にアクセスすると、http://idcon.org/#fooba
OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp
訂正 リダイレクト時の fragment の扱いを勘違いしていたため、本記事全体訂正します。 細かく訂正いれてると分けわかんなくなってきたんで、新しい記事書きました。 ゴールデンウィークまっただなかに Twitter で海外の ID 厨から袋だたきにあってたので、もうこの問題は片付いただろうとすっかり油断してた「Covert Redirect」の件ですが、日本でもゴールデンウィーク明けてバズりだしたので、一旦問題を整理した方がよさそうですね。 事の発端 Wang Jing さんていうシンガポールの大学院生が、こんなサイトを公開すると共に CNet はじめ各種メディアが取り上げたのが、バズりだした発端のようです。 前提知識 OAuth 2.0 や OpenID Connect だけでなく、OAuth 1.0 や OpenID 1.0/2.0 や SAML なんかでも、2つのサービスの間でリダ
Sinatra+Haml+Omniauthをスカッと体感する - Back yard : yuya_lush’s report
ちょっと今までやってないSinatraとHamlを試してみようと思い立ち、何気なくOmniauthを使ってTwitterで認証する部分のみを作ってみました。怖いくらいあっさりできたのでレポートしてみます。 下準備１ Ruby1.9系のインストールをしておいて下さい。 Ubuntu11.04の場合を書いておくと sudo apt-get install make gcc wget libssl-dev zlib1g-dev libreadline-dev libxml2 libxml2-dev libxslt1-devを行い http://www.ruby-lang.org/ja/downloads/からruby 1.9.2-p180のtar.gzのリンクをコピーしてwgetで取得します。configureとmakeとmake installでインストールして下さい。 その後 sudo ge
非技術者のためのOAuth認証(?)とOpenIDの違い入門【2023年版】
昔から、「OpenIDは認証でOAuthは認可だ」などということが言われます。しかし、その言語の意味を取り違えている方が結構多い気がしています。「もうOpenIDなんていらね。OAuthだけでいいじゃん」というような言説がよく流れてくるのがその証拠だと思います。OAuth認証というのもその類ですね。 そこで、今日はOAuthとOpenIDの違いを考えてみたいと思います。 Youtube版 OpenIDは紹介状、OAuthは合鍵 まずはOpenIDの概要の復習です。「OpenIDは認証」という言葉の内容をまずは復習してみましょう。 「認証」とは大変広い言葉でいろいろな場面で使われますが、「OpenIDは認証」という使い方の時は、「OpenIDは、いま来ている人の身元を認証」（ユーザ認証）という意味です。図にすると図1のような流れになります。 この例では、有栖さんがお客としてサービス提供をして
第3回 OAuth Consumerの実装（応用 : smart.fm APIおよびGoogle Data APIsの利用） | gihyo.jp
ゼロから学ぶOAuth 第3回OAuth Consumerの実装（応用 : smart.fm APIおよびGoogle Data APIsの利用） 今回は、OAuth Consumerの実装の応用として、smart.fm APIとGoogle Data APIsの利用について解説します。 ruby-oauth の使い方 今後RubyでOAuth ConsumerおよびOAuth Service Providerを実装する場合は、ruby-oauthを利用することになるでしょう。第2回でruby-oauthのインストールは終わっているはずですが、まだインストールしていない人は以下を実行してください。 gem install oauth Ruby OAuth GEMのサイトにも利用方法が紹介されていますが、実際には各Service Providerが要求するパラメータがあったりするため、この通
OAuthコンシューマの仕組みと実装 〜 Ruby編 - しばそんノート
前置き 前回の記事でOAuthを使ってTwitter APIにアクセスすることができるようになりましたが、ruby-oauthは内部でNet::HTTPを呼び出しているため、そのままではGoogle App Engine for Java上のJRuby(以下JRuby for GAE/J)で利用できません。 「JRuby for GAE/JでもNet::HTTPが使えるようになる」というrb-gae-supportと組み合わせればOKなのかもしれませんが*1、OAuthの仕様自体はシンプルなものですし、せっかくなので勉強がてら自分で実装してみることにします。 車輪の再発明おいしいです！*2 ちなみにタイトルにRuby編と付いていますが、他の言語編を作成する予定は特にありません。 OAuthの仕様 実装の前にOAuthの仕様や、そもそもの成り立ちについて調べました。既にわかりやすいまとめ記事
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
OmniAuthでTwitter認証を作りインテグレーションテストも書く | irohiroki's blog
OmniAuthでTwitter認証を作りインテグレーションテストも書く （このエントリは、第58回 Rails勉強会＠東京で発表した内容をまとめたものです。） OmniAuthは、TwitterやGoogleなど様々な認証サービスプロバイダを統一したインターフェースで使えるようにしてくれるgemです。非常に便利なのでさっそく使おうとしたのですが、テストの書き方がわからなくて躓いたので、調べてわかったことやサンプルコードを公開します。 なお、OmniAuthは単体でも使えるのですが、伝統的なユーザ名とパスワードによる認証もサポートすることを想定して、Deviseと併用する構成となっています。 ポイントは以下の通りです： TwitterはOAuth 1.0 認証の過程でTwitterに３回のHTTPリクエストが飛ぶ それらをスタブで受ける 発表で使った資料を下に貼っておきます。最低限のことし
やる夫と Python で学ぶ Twitter の OAuth - 宇宙行きたい
OAuth 調べてみたら難しくて理解出来なかったので， Python で標準ライブラリだけで 1 から書いてみました． ／ ＼ ／ _ノ ヽ､_ ＼ ／ oﾟ(（●）) (（●）)ﾟo ＼ twitter の OAuth 難しいお… | （__人__）' | ＼ ｀⌒´ ／ ＿＿＿_ ／⌒ ⌒＼ ／（ ●） （●）＼ ／::::::⌒（__人__）⌒::::: ＼ だからやる夫でやるお！ | |r┬-| | ＼ `ー'´ ／ Python のサンプルコードを付けていますが， 上から順に読めるようにおもいっきり手続き型で書いています． コメントで実際の処理の説明を書いています． Consumer Key と Consumer Secret の入手 ／￣￣＼ ／ u ＼ .＿＿＿_ |:
Twitterの連携アプリを「許可する」ボタンのリスク - Zerobase Journal
TwitterのDM（ダイレクト・メッセージ）機能はメールよりも気軽で便利な連絡手段として普及しつつあります。でも、気をつけてください。あなたが技術者のようにTwitterのことを理解していないのであれば、DMが盗み見られる可能性は、おそらくあなたが考えている以上です。 〔2011年5月追記：個々のアプリに対して付与できる権限を、より細かく制御できるようになりました（参照：Twitterブログ: ミッション: アプリ認証でのアクセス権）。さらには連携アプリの一覧画面もありますので、プライバシーに関する機能が充実しました。詳しくはサードパーティアプリケーションとの連携方法もご覧ください。〕 〔註：本稿はなるべく多くの人に読んで頂けるように、易しく書きました。このように「註」欄で詳しい説明を書いていますが、詳しく知りたい人向けですので、読み飛ばして頂いても構いません〕 「DMで大事な話をするこ
TwitterのOAuth認証を使ったサービスを開発する際の注意 - Sacrificed & Exploited
「OAuth を使ってソーシャル・ネットワーキング Web サイトにアクセスする: 第 2 回: OAuth 対応のWeb 版 Twitter クライアントを作成する」のサンプルをいじくっていて気づいたんですが、TwitterのOAuth認証を使ったサービスを開発する場合、AccessTokenの管理方法に注意が必要です。 あんまり自信がないので、誤りがあればどんどん指摘してください。 以下の条件が成り立つ場合、サービス内でなりすましができてしまいます。 サービス(Consumer)がtwitterIDとAccessTokenをひもづけて保管している。 サービスがブラウザへ渡すcookieにtwitterIDをそのまま保存している ブラウザからサービスへtwitterIDを含むCookieが渡された場合、twitterIDをキーとしてサービス内に保存しているAccessTokenを検索し、
Python で OAuth/xAuth 、というか Twitter 認証: ある nakagami の日記
あとで読む（はず） OAuth プロトコルの中身をざっくり解説してみるよ http://d.hatena.ne.jp/yuroyoro/20100506/1273137673 pythonで署名付きリクエストを送る(2-legged OAuth) http://taichino.com/programming/1057 デスクトップアプリケーションでも認証可能なOAuth「xAuth」をpythonから試してみた。 http://mattn.kaoriya.net/software/lang/python/20100217004716.htm Twitterによる簡易版OAuth: "xAuth" http://s-take.blogspot.com/2010/02/twitteroauth-xauth.html コマンドラインで動作する OAuth 対応Twitter クライアントを P
OAuthプロトコルの中身をざっくり解説してみるよ - ( ꒪⌓꒪) ゆるよろ日記
「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー
Twitter の BASIC 認証廃止で、 ケータイ向けサービスはどうなる? - biac の それさえもおそらくは幸せな日々@nifty
6月一杯 ( つまり、 あと 2ヶ月ちょっと ) で、 Twitter API を利用するときの認証方式のうち、 BASIC 認証が廃止されます。 ITmedia エンタープライズ: Twitter の BASIC 認証廃止、 企業ユーザーが知っておくべきこと 2010/04/28 西尾泰三 BASIC 認証は実装が簡単な一方で、 セキュリティ面で不安がある。 Twitter API の利用についていえば、 Twitter と連携した外部サービスを利用するために、 Twitter のユーザー名とパスワードを第三者に渡してしまうことが特に問題となる。 これはつまり、 ユーザーが Twitter で行える全権限を第三者に与えてしまっているのに等しい。 これを改善するものとして、 ユーザー名とパスワードとはひも付かないトークンベースで、 あらかじめ決められた API のアクセスのみを許可しようと
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://hueniverse.com/2012/07/oauth-2-0-and-the-road-to-hell/
GitHub - twitter/joauth: A Java library for authenticating HTTP Requests using OAuth
http://www.machu.jp/posts/20060725/p01/
はてながOAuthに対応、「はてなブックマーク」など3サービスの対応API公開 
Build and implement a single sign-on solution
http://winscript.jp/powershell/196