OAuth 2.0のAccess TokenへのJSON Web Token(JSON Web Signature)の適用 - r-weblife
こんばんは、ritouです。 久々の投稿な気がしますが、今回はOAuth 2.0のリソースアクセス時の設計の話です。 ずーっと前から書こうと思いつつ書いてなかったので、ここに書いておきます。 出てくる用語や仕様は、下記の翻訳リンクを参照してください。 The OAuth 2.0 Authorization Framework JSON Web Signature (JWS) 想定する環境 わりとよくある環境を想定しています。 OAuth 2.0で認可サーバーとリソースサーバーがある 認可サーバーがAccess Tokenを発行 リソースサーバーがAPIリクエストに含まれるAccess Tokenを検証する よくある実装とその悩みどころを、JSON Web Token(JSON Web Signature)により軽減できるかもという話です。 よくある実装 : Access Tokenに一見ラ
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
Login with Google Plus OAuth.
Few days back Google Plus has released OAuth application programming interface, right now they providing only user activities and circle data. I had implemented a simple login system called User authentication with Google Plus data. Try this it’s almost like twitter login system, I hope in future Google + going to release some more options.
OAuth 2.0でWebサービスの利用方法はどう変わるか（1/3）- ＠IT
OAuth 2.0で Webサービスの利用方法はどう変わるか ソーシャルAPI活用に必須の“OAuth”の基礎知識 株式会社ビーコンIT 木村篤彦 2011/2/2 TwitterがOAuth 1.0を採用したのを皮切りに、今では多くのサービスがOAuth 1.0に対応しています。国内でも、例えば、マイクロブログ型コラボツール「youRoom」、小規模グループ向けグループウェア「サイボウズLive」、「はてな」のいくつかのサービス、「Yahoo!オークション」、リアルタイムドローツール「Cacoo」などがOAuth 1.0に対応したAPIを公開しています。 ここ数年でOAuthはさまざまなWebサービスのリソースを利用する際の認証方式として普及してきました。これは大きなプレーヤーがサポートしたことも一因ですが、OAuthの持つ以下の2つの特徴によって、「OAuthを使うと、サービスプロバイ
PHP で Gmail の OAuth+SMTP を使う
はじめまして。 KLabにインターンでお邪魔させていただいている nakatani-s です。 インターンで製作しているアプリの中で、GmailのSMTPサーバにOAuth認証で入る部分があります。 こちらにあるように、GmailはIMAP・SMTPともにOAuth認証に対応しているのですが、OAuth+IMAPのサンプルコードはあってもOAuth+SMTPのサンプルって中々見つからないんです。 そこで、OAuth+SMTP in Gmail のシンプルなPHPコードを公開して、少しでも世のお役に立てたらなと思うわけです。 いえ、僕が探した範囲なので本当はあるかもしれませんよ？でも恥ずかしいので知っている方も生温かい目でスルーしてください。 開発中にたくさんの助言・アイディアを下さり、インターンの身にこのような機会を与えてくださったKLabの方々には頭が上がらない思いです。 目次
OAuthプロトコルの中身をざっくり解説してみるよ - ( ꒪⌓꒪) ゆるよろ日記
「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー
CakePHPとTwitterとOAuth：いいタイトルが浮かびません。：So-net blog
CakePHPのシェルからTwitterへOAuthで投稿のメモ （アプリの登録とかは他のサイトを参照して） CakePHPのバージョンは1.2.6 ここ http://code.42dh.com/oauth/ から OAuth consumer classをダウンロードし、cakeコアの vendors\OAuth に解凍する。 そのままだとクライアントアプリでは使えなかったので少し改良。 （パラメータの取得あたり） oauth_consumer.php public function getAccessToken($accessTokenURL, $requestToken, $httpMethod = 'POST', $parameters = array()) { $this->url = $accessTokenURL; // mod: start if ( isset($_SE
Complete oAuth script for Twitter and LinkedIn using PECL oAuth Extension
Complete oAuth script for Twitter and LinkedIn using PECL oAuth Extension After searching for help to connect with LinkedIn via their oAuth protocol using PECL oAuth extension, I’ve found that lots of people are posting in their forum for the code samples. And only very few obscure code examples are available. I’ve found phplinkedin script but that is just too bulky for a simple oAuth dance 🙂 So
OpenID & OAuth 仕様書を日本語に翻訳しました - 京の路
昨年末にOpenIDファウンデーション・ジャパン参加企業の有志数名で翻訳・教育 Working Groupというのを立ち上げて、現在は主にドキュメントの翻訳を行っています。 現在4本のドキュメントの日本語版を翻訳・教育 Working Group のサイトで公開しています。（この記事の末尾にリンクあり） 翻訳後のドキュメント以外に、githubレポジトリも公開しています。forkもpull requestも大歓迎！原文との比較がしやすいように、各翻訳版のXMLファイルにはコメントアウトの形で原文も残されています。 翻訳版ドキュメントへのコメント・質問は翻訳・教育 Working Group のサイトのコメント欄にどうぞ。 OpenID Authentication 2.0 OpenID Attribute Exchange 1.0 OpenID Simple Registration Ex
ウノウラボ Unoh Labs: PECL::oauthでxAuth
yamaokaです。 TwitterのBasic認証によるユーザー認証が6月に廃止されるようですね。 認証はOAuthで行ってください、とのことなのですが OAuthの認証画面を表示するためにブラウザを起動するのがふさわしくないケースや、 そもそも貧弱なブラウザでうまく利用できないケースもあります。 そうした場合の解決方法として、xAuthという仕組みがTwitterに実装されています。 詳しくは次に紹介するweb上の記事を参照してください。 s-take Blog.: Twitterによる簡易版OAuth: "xAuth" OAuthでデスクトップアプリがブラウザを経由させたくないときのxAuth - Codin' In The Free World the.hackerConundrum: Sneak peek at Twitter's browserless OAuth creden
CakePHPでTwitterマッシュアップを作る#4 - BUENA VISTA SOCIAL BLOG
目標すべてのページに「twitterでログイン」を用意してOAuthにより認証できるようにする使ったものhttp://code.42dh.com/oauth/からOAuth consumer componentをダウンロード解凍するとcontrollers conponents oauth_consumers abstract_consumer.phpoauth_consumer.phpvendors OAuthOAuth.phpが入っています。app/vendorsにOAuthフォルダを入れるapp/controllers/conponentsにoauth_consumersフォルダ、oauth_consumer.phpを入れて準備完了Twitterのキー第2回で作成したコンシューマキーシークレットキーを、app/controllers/components/oauth_consumer
MobstarWorldのOAuth利用スパムについて - r-weblife
最近、エンジニアとして調子悪いので、他人のブログエントリから復帰のタイミングを探っていきます。 今日はまちゅさんのこのエントリに注目！！ OAuthを悪用したTwitter DMスパムが登場 - まちゅダイアリー(2009-08-01) ■ まず、言っておきたいこと この件は、OAuthのセキュリティ脆弱性の件とは異なる twitterのUIが問題だと思っているので、これでOAuth使ってるとこ全体が悪者扱いされたら会社辞める ■ 整理 「自分のフォロワーにDM送信」する機能がtwitterのAPIで実装されている twitterはユーザーに対して、「MobsterWorld」に自分のアカウントに対して「access and update（←これがScope）」させてもいいか聞いてる ユーザーがallowしちゃうと、「access and update」の機能の一つであるDM送信の機能を「
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://leandrob.com/2014/05/covert-redirect-facebook-and-espn-security-oh-my-god/
Homepage - Opauth
http://www.machu.jp/posts/20110722/p01/
PHPDeveloper: PHP News, Views and Community
http://www.machu.jp/posts/20090818/p01/
http://www.machu.jp/posts/20090801/p01/
astrumfutura.com