Using Reverse Auth | Twitter Developers
While the Twitter framework for iOS provides an incredibly easy way to make authenticated calls on behalf of a user to the Twitter API, you may find the need to process a user’s Twitter data on your server. To faciliate this, Twitter provides an endpoint that allows you to obtain the user's OAuth tokens for your own application. The process is called Reverse Auth. Before We Start Reverse Auth is s
Retrieving Twitter OAuth Token using Social Framework (iOS6)
Let's answer this in a few steps, there are a few things that need addressing/clarifying. ACAccountCredential This object is used in co-ordination with an ACAccount object, in order for the accounts framework to be able to authenticate the user for a particular account. It is not designed to be read at will; it is only supposed to be used when you need to save an account to the accounts framework.
OAuth 2.0 の code は漏れても大丈夫ってホント!? - OAuth.jp
昨日のCovert Redirect で Query 漏れるケースもある!?やOAuth 2.0 の脆弱性 (!?) “Covert Redirect” とはにあるように、OAuth 2.0 の code が漏れちゃうことも、ありえます。 漏れないためにやるべきことは、上記の記事やFacebook Login で Covert Redirect を防止するなんかでも紹介してるので、そちら読んでください。 で、今回の内容は「code が漏れたら何がまずいのか」についてです。 「code は漏れても大丈夫」説 「Covert Redirect」についての John Bradley 氏の解説（追記あり）にも、こうありましたね。 OAuth と OpenID Connect には複数の response_type があるんだけど、さきのリポートの著者は、最も一般的な response_type が
OAuth Sign - r7kamura per second
OAuth 2.0 への理解を深めるため、自分がOAuthをどう捉えているかを整理します。 多分に誤解が含まれている可能性があるので悪しからず。 OAuth 2.0 OAuth 2.0を利用してリソースサーバ(=Web API)と通信を行う場合、 以下の処理が行われます。 ユーザは認証情報を認証サーバに渡してアクセストークンを発行してもらう ユーザはリソースサーバと通信する際にアクセストークンを一緒に渡す リソースサーバは受け取ったアクセストークンからユーザを識別する リソースサーバは識別結果をもとに適切な処理を行いレスポンスを返す 認証情報 認証情報には幾つかのパターンがあり、以下の情報が含まれます。 アプリケーションを識別するための情報 ユーザを識別するための情報 認証方法などを表すメタ情報 認証サーバとリソースサーバ 認証サーバは、アプリケーションを登録したり、アクセストークンを発
シンプルなXAuthの仕様をまとめてみる - r-weblife
※注意 本エントリで扱うXAuthとは、twitterがBasic認証から移行させようとしているしくみの話ではありません。 http://xauth.org/info/ http://developer.yahoo.net/blog/archives/2010/04/xauth_oauth_and_yahoo_openid.html Blogger ■ XAuthって？ xauth.orgからは、様々なProviderがドメインを超えてアクセスできるbrowser token(XAuth Token)を取り扱うJSが提供されます。 XAuth って、要は HTML5 の Local Storage を使った Shared Cookie だよな。 http://twitter.com/_nat/status/12550370824 仕様ドキュメントでいうとこのあたりですね。 Requirem
Get application id from user access token (or verify the source application for a token)
I found this question, which has an answer, but facebook changed the token format since then, now it is something like: AAACEdEose0cBACgUMGMCRi9qVbqO3u7mdATQzg[more funny letters]ig8b3uss9WrhGZBYjr20rnJu263BAZDZD In short, you cannot infer anything from it. I also found the access token debugger, which shows the information I am looking for if you paste a token in, which is nice, but does not help
セキュアで使いやすい認証UX標準化を目指すAccount Chooserプロジェクト
セキュアで使いやすい認証UX標準化を目指すAccount Chooserプロジェクト：デジタル・アイデンティティ技術最新動向（7）（1/3 ページ） 今回は、OpenID Foundationで実装および仕様策定が進められている「Account Chooser」というプロジェクトについて紹介します。 GoogleのOpenIDへの取り組みとAccount Chooser 前々回、前回と、2回に渡ってUDIDについて述べてきましたが、ここで再びOpenIDに関する話題に戻ります。今回は、OpenID Foundationで実装および仕様策定が進められている「Account Chooser」というプロジェクトについて紹介しようと思います。 Account Chooserは、OpenID Foundationの中で、特にGoogleが中心となって進めているプロジェクトです。プロジェクトそのものに
Facebookがいきなり実施したセキュリティ対策でログインできなくなるWebアプリたぶん多数 - @Yoski はてな別室
多数あると思います。ていうか、俺、ひっかかった。 掘っていくと、ここ数日に実施されたセキュリティ対策らしく、app secret と client secret が同一の場合、https://graph.facebook.com/oauth/access_token がcode認証受け付けなくなる、という問題です。 ここに情報載ってます。 BugsThe request is invalid because the app secret is the same as the client token これにひっかかると、ヘッダに WWW-Authenticate: OAuth "Facebook Platform" "invalid_request" "The request is invalid because the app secret is the same as the clie
oauth/access_token Stopped working today | Twitter Developers
Building an app that has been working for 3 months now, up to and including last night. No changes made to any code, but today I cannot successfully use oauth/access_token. I receive error 401: <?xml version="1.0" encoding="UTF-8"?> <hash> <request>/oauth/access_token</request> <error>Invalid / expired Token</error> </hash> As I said, I have not changed anything and this worked as of 3AM last nigh
特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない
怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ
iOS6のSocial.frameworkを試してみた - 中継地点
iOS6からFacebook、微博(Weibo)、Twitterを統合したSocial.frameworkが追加されました。例によってAOuth認証などの面倒な手続きは全てiOS側で行なってくれるので投稿だけであれば、数行のコードで実装が可能です。 iOS5から追加されたTwitter.frameworkは廃止の方向になるので、新しく実装する場合はSocial.frameworkで実装した方がよさそうです。実装方法はTwitter.frameworkと同じような作りとなっているので簡単に移行できると思います。 SLComposeViewControllerでの投稿方法 プロジェクトのBuild PhasesのLink Binary with Librariesで「Social.framework」を追加します。 ヘッダにSocial.hをインポートします。 #import <Social/
offline_accessパーミッション廃止時の対応
2012年04月14日18:33 by oklahomer offline_accessパーミッション廃止時の対応 カテゴリTips Facebookアプリを使う上で必要となるのがユーザのアクセストークンですが、これは通常2時間で無効になってしまいます。それを回避する上で便利なのがoffline_accessというパーミッションですが、これは今年5月2日から使えなくなってしまいます。 （*ちょっと前までは5月1日で廃止となっていたのですが、いつの間にか2日にズレていました。けど1日と書かれたままの部分もあります。） 対応をまとめたものが残っていたので、今回はそれを紹介します。 以下、その時の資料です。 access_tokenとpermissionユーザのデータにアクセスしたり、ユーザの代理としてfacebook投稿などするには、アクセストークンだけでなく、必要に応じた許可（パーミッション
Web API 設計のベストプラクティス集 "Web API Design - Crafting Interfaces that Developers Love" - フリーフォーム フリークアウト
移転しました http://please-sleep.cou929.nu/20130121.html
OAuth 2.0 Implicit Flow で認証の問題点、再び。 - OAuth.jp
おひさしぶりです、@novです。 最近は、新しいFacebook iOS SDK使ってるアプリを見つけるとまずToken置換攻撃を試みていますが、結構高い確率でこの攻撃に対して脆弱なアプリがみつかります。困ったものです。。 そんななか、2週間ほど前に、Micosoft Researchの人がIETF OAuth WGのメーリングリストに同じ問題を提起していました。該当Threadでは少し話題が脱線している部分もありますが、もともと最初にこの問題を提起したJohn BradleyがOAuth 2.0 CoreにSecurity Considerationsを追加する流れのようです。 これが現状の改善につながれば良いのですが、そう簡単に行かないかもなとも思います。というのも、この問題、なかなかデベロッパーにとって理解されない傾向があります。 そこで今日は、これまでいくつかのアプリデベロッパーに
自由奔放 : Authorizationヘッダーを使用したOAuth
2010年08月16日13:41 カテゴリOAuth Authorizationヘッダーを使用したOAuth OAuthは、Authorizationヘッダーにパラメータを指定する方法があるのだけど、それについて、少し調べてみたところ、Yahoo!デベロッパーネットワークの Authorizationヘッダを利用したHTTPリクエスト がわかりやすかった。 OAuthのパラメータは、通常のものと同じなので、説明は省く。 Authorizationヘッダーを使用してOAuthする場合のポイントは以下。 1. 通常のBasic認証の場合のAuthorizationヘッダーの場合 Authorization: Basic データ のような形式であるが、OAuthの場合は Authorization: OAuth realm="realm名",データ の形式 2. 通常のBasic認証の場合のAu
認証認可手順（新方式） - mixi Connect
各種APIをクライアントプログラムから利用するためには、OAuth 2.0 Protocolにより規定された認可を行うことが求められます。この手順により、クライアントプログラムがどのようなAPIアクセスを行い、そしてどのような情報が参照または更新されるのか（これをスコープと呼びます）がユーザに提示されます。ユーザの認証、および提示されたスコープについてユーザが同意した場合にのみ、クライアントプログラムはAPIにアクセスするための情報（トークンなど）を得ることができます。 [RFC 6749 - The OAuth 2.0 Authorization Framework] http://tools.ietf.org/html/rfc6749 [RFC 6750 - The OAuth 2.0 Authorization Framework: Bearer Token Usage] http:
Yahoo! JAPANがOAuthのService Providerになりました！
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、IDプラットフォーム技術の近藤です。 2007年12月4日、OAuth Core 1.0という仕様が策定されてからGoogle、米Yahoo、TwitterなどのサービスプロバイダがOAuthに対応を行い、外部アプリケーションに対してユーザーリソースへのアクセス認可を開始しました。そして2009年7月9日、Yahoo! JAPANもOAuthのサービスプロバイダとしてリソースアクセスの提供を開始しました。 2009年4月下旬にOAuth Core 1.0の仕様にセキュリティ問題があることが発表されました。 Yahoo! JAPANのOAuthはその問題を解決したOAuth Core 1.0 Revision Aという仕
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
このページを見るには、ログインまたは登録してください
オライリー OAuth 2.0 - Twisted Mind
Handling Invalid and Expired Access Tokens - Facebook開発者