Sharing sessionStorage between tabs for secure multi-tab authentication
tl;dr; I’ve created mechanism that will leverage the secure nature of the browser sessionStorage or memoryStorage for authentication and will still allow the user to open multiple tabs without having to re-login every time. A refresher about relevant browser storage mechanism localStorage ~5MB, saved for infinity or until the user manually deletes it. sessionStorage ~5MB, saved for the life of th
エンタープライズITでのOpenID Connect利用ガイドライン
2. Copyright 2013 OpenID Foundation Japan - All Rights Reserved. 目次 はじめに エンタープラズITにおけるフェデレーションの要件 エンタープラズITにおけるOpenID Connectの適用例 まとめ 1 3. Copyright 2013 OpenID Foundation Japan - All Rights Reserved. はじめに 登場人物 OP: クラウドサービス利用企業(の認証システム) RP: クラウドサービス事業者 エンドユーザー、サービス利用者: クラウドサービス利用 企業の従業員 今回は、RPはサーバーサドゕプリケーションであ ることを前提としている 2
Managing Sessions with OpenID Connect
OpenID connect session management specification defines a protocol-bound approach for the OpenID clients to verify the identity of the already authenticated end-users at the authorization server and to obtain their basic profile information via a REST-ful manner. Furthermore it defines methodologies to manage user sessions and log-out end-users at the authorization server. OpenID Connect session m
Understanding ID Token
1. IntroductionFrom an engineer's point of view, an abstract explanation like “ID Token is a token issued as a result of user authentication” is not so valuable because engineers cannot imagine how to implement ID Token at all by the explanation. Instead, what engineers want to know first, at least what I should have known before diving into reading OpenID Connect Core 1.0, is what an ID token loo
OpenID Connectで使われるnonceパラメーターについて | SIOS Tech. Lab
こんにちは、サイオステクノロジー武井です。 ※本記事の英語版はこちら(Click here to read in English) 今回は、OpenID Connectで利用されるnonceパラメーター(ノンスと読むらしいです、ナンスと呼んで恥かきました(´・ω・｀))の目的について、私なりにわかりやすく図を交えながら、ご説明させて頂きたいと思います。 一言で言うならば、nonceパラメーターは、リプレイアタック(不正に傍受した正しいIDトークンを送りつけて、不正アクセスを実現する攻撃)を防ぐためのものです。 OpenID Connectの仕様書には以下のように書かれています。 リプレイアタックを阻止するため、署名のチェックを行なうエージェントは、肯定アサーションの中に含まれるノンス値の履歴を辿り、同一の OP エンドポイント URL について、同じ値を二度以上決して受け入れてはならない。
OpenID Connectはそんなに大変かね？ - OAuth.jp
OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る – Qiita ってのになんかフォローアップしろよ的なのが来たので。 ざっと読んだ感想としては、「OpenID Connect の OPTIONAL な機能全部実装したら、そら大変ですね」という感じ。（Authlete に関しては、OpenAM みたいな感じで使われる、OpenAM よりはるかに簡単に使える代わりに有料の何かなんだろうな、というイメージです） OAuth は必要なのか？ Basic 認証は死んだ。 ユーザー単位での API のアクセスコントロールがしたいです。 っていう前提で話すると、OAuth 以外まともな選択肢が無いんじゃないでしょうか。 OAuth の各種 Extension (RFC 6749 & 6750 以外にいろいろある) に関しては、適宜必要なのを実装すればいいんだけど
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Securing Single Page Applications with Token Based Authentication (Stefan Achtsnit, BGT)
SPA and refresh token