特定条件下におけるOAuth 2.0の認可応答を奪取されるリスクとその対策について - r-weblife
こんにちは、ritouです。 やっと”なんちゃらAdvent Calendar”がおさまり、これからは”一年を振り返って(遠い目”みたいな記事が増えることでしょう。その間のタイミングを狙います。 何の話か mixi Platformが導入したっていうOAuth 2.0のCSRF対策拡張を使ってみた - r-weblife の最後にちょっと書いたんですけど、モバイルアプリでOAuth 2.0を使う際にやっかいな問題が残ってました。 今回は、「ネイティブアプリケーションからOAuth 2.0を使うとき、特定の条件下において、正規のClientではない悪意のある第3者に認可応答を持って行かれて、その結果Access Tokenを取得できちゃうリスクがあるよね。どうしようか。」っていう話です。 条件っていうのは、 OAuth 2.0のClientはネイティブアプリケーションであり、Client C
The OAuth 2.0 Authorization Protocol
The OAuth 2.0 Authorization Protocol draft-ietf-oauth-v2-22 Abstract OAuth 2.0 は, サードパーティーアプリケーションがHTTPで提供されるサービスとリソースオーナー間に同意の調整を行うか, もしくはサードパーティーアプリケーション自身のためにアクセスすることを自ら許可することによって, サービスへの限定されたアクセス権を得ることを可能にする認可プロトコルである. 本仕様書はRFC 5849に記載されているOAuth 1.0 プロトコルを廃止し, その代替となるものである. Status of this Memo This Internet-Draft is submitted in full conformance with the provisions of BCP 78 and BCP 79. Intern
GitHub - bytespider/jsOAuth: JavaScript implimentation of the OAuth protocol. Currently supports version 1.0 (RFC5849) of the specification. Node.js & CommonJS compatible.
[Abandoned] This library is old and unmaintained. There are far better and more modern alternatives. jsOAuth - JavaScript OAuth library jsOAuth is a javascript library implementing the OAuth protocol. jsOAuth aims to form the basis of custom clients such as Twitter and Yahoo. Written in JavaScript, jsOAuth aims to be a fully featured open source OAuth library for use in Adobe AIR, Appcelerator Tit
GitHub - nov/rack-oauth2: OAuth 2.0 Server & Client Library. Both Bearer and MAC token type are supported.
rack-oauth2¶ ↑ OAuth 2.0 Server & Client Library. Both Bearer token type are supported. The OAuth 2.0 Authorization Framework (RFC 6749) www.rfc-editor.org/rfc/rfc6749.txt The OAuth 2.0 Authorization Framework: Bearer Token Usage (RFC 6750) tools.ietf.org/html/draft-ietf-oauth-v2-bearer-06 Installation¶ ↑ gem install rack-oauth2 Resources¶ ↑ View Source on GitHub (github.com/nov/rack-oauth2) Docs
GitHub - pelle/oauth-plugin: Rails plugin for OAuth
There are several changes to the latest OAuth 2.0 spec which requires a couple of changes to 2 models which you are REQUIRED to update manually if you are supporting OAuth2. github.com/pelle/oauth-plugin/blob/master/lib/generators/active_record/oauth_provider_templates/oauth2_token.rb class Oauth2Token < AccessToken attr_accessor :state def as_json(options={}) d = {:access_token=>token, :token_typ
The OAuth 1.0 Protocol
The OAuth 1.0 Protocol draft-hammer-oauth-10 Abstract OAuth は、リソースオーナー (別のクライアントやエンドユーザー) に代わって、サーバーリソースにアクセスするための方法を、クライアントに提供するものである。また、リダイレクトを利用することで、エンドユーザーはクライアントにユーザ名やパスワードを共有することなく、サーバーリソースへの第三者アクセスを認可することができる。 Status of this Memo This Internet-Draft is submitted in full conformance with the provisions of BCP 78 and BCP 79. Internet-Drafts are working documents of the Internet Engineering T
MobsterWorldのTwitter上での宣伝に見るOAuthの課題 - Nothing ventured, nothing gained.
昨夜から今朝にかけて、TwitterでMobsterWorldというゲームの招待がDMで送られてきた。あまり普段DMでやりとりをするような人からではなかったので、ほうっておいたのだが、招待に応じると、自分のTwitterアカウントを使って、DMを送るようなものだったらしい。詳しくは以下のITmediaの記事を参照。 TwitterでスパムDMが出回っている。DMに書かれたURLのページでボタンをクリックすると、同じDMをフォロワーに送り付けるという仕組み。 ITmedia: TwitterでスパムDM出回るフォロワーに自動でDM送りつけ これは、OAuthを利用して、正規の手続きを経て、Twitterのアカウントを利用しているものだ。詳しくは、以下のまちゅダイアリーを参照。 これはウイルスや脆弱性じゃなくて、OAuthという仕組みを見事に悪用している。 OAuth詐欺とでも言えばいいのか。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログ
GitHub - nov/motion-oauth2
GitHub - doorkeeper-gem/doorkeeper: Doorkeeper is an OAuth 2 provider for Ruby on Rails / Grape.
GitHub - lelylan/rest-oauth2-server: Rest OAuth2 Server is a Rails 3 app that let you open up your API and manage end-user authentication and client application authorization implementing the OAuth 2.0 Specifications (draft 13).
alphagov/oauth2-provider - GitHub
GitHub - alphagov/sign-on-o-tron: OAuth 2-based SSO provider
GitHub - tkawa/oauth_echo_authentication: OAuth Echo authentication filter for Rails
GitHub - bnoguchi/everyauth: node.js auth package (password, facebook, & more) for Connect and Express apps
Twitter OAuth with node-oauth for node.js+express
GitHub - mojodna/sample-oauth-provider: A sample Rails OAuth provider that doesn't use oauth_plugin (or acts_as_authenticated)
GitHub OAuth Busy Developer's Guide
GitHub - omniauth/omniauth: OmniAuth is a flexible authentication system utilizing Rack middleware.
GitHub - ianlewis/oauth-python-twitter: Fork of oauth-python-twitter that fixes a couple bugs.
