Yahoo! JAPANのOpenID Certified Markの取得について
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、認証技術（ID連携）黒帯 倉林 雅（@kura_lab）です。 みなさんはYahoo! ID連携をご存じでしょうか。Yahoo! ID連携はYahoo! JAPANのシングルサインオンやユーザーの属性情報を取得するID連携の仕組みです。 Yahoo! ID連携とは これまでのYahoo! ID連携に加えて、先日新しいYahoo! ID連携を一部のサービスへ提供を開始しました。さらに、新しいYahoo! ID連携がOpenID Foundationで実施されているOpenID Connect Certificationプログラムに合格しOpenID Certified Markを取得しました。 これまでのYahoo! I
事務局ブログ：「Covert Redirect」についての John Bradley 氏の解説（追記あり）
追記 (5/7 20:30): 本文中に「まともなブラウザーであれば、そのフラグメントを URI の一部にするようなことはないから、オープン・リダイレクターには送られない。」とありますが、少なくとも Chrome と Firefox はリダイレクト時に URI フラグメントをそのまま保つ (i.e. 不十分な redirect_uri チェック & オープン・リダイレクター & インプリシット・フローの場合、アクセス・トークン入りの URI フラグメントを、ブラウザーがそのままリダイレクト先へのリクエストに用いる) とのことです。続報があり次第追記します。 追記2 (5/7 23:50): John Bradley 氏自身によるフォローアップを訳しました。 Covert Redirect and its real impact on OAuth and OpenID Connect を、と
OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も
OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Technological University（南洋理工大学）で学ぶ博士課程の学生Wang Jing氏は、「Covert Redirect」という深刻な脆弱性によって、影響を受けるサイトのドメイン上でログイン用ポップアップ画面を偽装できることを発見した。Covert Redirectは、既知のエクスプロイトパラメータに基づいている。 たとえば、悪意あるフィッシングリンクをクリックすると、Faceboo
Office 365 開発環境のセットアップ
このサイトには、OneNote と Outlook のエンドポイントで公開されている Office 365 REST API のドキュメントが含まれています。 このドキュメントは現在、活発には更新されていません。 プロジェクトにいずれかの API をすでに組み込んでいる場合を想定した、参照のみを目的としています。 OneNote、Outlook、Excel、OneDrive、Microsoft Teams、Planner、SharePoint などの Office 365 のサービスは、現在では Microsoft Graph に公開されています。 Microsoft Graph は、Microsoft 365 全体にわたるデータにアクセスするための統一された API エンドポイントです。これには、Office 365、Enterprise Mobility、Security と Wind
ついに「OpenID Connect」仕様が標準化
米OpenID Foundationは2014年2月26日、さまざまなWebサイトやモバイルアプリケーションの間で、適切な相手にデジタルアイデンティティ情報を流通させるための技術である「OpenID Connect」の仕様を最終承認した。これに合わせてOpenIDファウンデーション・ジャパンは、OpenID Connect仕様群の日本語訳を公開している。 Webサービスやモバイルアプリケーションの普及に伴い、多様で便利なサービスを利用できるようになった半面、管理すべきIDとパスワードも増加した。その結果、エンドユーザーがさまざまな煩雑さを強いられたり、パスワードの使い回しによるセキュリティリスクが増大するといった課題も浮上している。 OpenID Connectは、こうした課題の解決を目指し、OAuth 2.0をベースにして策定されたAPI仕様だ。ユーザーとサイトが常に1対1で認証を行う代
SAMLとOAuth／OpenID Connect：新たな「アイデンティティ戦争」とIdMaaSとしてのSalesforce - ＠IT
新たな「アイデンティティ戦争」とIdMaaSとしてのSalesforce：SAMLとOAuth／OpenID Connect 企業やその他の組織が利用するアイデンティティ連携の標準プロトコルとしては、SAMLが利用されているが、OAuth／OpenID Connectが急浮上している。今後SAMLとOAuth／OpenID Connectは、企業にどう使われていくのだろうか。2014年1月、Japan Identity and Cloud Summitのために来日したパット・パターソン氏に聞いた [2014/02/11訂正]インタビューでは「OAuthおよびOAuthをベースとしたOpenID Connect」という文脈で聞いています。記事でこれを「OpenID Connect」という一語に集約してしまったのは大変不適切でしたので、「OAuth／OpenID Connect」に修正させてい
超軽量Twitterクライアント「もふったー」コンシューマシークレットキー難読化最後の挑戦
Twitter公式クライアントなどのコンシューマキーが判明したのが原因でセキュリティ的に危険な状況に陥り、さまざまな被害が発生し始め、いかにTwitter公式の姿勢が良くないかを指摘することを目的として、Windows95以降でも動作する超軽量Twitterクライアント「もふったー」作者による以下のようなエントリーが公開されました。 2013年03月11日 TweetDeck をハックしたら予想以上に酷かった件 - Windows 2000 Blog http://blog.livedoor.jp/blackwingcat/archives/1760823.html 「ためしに、 Tweet Deck でコンシューマキーとコンシューマシークレットキーが抜き出せるか試してみました」ということでいろいろ試した結果、実行ファイル自体をテキストエディタ、たとえばWindows標準の「メモ帳」でも開
OAuth 2.0 App-Only (Bearer Token)
<g> <g> <defs> <rect id="SVGID_1_" x="-468" y="-1360" width="1440" height="3027" /> </defs> <clippath id="SVGID_2_"> <use xlink:href="#SVGID_1_" style="overflow:visible;" /> </clippath> </g> </g> <rect x="-468" y="-1360" class="st0" width="1440" height="3027" style="fill:rgb(0,0,0,0);stroke-width:3;stroke:rgb(0,0,0)" /> <path d="M13.4,12l5.8-5.8c0.4-0.4,0.4-1,0-1.4c-0.4-0.4-1-0.4-1.4,0L12,10.6L6.2
Twitter公式クライアントのコンシューマキー
Twitter for iPhone Consumer key: IQKbtAYlXLripLGPWd0HUA Consumer secret: GgDYlkSvaPxGxC4X8liwpUoqKwwr3lCADbz8A7ADU Twitter for Android Consumer key: 3nVuSoBZnx6U4vzUxf5w Consumer secret: Bcs59EFbbsdF6Sl9Ng71smgStWEGwXXKSjYvPVt7qys Twitter for iPad Consumer key: CjulERsDeqhhjSme66ECg Consumer secret: IQWdVyqFxghAtURHGeGiWAsmCAGmdW3WmbEx6Hck Twitter for Mac Consumer key: 3rJOl1ODzm9yZy63FACdg Consum
ssig33.com - OAuth とか OpenID とかのフローを利用してフィッシングする話
はじめに。これは霊界に住む死者からの通信に基き書かれた記事です。しかし文責は私にあります。 OpenID はパスワードの授受なしに認証の伝達が出来る仕組みです。 OAuth はパスワードの授受なしでリソースへのアクセス権限を委譲出来る仕組みです。 こうした仕組みを用いて外部サイトと連携している限り、外部サイトへパスワードなどが流出する可能性は低いです。また外部サイトが所有する OAuth の token などが外部に流出たとしても、サイトの利用者や OAuth を提供するプロバイダーがその token を早期に無効にすることが出来ます。 しかしセキュリティへしっかり配慮されて作られた OpenID や OAuth をパスワードを抜く為のフィッシングに使用することが出来ます。以下のような具合です。 OpenID 経由で外部サイトにログインしようとする/OAuth を使用して外部サイトに権限を
Developers
Welcome to the official Tumblr Developers Blog Our developer community is hugely important to us and we’re thrilled to finally have a “home” to share news and be more transparent with all of you. Here you will find changelogs, announcements, and highlights from our developer community. To kick this off, an update on our API. It’s been a little over a year since our introduction of API v2 and it’s
RFCとなった「OAuth 2.0」――その要点は？
RFCとなった「OAuth 2.0」――その要点は？：デジタル・アイデンティティ技術最新動向（2）（1/2 ページ） いまWebの世界では、さまざまなWebサービスが提供するプラットフォームと、サー ドパーティが提供するアプリケーションがAPIを中心に結び付き、一種の「APIエコノミー」を形成しています。この連載では、そこで重要な役割を果たす「デジタル・アイデンティティ」について理解を深めていきます。 再び、デジタル・アイデンティティの世界へようこそ 前回「『OAuth』の基本動作を知る」ではOAuthの仕様がどういうものかについて説明しました。今回は引き続き、 OAuth 1.0とOAuth 2.0の違い OAuth 2.0をセキュアに使うために知っておくべきこと について述べていきます。 OAuth 1.0とOAuth 2.0の違い クライアントタイプの定義 OAuth 2.0では、O
Tumblr APIではOAuthのコールバックURLにoobを指定できない？ | PAB@求職活動中
求職活動中とありますが、活動報告というよりは、技術の話題を多めでいきます。Scalaが大好きなので特にScalaの話が中心になると思います。 ScalaとTumblr APIを使ってブログの投稿をしようというシリーズですが、ちょっとひっかかってます。 OAuthのAccess Tokenの取得なんですが、どうもライブラリとして取得するのがなかなか難しいみたいです。 というのも、OAuthではコールバックURLに「oob」という文字列を指定すると、Webでアプリ使用承諾の後にPINコードが発行され、 オンラインにサーバーがなくても、それを使ってAccess Tokenを取得できるのですが、 Tumblrの場合は Out-of-band ("oob") callbacks are not supported by this implementation. というメッセージが出て取得できないんで
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TwitterのOAuthの問題の補足とか
tumblife-for-ruby/spec/tumblife/client/post_spec.rb at master · rummelonp/tumblife-for-ruby
TumblrからxAuthの使用許可が下りた | PAB@求職活動中
Tumblr
ブログ
https://jp.techcrunch.com/2011/06/11/20110610third-party-twitter-apps-can-access-your-private-messages-without-authorization/
