[B! OAuth 2.0] webarata3のブックマーク

OAuth 2.0 の仕様を読むために - Qiita

OAuth 2.0に関しては、いろんな解説や実装がありますが、結局、http://tools.ietf.org/html/rfc6749 にあるRFCの仕様を読むのが一番なのではないかと思い、それを読む際に必要な部分、詰まりやすい部分をまとめてみました。 OAuth 2.0 の公式サイト (http://oauth.net/2/) もRFCは1行で軽くリンクがあるだけで、どうせ皆各言語で実装したライブラリが知りたいんでしょみたいな構成になっていますが、自社もAPIを公開しようとか、マイクロサービスアーキテクチャをしっかり構築しようなどという時に、Resource Server側になることも最近はすごい珍しい訳でも無いのかなと思います。意外とちゃんと訳しておいたほうが良い英単語例えば、Authorization=認証みたいに思っていると意味を誤解しやすいので、きちんと日本語訳の対応付けを

webarata3 2017/08/03

リンク

今更聞けないOAuth2.0

OAuth2.0まとめ speakerdeck はこちら↓ https://speakerdeck.com/satot/jin-geng-wen-kenaioauth2-dot-0#Read less

webarata3 2017/08/03

リンク

APIキー(トークン)を含むプログラムのソースコード公開について

こうしたAPIキーを他者に参照された場合、どのようなリスクがありますか？ APIキーを手に入れた他者が、あなたに成りすましてAPIを呼び出すことができてしまいます。その結果考えられる問題としてはあなたのアプリしかアクセスできないはずの情報にアクセスされる他者がそのAPIキーで悪事を働いた場合、あなたのアプリが悪さをしたと思われるあなたのアプリと関係のないところで多数の呼び出しが行われることで、APIの呼び出し回数制限や従量課金に引っかかるなどが挙げられますが、実際にはそのAPIキーで何ができるのか次第です。例えば Twitter の Consumer Token で言えば、これ単体を盗んでできることはそのアプリに成りすまして悪事を働いて風評被害を狙うぐらいでしょう。しかしユーザーごとの Access Token まで盗むことができれば、ユーザーのDMを読み取ったり、ユーザーに成

webarata3 2017/08/03

リンク

Re: OAuth 2.0のclient_secretって本当に秘密鍵ですか？ - OAuth.jp

昨日こんな記事を見かけたので、記事にまとめることにします。 OAuth2.0のclient_secretって本当に秘密鍵ですか？元記事にあるとおり、現状Native AppでのOAuth 2.0の実装は、API提供者・利用者ともにポリシーがバラバラで、混乱の元になっていると思います。 Googleのドキュメントにも「the client_secret is obviously not treated as a secret.」とあるわけだけど、そのくせclient_secretを使ってるし、ネットで調べても少なくない数の人がアプリに埋め込んでるので、client_secretを公開したときの問題を考えてみる。 “offline” アクセスと “online” アクセス Googleは、“offline access” に対して以下のようなポリシーを持っています。 Upcoming cha

webarata3 2017/08/03

リンク

OAuth2.0のclient_secretって本当に秘密鍵ですか？ - ブログなんだよもん

OAuthをしているサービスをAndroid + PhoneGap経由で使いたくて調べて見ました。そして、色々調べたり考えたりした結果、 client_secret ってそもそも秘密鍵にする必要なくね？という天啓を得たので、つらつらと書いてみます。secretって名前なのに秘密である必要がないなんて、わけがわからないよ。間違ってる気がしてならないので、誰か指摘をしてください。マジで。とりあえず、前提として自分のサービスの認証替わりに使いたいわけじゃなくて、純粋にそのサービスを使うのが目的。OAuthなサービスはサーバサイドで使ったことは何度かあるんだけど、クライアントサイドで使うという事で、扱いが困るのがclient_secret。名前の通り、秘密鍵として扱う必要があると思ってたんだけど、正直安全にクライアント側で管理する方法が無い。公開している通常のソースからは外してビルド時に