Apacheでのクライアント認証の仕組み - Qiita
HTTPS通信とクライアント認証で、秘密鍵・公開鍵・証明書の違いがよく分からなかったので、調べてみました。自分用メモなので分かりづらいかもしれませんが、すみません。 概要 クライアントは、サーバへhttps接続 サーバはクライアントに、クライアント証明書を要求 クライアントは、クライアント証明書をサーバへ送付 そのとき、クライアント証明書をユーザが選択する サーバは署名されたクライアント証明書を解読しクライアントの公開鍵を取得 クライアントは、送付メッセージにダイジェストを付加し、クライアントの持つ秘密鍵で暗号化する サーバは、クライアントの公開鍵を使ってメッセージを解読 解読したメッセージからメッセージ・ダイジェストを作成し、クライアントが付加したメッセージ・ダイジェストと比較する 一致が確認されれば、信頼できるクライアントから改ざんされていないメッセージを受信したと言える 引用元：ht
TLSの普及へサーバ証明書を無料発行、MozillaやCiscoが認証局を創設
「Let's Encrypt」のサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるようにする。 インターネット上の通信を暗号化するTLSの普及を目指し、手軽に実装できるサーバ証明書を無料で発行する認証局（CA）の「Let's Encrypt」が、MozillaやCisco Systemsといった大手のバックアップで創設された。 TLSを利用するためには、通信相手のサーバが本物であることを認証するための証明書をサーバ運用者が取得する必要がある。しかしこうした証明書は一般的には有料で、正しくインストールするのが難しく、アップデートにも手間がかかるとLet's Encryptは指摘する。 こうした問題を解決するため、Let's Encryptのサービスでは誰でもワンクリックで簡単に自分のドメイン用のベーシックなサーバ証明書を入手して実装できるよう
CakePHP 2.4 md5 で Auth認証 - Qiita
概要 PHP 5.4 CakePHP Version 2.4.2 Auth コンポーネントをデフォルトでそのまま使うと、パスワードがソルト付きの sha1() で暗号化されてテーブルの値と比較される。 この暗号化処理を自分で自由に変更したい。 コアの動き class SimplePasswordHasher // ここでハッシュ化されている public function hash($password) { return Security::hash($password, $this->_config['hashType'], true); } class Security { public static function hash($string, $type = null, $salt = false) { // デフォルトだと、ソルトを文字列の先頭につけて sha1() で返す $s
認証 - 2.x
This document is for a version of CakePHP that is no longer supported. Please upgrade to a newer release! 認証¶ class AuthComponent(ComponentCollection $collection, array $settings = array())¶ ユーザーを識別し、認証し、権限を付与することは、ほとんどすべてのウェブアプリケーションに 共通の機能です。CakePHP の AuthComponent ではそういったタスクを実行するための プラガブルな方法を提供します。AuthComponent により、認証オブジェクトと、ユーザーの権限を 識別・判定する柔軟な仕組みを作るための認可オブジェクトを組み合わせることができるように なります。 以降を読む前に¶ 認証
WordPressで会員認証ページを作る
WordPressでWEBサイトを構築していると、時折Basic認証を使いたくなる場面に遭遇します。 Basic認証は手軽に、ユーザー名とパスワードを知らなければ閲覧できない会員のみのページを設定することができるんだけど、通常ディレクトリごとの領域で設定する。 WordPressでオリジナルテーマを制作した人ならお解かりだろうけど、WordPressは固定ページ（下層ページにあたるページ）を生成する際にディレクトリ構造にならない。 パーマリンク設定でカスタム構造を使用している人がほとんど（当サイトもそう）ですが、ディレクトリに見えてもmod_rewriteでパーマリンクをカスタム構造に書き換えているだけなので、下層ディレクトリがありそうなあくまで擬似的なURIとなっている。擬似的なのでBasic認証をかけるってことは基本的に出来ないのです。 WordPressの構築サイト全体をロックかける
Symfony2の認証（Entity経由でログイン編） - nazolabo
おそらくほとんどの人が実現したいと思う、Userテーブルの情報からログインをする方法を考えてみましょう。 今回は、NazoUserBundleというサンプルバンドルを作り、そこで作業します。 chmod -R 777 app/cache app/logs php app/console generate:bundle --namespace=Nazo/UserBundle とりあえず基本設定をします。 app/config/parameters.iniで、DBの接続設定を書きます。（省略） DBを作成します。 php app/console doctrine:database:create 以下、「src/Nazo/UserBundle/」で作業します。 Entity/User.phpを作成します。 <?php namespace Nazo\UserBundle\Entity; use D
シングルサインオン(Single Sign On)の仕組みとSSOサーバの役割 - Rubyで販売管理
あまり良く分かっていなかったシングルサインオン(以下SSO)についてのまとめ。 そもそもSSOとは、IT用語辞典によると ユーザが一度認証を受けるだけで、許可されているすべての機能を利用できるようになるシステム。 のことだ。つまり、 図1のようにアプリが1つの場合には不要である。また 図2のようにアプリが複数でも認証情報(Session)を共有する場合には、SSOサーバは必要ない。各アプリの依存度が高い場合や、負荷分散のための複数プロセス構成のケースではこれで充分。そもそもRailsを使うのならSessionの内容はCookieのなかだし（デフォルトでは）。 独立性の高い各アプリの間で認証情報を共有したい場合にSSOサーバは初めて有効となる。 ここで認証画面を各アプリで持つことも可能であるが、SSOサーバに任せた方が実装の手間も省けるし、セキュリティ的にもパスワードを取得するサーバが一箇所
「OAuth」の基本動作を知る
デジタル・アイデンティティの世界へようこそ はじめまして、OpenID Foundation JapanでエバンジェリストをしているNovです。 この連載では、僕を含めOpenID Foundation Japanにかかわるメンバーで、OpenID ConnectやOAuthなどの「デジタル・アイデンティティ（Digital Identity）」にかかわる技術について紹介していきます。 APIエコノミー時代のデジタル・アイデンティティ 世界中で9億人のユーザーを抱える「Facebook」や5億人のユーザーを持つ「Twitter」など、巨大なソーシャルグラフを持つサービスが、日々その存在感を増しています。日本でも、グリーやモバゲーなどがそれぞれソーシャルゲームプラットフォームを公開し、国内に一気に巨大なソーシャルゲーム市場を作り上げました。最近では、ユーザー数が5000万人を突破し、プラット
OAuthプロトコルの中身をざっくり解説してみるよ - ( ꒪⌓꒪) ゆるよろ日記
「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー
はてなダイアリーAPIを使った投稿(WSSE認証) - らこらこブログ
もともとOAuth認証でやるつもりだったんですが、どうあがいても認証鯖がoauth_signatureを弾いてくるので諦めてもう一つの認証方法「WSSE」を試してみました。 はてなサービスにおけるWSSE認証の仕様はこちら http://developer.hatena.ne.jp/ja/documents/auth/apis/wsse 簡単に言うと、IDとパスワードから作られるパラメータをリクエストに添付してやればいいっていうことですね。 一度認証したらトークンを使いまわせるOAuthと違ってリクエスト全てにWSSEヘッダをつけてやらないといけないのが違い。 私はトークンの保存とか読み込みとかいらないと思って前向きに受け止めてますが、欠点としてはクライアント側でユーザーのパスワードを生のまま入力させてしまう点ですかね。 というわけでサンプルコードをGithubに上げましたのでお好きに使っ
WSSE認証を利用したAtom APIとか - YAMAGUCHI::weblog
動機 いろんなWeb APIを触ってみようと思った。 できた物 WSSE.py （ファイル前半） WSSE認証 このへんを見ながらちょこちょこと作り始めました。 はてなフォトライフAtomAPIとは - はてなキーワード So-net blog:AtomAPI仕様 送信プロトコル WSSE認証をする場合はまずサービスのエンドポイントに特定のHTTPリクエストを送る必要があります。PythonでHTTPリクエストを送る場合にはhttplibのHTTPConnectionメソッドを使います。 HTTPリクエストのHTTPヘッダにはX-WSSEプロパティにbase64にエンコードした各ユーザ名、パスワードなどを送信する必要があります。 リクエスト GET /_atom/blog HTTP/1.1 X-WSSE: UsernameToken Username="user_name", Passwo
RESTなWebサービスをPHPで操作する
はてなブックマークのAtomAPIの概要と、アクセスに必要な環境 今回は、「RESTなWebサービスの利用／開発」の第3回として、より本格的にWebサービスにアクセスする例を紹介します。RESTなWebサービスの1つとして、はてなブックマークの「AtomAPI」を例に取り上げ、Web開発用の簡易スクリプト言語であるPHP（PHP：Hypertext Preprocessor）を使ってブックマークの追加／編集／削除を行う方法を解説します。 AtomAPIは、ブログなどのWeb上の情報を、Webアクセスに用いられるHTTP（Hypertext Transfer Protocol）を通して編集するためのプロトコルです。AtomAPIは通称で、正式には「The Atom Publising Protocol」（略称はAtomPub）と呼びます。 AtomAPIでは、一般にはRESTの形式で通信を行
各サービスにおいてWSSE認証を厳密に確認するようになりました - Hatena Developer Blog
各サービスの告知日記で告知した通り、はてなでのWSSE認証をより厳密に確認するようになりました。 AtomAPIの脆弱性対策として、WSSE認証をより厳密にしました - はてなダイアリー日記 AtomAPIの脆弱性対策として、WSSE認証をより厳密にしました - はてなブックマーク日記 - 機能変更、お知らせなど AtomAPIの脆弱性対策として、WSSE認証をより厳密にしました - はてなフォトライフ日記 - 機能変更、お知らせなど AtomAPIの脆弱性対策として、WSSE認証をより厳密にしました - はてなグラフ日記 - 機能変更、お知らせなど WSSE認証ではHTTPのX-WSSEヘッダーにいくつかの値をセットして送信しますが、中でも Created の値のチェックが厳密に行われるようになりました。Created の値を ISO-8601 形式で記述しないと認証に失敗しますので注意
wsse認証方式 - Android Develop
Livedoorブログの開発者のブログを読んだところ Livedoorの認証はWSSE認証を使っているようです。 初めて聞きますが、どんな認証なのか調べてみました。 XML-RPC API → パスワードが生のまま送信 Atom API → WSSE方法でパスワードを暗号化 「パスワードダイジェスト」 base64(sha1(Nonce . Created . Password)) •Nonce という http リクエストごとにユニークになるように付けられた識別子(クライアント側で生成。Atom API では、通常、任意の桁数の16進数の羅列を用いる)、 •Created という日時情報(Nonce を生成した日時。2004-01-20T01:09:39Z のような形式[ISO-8601])、 •生のパスワード を連結して作った文字列を SHA1 で暗号化し、base64 化したもので
OpenID.ne.jp - OpenIDを使って10000サイト以上にたった１つのIDで入れます。あなたもOpenIDを作成しませんか？
最も安い引越し業者を探す方法は簡単です！ それは、引越し業者に１社ずつ見積もりを取ってもらい、比較すること。 しかし、 １社１社、見積もりを依頼するのは非効率で、 時間も労力もかかってしまいます。 そこで、おすすめなのが、 引越し業者一括見積もりサービス ご自身の荷物量と住所や引越し時期など、 概要を一度入力するだけで、 複数の引越し業者に対して見積もりを依頼することができます！ 一回の手間で見積り依頼が可能なので、 労力がかからない、時短！お役立ちサイトを使って、 賢く引越し業者を比較しましょう。 さらに、引越し業者一括見積もりサービスだと、 料金を比較される、ということを引っ越し業者も分かっているので、 通常の見積もりよりも安く提示してくれることが多いです。 安く引っ越したいなら、引越し業者一括見積もりサービスをフル活用しましょう。 引越し業者一括見積もりサービスおすすめ５社 サイトに
WSSE認証とパスワードに関する疑問 - F.Ko-Jiの「一秒後は未来」
Atom APIの認証などに利用されるWSSE認証というものがあってちょっと調べています。そこでちょっと疑問点が。 » はてなフォトライフAtomAPIとは – はてなキーワード にWSSE認証に関する説明があって、これを読むと X-WSSE ヘッダには Username: ユーザID Nonce: トークン Created: Nonceが作成された日時 PasswordDigest: Nonce, Created, パスワードを文字列連結し、SHA1でハッシュ化し、さらにBase64エンコードした文字列 という情報を入れてあげる必要があるようです。で、疑問に思ったのは PasswordDigest のところ。 PasswordDigest は SHA1で暗号化されていて、SHA1 を解読するアルゴリズムは知らないので PasswordDigest は不可逆なものです。 そのため受け取った
htpasswdファイル生成
Webサイトの閲覧に使うプロトコル「HTTP」が備える、最も基本的なユーザ認証方式。 アクセスの制限されたWebページにアクセスしようとすると、Webブラウザでユーザ名とパスワードの入力を求め、サーバでアクセスを許可しているユーザに一致すると、ページを閲覧することができる。
SSL：クライアント認証
サーバの公開鍵を第三者（CA）の秘密鍵で署名してもらうことで、サーバ・クライアント間の接続の確実性が向上します。 ヨッパサーバは貧乏サーバのために、本来、第三者へ依頼しなければならないサーバ公開鍵への署名も自身で行いました。 個人運営の実験サーバなので、これで十分だと考えます。 この仕組みで、クライアントからは、サーバを信頼できる相手と認識できます。 しかし、サーバから見たクライアントは、信頼できる相手と確信できるのでしょうか？ クライアントの信頼性を確保する手段として、パスワードによる認証が一般的です。 しかし、この方法は、クライアントがパスワードを盗まれれば終わりです。 さらに安全性を高めるためにクライアント認証による方法があります。 ここでは、このクライアント認証の設定方法を解説します。 クライアント認証の流れ クライアント認証は、次に示す流れで行われます。 クライ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
httpsだからというだけで安全？調べたら怖くなってきたSSLの話!？ - Qiita
gr.jp