Firebase Authから内製認証基盤に無停止移行して年間1000万円以上削減した
症状検索エンジン「ユビー」 では、ローンチ当初から Firebase Auth (GCP Identity Platform) を使っていましたが、OIDCに準拠した内製の認証認可基盤に移行しました。 認証認可基盤そのものは m_mizutani と nerocrux と toshi0607(退職済) が作ってくれたため、僕は移行のみを担当しました。 結果として、強制ログアウトなし・無停止でビジネス影響を出さずに、年間1000万円以上のコスト削減に成功しました[1]。その移行プロセスについて紹介します。認証認可基盤そのものの紹介はあまりしません。 移行した理由 大量の匿名アカウント ユビーでは、アクセスした全ユーザーに対して自動的に匿名アカウントを発行しています。これにより、ユーザーがアカウント登録しているかどうかに関わらず、同じID体系で透過的に履歴情報等を扱うことができます。アカウント
認証用トークン保存先の第4選択肢としての「Auth0」
iCARE Developer Meetupは、月次で開催している株式会社iCAREが主催するエンジニア向けのLT勉強会です。18回目の今回は、Ruby on Railsをテーマに行いました。サーバーサイドエンジニアの越川氏からはToken認証機能について。 Rails APIモードで開発するときの認証用のトークンはどこに保存すればいいの問題 越川佳祐氏：私からは、「Rails APIモードにおけるToken認証機能について」というテーマでLT（ライトニングトーク）をしようと思っていたんですが、スライドを作っていて「あれ、これ別にRailsだけの話じゃなくない？」と思ってしまいました。みなさんの中にも、そう思う方がいるかもしれないんですが、もうこれで作っちゃったのでご了承ください。 私は株式会社iCAREで、サーバーサイドエンジニアをしている、越川と申します。Twitterは@kossy0
ちょっとでもセキュリティに自信がないなら、 Firebase Authentication を検討しよう
note のやらかしのあのへんについて。 認証自作、 Rails 、 Devise - Diary パーフェクト Rails 著者が解説する devise の現代的なユーザー認証のモデル構成について - joker1007’s diary 認証サーバーの実装は本質的に難しいです。セキュリティが絡むものは「簡単な実装」などなく、プロアマ個人法人問わず、個人情報を守るという点で、同じ水準を要求されます。悪意あるハッカーは常にカモを探していて、もし認証が破られた場合、自分だけではなく大多数に迷惑が掛かります。初心者だから免責されるといったこともありません。全員が同じ土俵に立たされています。 とはいえ、認証基盤を作らないといろんなサービスが成立しません。そういうときにどうするか。 Firebase Authentication で、タイトルの件なんですが、 Firebase Authenticat
KyashがOneLoginを選んだ理由 - rela1470のブログ
Kyashでは9月からIDaaSであるOneLoginを導入しました。 導入から3ヶ月が経過し、現時点でほぼすべての社内認証をOneLoginに統一することが出来ました! 今回は、なぜOneLoginにしたのか、使い勝手等を含めお伝えできればと思います。 すごくヨイショしている記事になってしまったんですが、お金はもらってません!!!!!笑 www.onelogin.com 公式HPにも取り上げて頂き、ありがとうございます! 実は前職でもかなり使い込んでおり、OneLoginは思い入れのあるプロダクトです。 www.pentio.com 今回の導入に関しても、OneLogin 日本代表の福見さんと代理店であるペンティオさんにかなりのお力添えを頂きました。ありがとうございます! Kyash Advent Calendar 2019 day11 ということでKyash Advent Calend
マイクロサービスにおける内部通信の認証について
"Backend Engineer’s meetup ~マイクロサービスにおける認証認可基盤~"の発表資料です。 https://connpass.com/event/142624/
ユーザーをログアウトから守れ！―シーケンス図から読み解くログイン状態維持【Mobileアプリ編】 | DevelopersIO
認証というのは面倒なもので、利用者に余計な手間を掛けさせてアクティブ率を下げたくないと日夜工夫を凝らす我々にとっては、やり玉に上がりやすいテーマであると思います。要するに、ユーザーをログアウトさせたくないわけです。さて、どうしましょう？ 生魚おじさん、都元です。今日の魚はワラサです！ 出世魚であるブリのちっちゃいヤツです！ 今回はユーザーをログアウトから守れ！―シーケンス図から読み解くログイン状態維持【Webアプリ編】と対になる、Mobileアプリ編をお送りします。 さて、認証というのは面倒なもので、利用者に余計な手間を掛けさせてアクティブ率を下げたくないと日夜工夫を凝らす我々にとっては、やり玉に上がりやすいテーマであると思います。要するに、ユーザーをログアウトさせたくないわけです。(再掲) 例えば Facebook や Twitter のモバイルアプリはいつ起動しても自分のアカウントでロ
アプリで「ログインしっぱなし」はどのように実現されているか？ - Qiita
このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし
[Firebase][iOS] Firebase Authentication で会員機能を作ってみよう | DevelopersIO
今回は「Firebase Authenticationを使って会員機能を作ってみる」というテーマで Firebaseを絡めた会員機能をもったiOSアプリを作る前提の実装ベースで書いていきます はじめに モバイルアプリサービス部の中安です。 今さらながというわけでもありませんが、最近 Firebase を触って色々と試しています。 試していったサービスをできるだけアウトプットしていこうかなということで、 今回は「Firebase Authenticationを使って会員機能を作ってみる」というテーマで Firebaseを絡めた会員機能をもったiOSアプリを作る前提の実装ベースで書いていきます。 ウダウダと書きますが、何かのお役に立てば幸いです。 準備 さて、この記事は Firebaseプロジェクトの作成は終わっている Xcode側ではFirebaseSDKの組み込みなどが終わっている という
![[Firebase][iOS] Firebase Authentication で会員機能を作ってみよう | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/eea80a2a9825f5cf21f4553e6714856a365a2bc7/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2019%2F02%2Ffirebase-eyecatch.png)
JWT形式を採用したChatWorkのアクセストークンについて - ChatWork Creator's Note
JWTを使うことは難しい？ こんにちは、かとじゅん(@j5ik2o)です。最近、JWTに関する以下のブログが話題です*1。 どうしてリスクアセスメントせずに JWT をセッションに使っちゃうわけ？ - co3k.org このブログで言及されているのは、JWTをセッションの保存先に選ぶことで「何が問題なの？」に書かれているリスクがあるよ、という話*2。確かにいくつか検討することがありますね。 auth0.hatenablog.com auth0の中の人？よくわからないけど、反論的なブログエントリが公開されています。この記事では、指摘の問題が起こらないように設計するのはあたり前では？という意見みたいです。まぁごもっともではないでしょうか。 私も技術そのものというより、要件に合わせて技術を組み合わせる設計の問題だと思っています。加えて、JWTを利用することはそんなに難しいことかという疑問があった
iOS 11 から追加された SFAuthenticationSession でシングルサインオン - Qiita
※iOS 12 で SFAuthenticationSession は Deprecated になりました。今後は ASWebAuthenticationSession を使いましょう！ https://developer.apple.com/documentation/authenticationservices/aswebauthenticationsession 以下の記事にある SFAuthenticationSession は ASWebAuthenticationSession に適宜読み替えてください。 下記の @glayash さんによる記事でも書かれていますが、iOS 10 までは Safari と SFSafariViewController の認証情報が共有されていました。 iOS 11 / Android O 時代のアプリ認証 - Qiita しかし、iOS 11
Riot.js x Firebaseで作る、超お手軽なパスワード不要のログインシステム「Magic Login」 - NOT SO BADなブログ
[2018年8月追記] 現在この機能はfirebase公式で提供されています。 このブログの実装方法もまだ使えますが、簡単なのでぜひ公式のをお使いください。 完全に使うあてもなく趣味で作った機能だったけど、 本体のSorceryにプルリク送ったらかなり歓迎されて、 あとはテストさえ書けば取り込んでもらえそうな状態です。 （じゃあ書けよっていう。。） https://github.com/Sorcery/sorcery/pull/8 しかし最近はFirebaseがマイブームなので、Firebase版のパスワードなしログインシステム「Magic Login」を実装してみました。 Firebaseには匿名認証の仕組みもあるので、ユーザー登録なしでも使えて、本登録するときは「MagicLogin」という組み合わせにすると、かなりいい感じになりましたよと。 環境Firebase: 3.5.0Riot
Instagram で Firebase ユーザーを認証する
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
「音」を使ってオンラインアカウントの2段階認証を行う「Sound-Proof」とは？
by DeclanTM ウェブサービスのアカウント情報を保護する目的で、手持ちのスマートフォンなどに認証番号を送信して二重のログインを行う「2段階認証」は、万が一パスワードが漏れてしまった際にもアカウントの乗っ取りを防げる有効的な手段です。しかし、2段階認証ではスマートフォンに表示される認証番号を読み取ってPCに入力する必要があり、通常のログインよりも時間と手間がかかります。そんな面倒な作業を省いて、周囲の「音」を使うことで自動的に2段階認証を行う「Sound-Proof」が発表されました。 Sound-Proof http://sound-proof.ch/ Sound-Proof: Usable Two-Factor Authentication Based on Ambient Sound | USENIX https://www.usenix.org/conference/usen
Googleが「音」でログインする認証システムを開発した「SlickLogin」買収、弱いパスワードを撲滅へ
By Melvin Gaal パスワードではなく高周波音を利用する2段階認証システムを構築したイスラエルのスタートアップ企業SlickLoginが、Googleによって買収されることが明らかになりました。 SlickLogin | Security People Love http://www.slicklogin.com/ Google acquires Israeli security startup SlickLogin | GeekTime http://www.geektime.com/2014/02/16/google-acquires-slicklogin/ Googleが買収することになったSlickLoginはイスラエルのエンジニアによって設立されたユニークな認証システムを提供している企業。SlickLoginが扱う認証システムは、通常であればキーボードでパスワードを入力
アクセストークンに有効期限を設けるべきかどうか - Qiita
OAuthプロバイダを提供することになったとして、アクセストークンに有効期限を設けるべきかどうかについて考えたい。OAuth 2.0の仕様にはアクセストークンの期限切れに関係する仕様が定義されているし、セキュリティをより強固にするためにアクセストークンは一定期間で期限切れにするべきだという主張があったと思う (確認していないので無いかもしれない)。しかしながら、例えばGitHub API v3ではアクセストークンに有効期限を設けていない。この投稿では、アクセストークンの有効期限に関係して起こり得る問題を取り上げる。 アクセストークンに有効期限を持たせておくとちょっと安全 アクセストークンが悪意のある第三者に漏洩してしまった場合、そのアクセストークンに認可されているあらゆる操作が実行可能になってしまうという問題がまず存在する。ここでもしアクセストークンに有効期限が存在していたとすれば、その操
Google App Engine上で使える多彩な認証ライブラリ·EngineAuth MOONGIFT
EngineAuthはGoogle App Engine上で使える多彩な認証ライブラリです。 Google App EngineではMySQL互換のリレーショナルDBも提供されるようになり、そろそろ触ってみようかと思っている人も多いのではないでしょうか。そんな時に使ってみたいのがEngineAuthです。多数の認証技術に対応した認証統合ライブラリです。 デモ画面です。多数のプロバイダーが確認できます。 こちらは例としてGoogleの認証をする所です。 無事認証できました。情報も取得できています。 ユーザ情報も取れています。 EngineAuthはOAuth1、OAuth2そしてOpenIDに対応しています。Google+、Facebook、Twitter、Yahoo!、LinkedIn、AOL、OpenID、MySpace、GitHubといったプロバイダが並んでおり、さらに独自のID/パス
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews