OpenID Provider のセキュリティ対策 (1) - まずは SSL を導入！話はそれからだ - 日向夏特殊応援部隊
やっと下準備終わったので書いてみる。 OpenID でのプトロコルメッセージで、認証アサーション要求*1及び応答*2でのメッセージは通常、RP-OP 間で associate 時に交換した MAC キーを持って署名を行う為、期待する相手と通信している限りは改ざんは起こりにくいと考えられます。 但し最近話題に出て来ている DNS Cache Poisoning のような攻撃を受けた場合、中間者攻撃 (man-in-the-middle attack) が成立する可能性があります。 攻撃手法の例 例えば、RP の DNS が汚染されていた場合を考えます。本来 OP であるはずのホストが悪意のある第三者のサーバーに割り当てられていた場合、その第三者のサーバーが中継を行えば、DH 鍵交換を行ってもまったく無意味で、認証データが盗まれる可能性があります。つまり、 RP から見ると OP に見えて O
OpenID とプライバシーについて - 日向夏特殊応援部隊
高木先生の大作である日本のインターネットが終了する日を受けて、僕の日記のコメント欄にてid:futureeyeさんから質問が来ていたので、個人的な見解としての回答をしたいと思います。 名寄せの問題 ａ サイトで住所氏名Ｅメールアドレス等の個人特定情報を入力することによって、その個人特定情報と契約者固有ＩＤ（ｉモードＩＤ等）とが紐付けられ、ネット上での行動履歴情報が契約者固有ＩＤを手掛かりに収集され（名寄せされ）、その収集情報と個人とが結び付けられる。 そもそも前提として携帯キャリアが確認無く契約者固有IDを任意のサービスに対して公開するという行為と、OpenIDのようにユーザの同意の下に Relying Party ( OpenID 認証を提供されるサービス ) に対して公開するのでは話のレベルが全然違います。 とは言え名寄せと言う点ではクロールして公開されている全ページを収集すればある程
Young risk taker.: OpenID動向 - Trusted Data Exchangeがユーザ属性ポータビリティの切り札になるか？
第三回 Liberty Alliance 技術セミナーで=natさんの基調講演を公聴してきて、OpenID関連の動向を仕入れたのでメモ。 OPとRP間で属性情報を交換するための拡張として、SREGやAXがあるが、AXも今ひとつ普及するに至っていない。(myopenid.comとVeriSignだけ？)また、プライバシポリシーや利用規約の問題もあり、日本企業では、ユーザ属性をサードパーティに公開出来ない事も多い。 基本的に、AXとSREGの違いは、 交換可能な属性をコミュニティベースで提案&決定する属性を識別するために、プリミティブな値でなく、ネームスペースURIを使うOPに要求する属性の個数が指定可能RPがOPに対して属性の保存をする事が可能。(ただし、使われているプロバイダは知らない。) が挙げられるが、根本的な問題は、OpenIDのユーザ属性として、クレジットカード番号や電話番号などプ
WASForum Conference 2008 での OpenID のセキュリティについてのスライドを公開します - 日向夏特殊応援部隊
後にも先にもセキュリティがメインテーマの集いでお話する事が無さそうな id:ZIGOROu です。他のスピーカが全員スーツで来る中、一人私服で来ると言う緊張感の無さ*1でしたが、実際は激しく緊張してましたｗ 7/5 Developers DAY – 事件は現場で起こっている……セキュリティライフサイクルとマルプラクティス | Web Application Security Forum - WASForum にて講演したスライドを公開します。 The Security of OpenID Authentication 2.0 (PDF ファイル) 話の内容ですが、 OpenID プロトコルの概要 OpenID のセキュリティ discovery association RP の詐称と return_to, realm nonce の確認 Identifier 再利用問題 Reputatio
Identity Conference #2 に行って来ました - 日向夏特殊応援部隊
昨日、百度株式会社さんの会場をお借りして、Identity Conference #2 がありました。 ひとり琉球大学の修士の方が沖縄からこのカンファレンスの為だけに上京すると言う豪気な方もいらっしゃいました。どう見てもRubyKaigiの裏番組なんですが非常にありがたいですね。次にまた上京したい場合は個人的にご連絡下さいね。何らかのお手伝いが出来ればと思います。 以下各プレゼンの感想などと、次回の話などです。 プレゼン 基調講演 XRI, Reputation, Trust (=natさん) 今回は忘れずにいらして下さいましたw XRI についての技術的な概要、また最近話題になっていた XRI vs URI の話にも触れ、Reputation は何故必要なのかと言うお話でした。 この資料、もう一度読みたいなー。 XRI のコンセプトは Web 中心では無く、XRI の対象としている世界に
OpenIDとRails：Authentication 2.0：CodeZine
はじめに OpenIDは、ユーザー認証および識別サービス分野に大きな変革をもたらすサービスであり、フレームワークであり、プロトコルでもあります。2004年にBrad FitzpatrickによってスタートしたOpenIDですが、今ではAOL、Google、IBM、Microsoft、VeriSign、Yahoo!などの巨大インターネット組織からサポートされるほどのフレームワークに成長しています。OpenIDは、Webサイトのための信頼性に優れたオープンな分散ユーザー認証を実現する仕組みであり、Web開発者は認証コードを書く手間から解放されます。 本稿ではOpenIDの概要と、Webサイト開発にとってのOpenIDの利点について説明します。また、OpenIDをRuby on Rails 2.0フレームワークに組み込む方法について例を挙げて説明します。必要な環境Rubyバージョン1.8.4以上
"OpenID: Single Sign-On for the Internet" を読んだ (3) - 日向夏特殊応援部隊
Relying Party to Identity Provider redirect 悪意ある RP が discovery を偽って、ユーザーの入力した User-supplied Identifier から判別する OP EndPoint URL にはリダイレクトせずにそっくりなフィッシングサイトに行く可能性があるよねって話。 対策 色々考えられるけど、やっぱりブラウザ側で対応するのが一番良い気がする openid_identifier or openid_url と言う name属性を持つフォームの要素がページに存在するならばそのページは OpenID 対応と見なす そうじゃないなら OpenID 対応と見なさず、そもそも OpenID の Identifier を入れる事をお勧めしない ブラウザの機能として実際に入力された identifier を RP に送信する前にフックかけ
"OpenID: Single Sign-On for the Internet" を読んだ (2) - 日向夏特殊応援部隊
Negotiating crypto keys associate の時に DH 鍵交換を行う際に潜む問題点です。 何が問題なのか In the original description, the Diffie-Hellman exchange by itself does not provide authentication of the communicating parties and is thus vulnerable to a man-in-the-middle attack. A person in the middle may establish two distinct Diffie-Hellman key exchanges, one with Alice and the other with Bob, effectively masquerading as Alice
"OpenID: Single Sign-On for the Internet" を読んだ (1) - 日向夏特殊応援部隊
BlackHat USA (2007) で Eugene Tsyrklevich さんと Vlad Tsyrklevich さんがプレゼンした資料がオンラインで見れます。 OpenID: Single Sign-On for the Internet (PDF) で既に日本語でも紹介記事があります。 自分でも読んでみたので、逐一解説してみたり考えを書いてみたいと思います。 幾つかあるんで一個ずつピックアップしていきます。 Downloading an OpenID URL 通常 RP では OpenID を使った認証を提供する際に、ユーザー向けに何らかのフォームを用意します。ここは本来、そのユーザーが所有する Claimed Identifier あるいは OP Identifier を入力するべきフォームですが、そうではない文字列を入力した際に問題があるかもよと言う話です。 まぁこれはパ
OpenID に対する中間者攻撃のデモ - 日向夏特殊応援部隊
いわゆる man-in-the-middle attack って奴ですが精巧にデモを作った人がいました。 デモサイト 紹介記事 予め言っておきますが、デモサイトはフィッシングのデモなので素人は正しいパスワードは決していれない事。あるいは使わない事。*1 試したけど、idtheft.fun.de と言うドメインは変わらない物の、入力した Identifier に応じた OpenID Provider そっくりの画面が出て来た。myopenid.com, claimid.com で確認しました。 素人さんはこれは気づかないんじゃないのかなー。 ちなみに以前紹介した Sxipper の Firefox 拡張 を使えば見事にフィッシング検出されました（ぉ ちゃんと読んで無いと先に断っておきますが、紹介記事は多分パスワード認証よりCardSpaceみたいのがいいよねって感じを暗に訴えてるように思える
.Nat Zone : 国民ID配布の課題 by Nat - .Nat Zone
政府の効率化のためには、住基ネットを使って国民IDをとっとと配れば良いと言う議論がある。 たしかに、安全に正確に漏れ無く重複なくコスト効率的に配れるのであれば、配れば良いとも思うが、実際にやろうとすると、そんなに簡単なことではない。 「原口５原則とOpenID」の「原則１」のところにも書いたが、振るにあたっては２つ課題がある。 課題１： 正確性の課題 一つ目は、住基ネットデータベースの正確性の問題である。 住基ネットは各市町村で入力している。いくら正確を記したとしても、人がやるのだから間違いはある。その運用水準がどのレベルなのかという課題がまずある。 よしんば、入力運用が完璧だったとしても、入力するためのデータ作成、すなわち転出・転入手続はどうだろうか？ ネットで検索したところ、転出・転入手続に必要な書類は、 転出証明書の取得 印鑑 運転免許証、パスポート、身体障害者手帳など写真付きの身分
Natural-wave.com
Natural-wave.com This Page Is Under Construction - Coming Soon! Why am I seeing this 'Under Construction' page? Related Searches: Contact Lens Anti Wrinkle Creams Cheap Air Tickets Health Insurance Accident Lawyers Trademark Free Notice Review our Privacy Policy Service Agreement Legal Notice Privacy Policy|Do Not Sell or Share My Personal Information
時限付きID 2008-05-15 - 結城浩のはてな日記
OpenID Providerのサービス停止に備える RP にとっての OpenID の5つの課題 - まちゅダイアリー(2008-05-14) 以下、何も調べないで書いています。言葉足らずです。自分自身向けのメモです。 ID（URL, ドメイン, メールアドレス, その他各種のID）の中には恒久的というイメージを持つものがあるけれど、それがそもそもまずいのかも。 PGPの公開鍵のように、最初から時限を明示的に付けたIDのほうがよいのかな。 サービス側はとうぜん「恒久的ですよ」といいたいだろうけれど。 「事故は絶対起きませんよ」と似ていて「恒久的ですよ」というのはまずそう。むしろ「いつまでは確実。いつ以降はだめ」と明示されたほうが安全だな。 でも、時限付きIDを使ったサインオンというのはすでに考えられているだろうなあ。
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
RailsベースのOpenIDサーバ·masquerade MOONGIFT
まだまだ認知度の低いOpenID。ユーザ登録を乱発せずにサービスを利用できるので便利な技術ではあるのだが、一般に流行らせるにはまだまだ越えるべき壁も数多い。問題の一つはまだまだOpenIDサーバの提供が少ないということだ。 トップページ 自サービスを手軽にOpenID対応にするのに、専用のサーバを利用するのはいかがだろうか。 今回紹介するオープンソース・ソフトウェアはmasquerade、Rails製のOpenIDサーバだ。 masqueradeはRailsを使って簡単にOpenIDサーバを構築できるソフトウェアだ。ユーザ登録はもちろん、メールアドレス認証もある。OpenID1.0系のサーバが構築できるようだ。 ログイン masqueradeを使えば、既存サービスの認証情報をOpenIDサーバに対応させられる。既存サービス内にOpenID機能を持たせるのは大変だが、認証情報だけ流用して提供
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
http://www.machu.jp/posts/20080718/p01/
http://www.machu.jp/posts/20080622/p01/
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。