OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る
はじめに この文書では、OAuth 2.0 + OpenID Connect サーバーをゼロから一人で実装した開発者（私）が、得られた知見について書いていきます。基本的には「実装時に考慮すべき点」を延々と述べることになります。 そのため、この文書は、「素早く OAuth 2.0 + OpenID Connect サーバーを立てる方法」を探している方が読む類のものではありません。そのような情報をお求めの方は、「Authlete を使って超高速で OAuth 2.0 & Web API サーバーを立てる」を参照してください。そちらには、「何もない状態から認可サーバーとリソースサーバーを立て、アクセストークンの発行を受けて Web API をたたいて結果を得る」という作業を、所要時間 5 ～ 10 分でおこなう方法が紹介されています。 文書のバイアスについて 私は、OAuth 2.0 + Ope
OpenAMのOpenID Connectへの対応
連載目次 OpenAMが提供するフェデレーションサービス 第4回はOpenAMのOpenID Connectへの対応について紹介します。その前に、まずはOpenAMがこれまでに対応してきたフェデレーション（注1）プロトコルについて簡単に解説し、今後主流になると思われるOpenID Connectの概要とOpenAMの対応内容について説明します。 注1 フェデレーション（Federation）：異なるサービス間の連携をすること。一般的には、SAMLなどの標準的なプロトコルを使用して複数のクラウドサービスへSSOできるようにすることを意味します。 OpenAMが対応するフェデレーションプロトコル OpenAMは、あらゆるサービスへのSSOを実現できるように、これまで多くのフェデレーションプロトコルに対応してきました。SAML 1.0の実装から始まり、WS-Federation 1.1やID-F
最新のOpenAMを導入してOpenID Connect ServerとClientを実装する(IdP編) | 天上TENGA唯我独尊
IdP･･･ログインシステムを提供するカッチョイー人のこと。 RP･･･自前でログインシステムを構築することをあきらめた賢明な愚民。 今回は手元にあるレンタルサーバ群でこいつらを構築することにする。本来であればIdP側はgoogleとかfacebookとかtwitterとかを使うと思っていただければ問題あるまい。今回はまぁ、タイトルどおりIdP側を構築してみる、というのが主旨なので。 フェデレーションプロトコルといえば、”SAML”か”OpenID”なのだが、次世代プロトコルであるOpenID ConnectはOAuth2.0のシーケンスで認証連携ができるというものだ。先に中身が知りたい人はどうぞこちらのリンク(OpenIDファウンデーション・ジャパン技術使用：和訳)へ。とっても読みやすい。 構築眺めてなんとなく雰囲気がわかればいいや、という人はどうぞこのまま読み進めてくれ。 ・Ope
YAPC::Tokyo 2013にてOpenID Connectについて話しました - r-weblife
こんばんは, ritouです. タイトルの通りです. 普段発表とかしてる idcon に来る方々と別の層にも知ってもらいたいという思いからトーク申し込んだのですが, 基本的に出不精なので, かなりアッウェーイ感が漂う感じでしたがなんとか行ってまいりました. スライドはこちらです. YAPC::Tokyo 2013 ritou OpenID Connect from Ryo Ito 内容はこんな感じです. OpenID Connectの紹介 「OpenID Connect」を理解する (1/2)：デジタル・アイデンティティ技術最新動向（4） - ＠IT みたいな話 Self-Issued OPについて OpenID ConnectのSelf-Issued OPの話 - r-weblife についての話 OIDC::Liteについて PerlのOpenID Connect用ライブラリOIDC:
PHPフレームワークにTwitter,Facebook等の認証を速攻実装できる「Opauth」:phpspot開発日誌
PHPフレームワークにTwitter,Facebook等の認証を速攻実装できる「Opauth」 2012年05月24日- Opauth ? Multi-provider authentication framework for PHP PHPフレームワークにTwitter,Facebook等の認証を速攻実装できる「Opauth」。 Zend、CakePHP、Symfony、CodeIgniter等のフレームワークに認証を入れる場合に是非参考にしたいライブラリ。 Facebook, Google, twitter, Linked.in の他、OAuth、OpenID などにも対応。Yahoo!JapanでOAuth等による認証ができますから、これで認証にまつわる処理はすべて実装できそう。 各サイトにおける認証の方法を都度実装するのは非効率ということで、こうしたライブラリで認証処理はサクっと終
SITFのWGにて技術面で検討したことと今後やっていくこと - r-weblife
こんばんは、ritouです。 さっきまで、このセミナーに参加していました。 http://www.openid.or.jp/modules/news/details.php?bid=49 OpenIDファウンデーション・ジャパンとその他の企業で構成されたWGでは、学認が持つ学生情報を民間サービスに流通させるために技術面/ポリシー面の検討を進めてきたというわけです。 私もこのWGに参加させていただいて、デモを裏で操りました。残念ながらUSTやらなかったので残っていませんが。。。 デモ作った以外に、下記の検討等を行いました。 ユースケースに対して技術的に厳しい部分がないか 既存の標準化仕様をどのように適用すると実装コストを抑えられそうか デモ作成から実装面の課題を洗い出し 実際はポリシーから決めていこうか的な空気の中で違う方向いて実装どうするか考えていった感もありますが、結果としてユースケース
情報セキュリティ技術動向調査（2011 年下期）：IPA 独立行政法人 情報処理推進機構
OpenID 2.0 は実装を容易にするために、ユースケースを「OpenIDプロバイダのID情報を用いた、RPへのログイン／属性提供」に限定した仕様となっている。その結果、以下のような要件を満たすことは、仕様の範囲内では容易ではない（図2）。 機能の制限された Web ブラウザへの対応 OpenID 2.0 では、ユーザ・エージェントとして一般的なWebブラウザを対象としており、ある程度大きなURL長を処理する能力や、リダイレクト機能などを有する必要がある。そのため、携帯端末などのように機能が制限された環境のWebブラウザでは、OpenID 2.0 プロトコルを処理できない場合がある。 セキュリティ要件への対応 OpenID 2.0 プロトコルでは、Web サイト間でのID情報の要求（認証リクエスト）ならびにその提供（アサーション）は、Webブラウザのリダイレクト機能を用いて、平文のメッセ
単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
OpenID Connect Sandbox
OpenID Connect Sandbox Profile RP Registration Welcome to OpenID Connect Sandbox OpenID Connect Sandbox is OpenID Provider. Endpoint Authorization Endpoint : https://openidconnect.info/connect/authorize Token Endpoint : https://openidconnect.info/connect/token UserInfo Endpoint : https://openidconnect.info/connect/userinfo Check Session Endpoint : https://openidconnect.info/connect/check_session O
OpenID ConnectでOpenID Auth 2.0ライクな動的UXを実現する方法 - r-weblife
こんばんは、ritouです。 忘れてしまっている方もおられるかと思いますが、いわゆるOpenID(Authentication 2.0)を使って認証要求を送るまでに、次のような処理が行われます。 ユーザーがOP選択 or 識別子の入力 RPがDiscoveryを行い、OP Endpoint URLを取得 RP,OP間でAssociation確立 これらの処理が行われることで、RPからみると「各OPへの事前登録なんてものは不要」、ユーザーからみると「自分が使っているOPが利用できる」、OPからみると「仕様に沿って実装すればどのRPでも使える」という仕様になっているわけです。 さて、仕様策定が進められているOpenID Connectですが、何度も言ってるとおり、OAuth 2.0ベースです。 OAuthというと、あらかじめClientの事前登録(Client ID/Secretの取得)が必要
OpenID Connectを体験できるデモ環境の紹介 - r-weblife
こんばんは、ritouです。 最近、OpenID Connectのフローを体験できるサンプルOP/RPが出てきています。 OpenID Connect Sample OP まずはこちら。FbGraph と Rack::OAuth2 と OAuth.jp の中の人です。 http://oauth.jp/openid-connect-rubygem OpenID Connect の OP & RP 用の RubyGem をリリースしました。 https://github.com/nov/openid_connect 同時にサンプル OP サイトも公開しました。 サイト: https://openid-connect.herokuapp.com/ ソース: https://github.com/nov/openid_connect_sample このサンプルOPはFacebook/Googleの
Specifications – 仕様集
現在作業中の仕様集 OpenID Connect 関連仕様 規格化済 OpenID Connect Core – OpenID Connect の基本部分 OpenID Connect Dynamic Registration – (Client を動的に登録するための仕様 OpenID Connect Discovery – Server Endpoint および設定情報を動的に発見するための仕様 例：Google https://accounts.google.com/.well-known/openid-configuration OAuth 2.0 Multiple Response Types –OAuth 2.0 response_type に OpenID Connect利用するものを追加. OpenID 2.0 to OpenID Connect Migration 1.0
OpenID Connect RubyGem リリース - OAuth.jp
OpenID Connect の OP & RP 用の RubyGem をリリースしました。 https://github.com/nov/openid_connect 同時にサンプル OP サイトも公開しました。 サイト: https://openid-connect.herokuapp.com/ ソース: https://github.com/nov/openid_connect_sample サンプルサイトに Facebook / Google ID でログインすると、まず OAuth Client の登録を要求されます。 OAuth Client を登録すると、以下の様に各 response_type ごとの Authorization Flow を開始するボタンが表示されます。 とりあえず OpenID Connect の UserInfo Endpoint にアクセスしたい場合
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://atnd.org/events/31320
http://blogs.forrester.com/eve_maler/12-03-12-a_new_venn_of_access_control_for_the_api_economy
OpenID Connect, December 2011
サイバー空間上の信頼フレームワークとパーソナルデータ経済
Tao of Attributes - 属性之道 於京都 に参加してきました
Good night, Posterous
Connect Me! - Don't stop connecting!