単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
bit.ly の OAuth 2.0 とか色々試してみたら色々アレだった : にぽたん研究所
ある日、うちのサービスで bit.ly 使って URL を短縮したいねーなんて話があがって、まぁ、単純に短縮化するなら、@shiba_yu36 さん作の WebService::Bitly なんか使えば簡単に色々出来て便利だなーって思いました。 で、きっと、このモジュールを使っているであろうはてなダイアリーとか見てみたら、bit.ly の設定画面があるんですね。 自分自身の bit.ly アカウントを使えば bit.ly でトラッキングとか出来るし便利だなーと思いました。 …でもね、うちのサービスの利用者の方々は、はてな民のようなリテラシーの高いユーザばかりではないのですよ。 「bit.ly の API キー」とか言っても「は？？？？？」って感じの方が大多数。 意味わからないものを設定画面につけるとなっちゃん宛にクレームがいっぱい来てしまいます。 とりあえず、bitly API Docum
twitter4jを使ったOAuth認証の流れ - AjakuPanic のチラシの裏
はじめに 前回の記事*1は、twitter4jのサンプルプログラムをGAE上で動作させるに終わった。 今回はまず、サンプルプログラム*2を読解することで、OAuth認証の正しい流れを理解する。またその過程で発見した、開発者自身が簡単にOAuth認証を受ける方法についても、簡単に記述する。 (10/25追記)この記事は中盤端折りすぎた感があるので、気が向いたら増強版に差し替えたいと思います(追記ここまで) OAuthによる認証 任意のユーザが利用 ここでもう一度、アプリケーションを中心として、OAuth認証の流れを確認する。 ユーザからOAuth認証を受ける様に指示される Provider(twitter)に、ConsumerKeyなどを渡し、リクエストトークンを要求する Providerから、リクエストトークンが返ってくる 発行されたリクエストトークンを用いて、ユーザをProviderの認
OAuthプロトコルの中身をざっくり解説してみるよ - ( ꒪⌓꒪) ゆるよろ日記
「おーおーっすっ!」 てなこって、TwitterのAPIのBASIC認証も6月末に終了してOAuth/xAuthに移行するというこの時期に、あらためてOAuthについて勉強してみたんですのよ? OAuth認証を利用するライブラリは各言語で出そろってきてるのでそれを使えばいんじゃまいか? というと話が終わるので、じゃあそのライブラリの中身はなにやってんのよってことを、OAuthするScalaのライブラリ作りながら調べたことをまとめてみました。 間違っているところもあると思うのでツッコミ歓迎です＞＜ OAuthってそもそもなんなの? ものすごくざっくりというと「API利用側が、ユーザ認証をAPI提供サービス側にやってもらうための仕様」って感じでしょうか? BASIC認証の場合、API利用側が認証に必要なアカウントやパスワードを預かる必要があるわけです。悪意のあるAPI利用側が「なんとかメーカー
iPhone用TwitterクライアントでMPOAuthConnectionを使う - nkmrshn’s diary
『Google Code Archive - Long-term storage for Google Code Project Hosting.』のiPhone用サンプルアプリを動かす際の注意点。 iPhone用サンプルアプリは、SVNでチェックアウトしたディレクトリ（例えば、mpoauthconnection-read-only）の下層にある、「MPOAuthMobile」。2009年9月11日現在、revision 117。 Twitterにアプリケーションを登録して、OAuthのConsumer KeyやConsumer Secretを取得する際、Applilcation Typeは「Browser」を選ぶ。 Callback URLに、有効なURLを指定する。私は「承諾ありがとうございました」などと表示するページを用意し、そのURLを指定しました。別に空白ページでもいいけど...
GoogleのOAuthを試してみた | スマートネットワーク 開発ブログ
GoogleやTwitterなどで公開されているWeb APIを、ユーザのパスワードを預かることなく呼び出すことのできるOAuthというのを試してみました。 当初はOAuthの仕様を見ながらフルスクラッチで作ろうとしたのですが、よく考えたら私は英語が読めないのでした。1から作るのは諦めて公開されているrubyのライブラリを使うことにしました。 まずはサイトの登録 WebアプリケーションからGoogleのOAuth認証を使う場合、サイトの登録をしないといけません。登録は以下のURLから行います。 https://www.google.com/accounts/ManageDomains この登録はドメイン単位で行われるので自分のドメインを持っていないと話にならないようです。なんてこったい。 しかし我々にはGoogle App Engineがついていました。ダメもとでsyttru.appspo
iPhoneとTwitter OAuth認証の流れについて - いとーけーのページ
twitterヘの認証方式は2つありまして、1つはお馴染みBasic認証。もう1つがOAuthです。で、なにやら、今後はOAuthしか受け付けなくなるとかいう話があって、ちょっと盛り上がっているtwitterクライアント界隈。 OAuthの細かい話はさておき、twitterのOAuth認証（access_token取得）の手順には2通りがあります。（太字はiPhone上での主な挙動） サーバ型 アプリごとの key から request_token 取得 request_token を用いて twitter のサイトを表示 → MobileSafari起動 ユーザにログインしてもらう 設定していた callback URL が呼び出される → サーバ側で元アプリの URL scheme にリダイレクトし、元アプリを起動 callback に渡された oauth_token から acces
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログ
Twitter-OAuth-iPhone修正
サービス終了のお知らせ
GmailのIMAP/SMTP機能がOAuth認証をサポート
（このブログは移転しました）