OpenID Provider のセキュリティ対策 (2) - return_to と realm のチェックを怠るな！ - 日向夏特殊応援部隊

OpenID Provider のセキュリティ対策 (1) - まずは SSL を導入！話はそれからだ - Yet Another Hackadelicの続編です。 はじめに RP が認証アサーションリクエストである checkid_setup/checkid_immediate を行う際には通常は return_to と realm を指定します。 return_to とは OP から認証アサーションレスポンスを間接通信で受け取る際に戻って来るURLの事。RP が指定しておく。 realm とは return_to のパターンをワイルドカードを使って表現する。 return_to と realm の検証 基本的に return_to の先は http://openid.art-code.org/handler であるという前提で。便宜上番号振りました。 (1) 期待通りの組合せ real

[ZIGOROu]

俺、キャプチャ取り頑張ったので記念ブクマ。

[oppara]

OpenID Provider のセキュリティ対策 (2) - return_to と realm のチェックを怠るな！ - Yet Another Hackadelic

[stealthinu]

realmとreturn_toについての関係まとめ。結局realmとはreturn_toについて許可するURLの範囲を指定するもの。

[red_snow]

むずかしい。。

[dreammind]

セキュリティ対策

[TAKESAKO]

【どうやら hatena では Data::Dumper を使っている模様＞＜】

[restartr]

各IDPのセキュリティ仕様について。

[se-mi]

あとで

[kazuhooku]

興味深い。てかこんなのはサービス開発者じゃなくてスタックレベルで (ry