仕様が読めるようになるOAuth2.0、OpenID Connect 入門
2023/10/05 Offersさんのイベントでの資料です。 https://offers.connpass.com/event/295782/ イベント後の満足度アンケート（5点満点）の結果は以下になります。 5点: 49% 4点: 39% 3点: 8% 2点: 4% こちらのスライドの内容は以下の本の抜粋になります。デモの内容、このスライドでは触れていないことについてご興味ある場合は以下の本をご参照ください。 https://authya.booth.pm/items/1296585 https://authya.booth.pm/items/1550861 本発表で扱っていないセキュリティに関しては以下の本がおすすめです。 https://authya.booth.pm/items/1877818 本の評判 https://togetter.com/li/1477483
SPA で役立ちそうな OAuth 2.0 for Browser-Based Apps を読んだ - ぷらすのブログ
こんにちは、@p1assです。 GW 中に SPA で OAuth を使うときのプラクティスについて調べていたところ、OAuth2.0 for Browser-Based Apps という RFC の Internet-Draft を見つけました。 一通り読んでみたところ、現時点でのベストプラクティスが良い感じにまとまっていたので、興味深かったところを抜粋して紹介します。 全てを網羅するわけではないので、興味がある方は原文を読んでください。 This specification details the threats, attack consequences, security considerations and best practices that must be taken into account when developing browser-based application
雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH
2023年改定: Google Cloudのキャプチャを最新のものに差し替えました。 ステッカーは「OAuth完全に理解した！」ステッカーになります。 トップの画像をご確認ください。 Auth屋の本の評判: https://togetter.com/li/1477483 本書の書評: https://dev.classmethod.jp/articles/atmosphere-oauth2-0-book/ 誰に向けた本かぜんぜんわからない。俺たちは雰囲気で OAuth をやっている。 そんなエンジニアに向けてこの本を書きました。 具体的には以下の質問に答えられないエンジニア です。 • スコープとはなんですか? • 認可コード (Authorization code) は何が行われた証ですか? • Webアプリケーションの場合、どのフローを使うべきですか? こ
![雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版] - Auth屋 - BOOTH](https://cdn-ak-scissors.b.st-hatena.com/image/square/c58b3500ffe21a145cd03b5a1035694bdb90f44c/height=288;version=1;width=512/https%3A%2F%2Fbooth.pximg.net%2Fc%2F620x620%2Fcf80a27c-5163-4a4b-9d2b-2ba823d41bec%2Fi%2F1296585%2Fe4c73e6e-fc1c-433e-803f-3600aad8e634_base_resized.jpg)
OAuth / OIDCを学ぶための最短経路
はじめにここ数ヶ月、OAuth / OIDC の勉強をしていました。 はじめはどこからどう手を付ければいいのかわからず、OAuth と名のつく本や資料をとりあえず色々読んでいました。 勉強していくなかで、効率の良い学習方法が少しずつわかってきたので、まとめます。 学習する順番のまとめOAuth & OIDC 入門編 by #authlete - YouTubeを見るOAuth / JWT /OIDC の全体感を掴みますここではすべてを理解するのではなく、何がわからないのかをわかることが目的です雰囲気で使わずきちんと理解する！整理して OAuth2.0 を使うためのチュートリアルガイドを読むOAuth とはどういうものかということを理解しますOAuth、OAuth 認証、OpenID Connect の違いを整理して理解できる本を読むOIDC とはどういうものか、OAuth とはどう違うかと
OAuth & OIDC 勉強会 【入門編】 - Authlete
OAuth 2.0 および OpenID Connect (OIDC) は、関連技術を含め、数多くの仕様から構成されています。API アクセス認可やデジタルアイデンティティを専門としない方にとっては、OAuth 2.0 / OIDC 仕様をどこからどのように理解し、これらの仕様に準拠したサーバーをどのように実装すれば良いのか、難しさを感じることも少なくないかと思います。 そこで今回は、一昨年実施し好評を博した、OAuth 2.0 ＆ OpenID Connect をフルスクラッチ実装したエンジニア（株式会社 Authlete 代表）による解説を中心とした勉強会を再開催いたします。また最近の仕様策定の動向についても、アップデートをお伝えいたします。 OAuth 2.0 と OpenID Connect の概要 JWS/JWE/JWT、ID トークン OAuth 2.0 と OpenID Co
デジタル・アイデンティティの最新動向 (07-10-2020)
MS内で社内転職をし、Identity Standardsチームにジョインしてから、早3週間が経ちました。 Identity業界で起きている社内外の最新動向にキャッチアップをするために、ひたすら猛勉強をしていました。 インプットがどれくらい身についてきたかの確認も兼ねて、ラーニングをまとめてみました。 Identity最新動向のシラバス 以下のようなラーニングプランで3週間勉強していました。 分散型アイデンティティ(Decentralized identity) A. 規格(Specification)の読み込み B. MSがローンチしたサービスの仕組み・概要を理解(プライベートプレビュー中) C. 現在起きている規格を策定するワーキンググループ(WG)への参加 D. GDPRコンプライアンスに関するリーガル・リサーチ 従来型アイデンティティ(Centralized Identity) A
クライアントを作って理解するOAuth2(実装編) - oinume journal
はじめに クライアントを作って理解するOAuth2(準備編) - oinume journalの続編。前の記事ではGoogle APIsのプロジェクトを作成してOAuth2 clientを登録した。この記事では発行されたClient idを使って実際にAccess tokenを取得する部分をGoで実装してみたいと思う。 ソースコードは GitHub - oinume/go-oauth2-client-sample: OAuth2 client sample in Go にあり、OAuthの実装はserver.goにまとまっている。main関数はcmd/oauth2-client-sample/main.goにあるが、これはサーバーの起動処理があるだけの薄いものである。サーバーの起動方法などについてはGitHubのREADMEを見てほしい。 前提 OAuth2のGrant typeはAuth
OAuth で state パラメーターを使わなかった場合に起きうることの例 - dodosuke0920’s blog
Authlete Inc. で事業開発（営業）を担当している 岸田 と言います。前回、イギリスの銀行 API での UX について翻訳してみましたが、今回はもう少し技術よりの話をしたいと思います。 先週、社内の Slack 上で、下記のブログが流れてきました。 medium.com API を公開するサービス自体の脆弱性と、API を利用する側の実装不備を利用した攻撃に関してです。今回の話の中心である state パラメーターについては、その必要性含めいろいろお問合せいただくことも少なくないですし、また、私自身ちょっと理解するのに苦労したので、簡単にまとめてみたいと思います。 報告されている脆弱性 ブログで報告されている脆弱性をまとめるとこんな感じです。 OAuth 2.0 を実装し、API 経由で別サービスにファイルを共有可能なサービスを想定する。そのサービスでは、{{construct
OAuth 2.0の代表的な利用パターンを仕様から理解しよう
連載 INDEX 次回 → はじめまして、OpenID Foundation Japan事務局長のNovです。 このたびは、Build InsiderでOAuth 2.0とOpenID Connectに関する記事を書かせていただくことになりました。 今回はOAuth 2.0、次回はOpenID Connectについて、ユースケースごとのフロー（Flow）や関連仕様についてまとめていきます。 OAuth 2.0仕様策定から5年 OAuth 2.0はIETF OAuth WG*1で仕様策定されている標準仕様群である。 最もコアとなるRFC 6749＆RFC 6750はどちらも2012年にRFC化されており、すでに策定から5年以上が経過している。OpenID Foundation Japanの翻訳WGでもこれらは翻訳済みである。 The OAuth 2.0 Authorization Frame
Authlib: Python Authentication
Authlib: Python Authentication¶ Release v1.2.1. (Installation) The ultimate Python library in building OAuth and OpenID Connect servers. It is designed from low level specifications implementations to high level frameworks integrations, to meet the needs of everyone. Authlib is compatible with Python3.6+. User’s Guide¶ This part of the documentation begins with some background information about Au
OAuth 2.0 for Native Apps - マイクロソフト系技術情報 Wiki
2024-04-30 OSフリーズ 2024-01-24 性能問題のポイント 2023-12-14 ツール類（インデックス） 2023-12-13 ダウンロードのいろいろ 障害対応に使用するツールの一覧 開発支援ツール VBAは何故、最強EUCツールなのか？ 構成管理ツール OSSホスティング・サービス GitLab GitBucket GitHub Git FrontPage 2023-11-01 CAL 2023-09-19 Azure Container Registry Azure IoT Edgeチュートリアル 2023-08-22 Azure OpenAI Service 2023-07-31 Azureの評価環境を入手する Azure IoT Hubチュートリアル Azure IoT Centralチュートリアル 2023-07-27 Docker Desktop for W
PKCE: 認可コード横取り攻撃対策のために OAuth サーバーとクライアントが実装すべきこと - Qiita
PKCE とは PKCE をご存知でしょうか？ これは、今から一年ほど前の 2015 年 9 月に RFC 7636 (Proof Key for Code Exchange by OAuth Public Clients) として公開された仕様を指しています。認可コード横取り攻撃 (authorization code interception attack) への対策として策定されました。 細かい条件は幾つかありますが、スマートフォンで OAuth クライアントを作る場合は、クライアント側も認可サーバー側もこの仕様の実装が強く推奨されます。これを実装しておかないと、悪意のあるアプリケーションに認可コードを横取りされてしまい、結果、悪意のあるアプリケーションがアクセストークンを取得できてしまいます。 この仕様自体のちょっとした解説は、「OAuth & OpenID Connect 関連仕
OAuth for Native Apps | GREE Engineering
GREE Advent Calendar 9日目は @nov が担当します。 僕は GREE ではセキュリティ部に所属しており、社外では OAuth や OpenID Connect などの Identity 関連技術についての翻訳や講演などを行ったりもしています。 今日は GREE Advent Calendar ということで、Native App コンテキストでの OAuth の話を少し書いてみようと思います。 はじめに Native App を開発していると、Backend Server とのやりとりや Facebook Login や Google Sign-in などで、必ずと言っていいほど OAuth 2.0 というのが出てきます。 OAuth 1.0 と異なりリクエストに署名が不要だったり、Client Secret (a.k.a Consumer Secret) 無しでも
OpenID 2.0 Shutdown Timetable | OpenID 2.0 (Migration) - Google Accounts Authentication and Authorization — Google Developers
Send feedback OpenID Connect Stay organized with collections Save and categorize content based on your preferences. Google's OAuth 2.0 APIs can be used for both authentication and authorization. This document describes our OAuth 2.0 implementation for authentication, which conforms to the OpenID Connect specification, and is OpenID Certified. The documentation found in Using OAuth 2.0 to Access Go
GitHub - dexidp/dex: OpenID Connect (OIDC) identity and OAuth 2.0 provider with pluggable connectors
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
今更聞けない電子認証入門 - OAuth 2.0/OIDCからFIDOまで -
Identity Platform documentation | Identity Platform Documentation | Google Cloud
Protecting Apps with PKCE - OAuth 2.0 Simplified
トークン - マイクロソフト系技術情報 Wiki
GitHub - ory/fosite: Extensible security first OAuth 2.0 and OpenID Connect SDK for Go.
