単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
In some of the feedback I have gotten on the openID Connect spec, the statement is made that Connect is too complicated. That OAuth 2.0 is all you need to do authentication. Many point to Identity Pro… 英語読みたくないという人のために簡単に解説すると… OAuth 2.0 の implicit flow を使って「認証」をしようとすると、とっても大きな穴が開きます。 カット＆ペーストアタックが可能だからです。 OAuth 認証？は、図１のような流れになります。 図１ OAuth 認証？の流れ 一見、問題なさそうに見えます。しかし、それはすべてのサイトが「良いサイト」ならばです。 Site_A
Googleアカウントの二段階認証の基本的な使い方（日本未対応） | ライフハッカー・ジャパン
Googleで管理されているメール、連絡先、スケジュール、ドキュメントなどなど...。機密性の高いデータも少なくないですが、そのセキュリティが、Googleアカウントのユーザ名とパスワードだけで担保されているというのは、若干心もとないですね。そこでGoogleでは、二段階認証という新しい認証機能を導入しはじめました。現時点では日本未対応のようですが、いち早く、その機能についてご紹介しましょう。 ■二段階認証とは 従来、セキュリティの保護はパスワードのみで行われていました。もちろん、他人から類推されにくい難解なパスワードを設定することによって、セキュリティはある程度担保できますが、パスワードが破られる可能性はゼロではありませんし、万一パスワードが破られてしまうと、他人がログインすることも可能です。 二段階認証機能とは、新規のウェブブラウザやアプリケーション、携帯端末からGoogleアカウント
第23回 まだまだ残っているCSRF攻撃 ：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp … 技術評論社
CSRF（Cross Site Request Forgeries）は数年前にその危険性が広く認知された攻撃手法です。Webページを見ただけで、普段自分が利用しているログインが必要なサイトに意図しないリクエストが送信されたりする問題です。 CSRFの動作原理 CSRFは攻撃用の情報を含んだWebページやEメールを利用して攻撃します。被害者が攻撃用のページを表示したり、URLをクリックすると、攻撃対象のWebサイトに利用者が意図していないリクエストを送信します。 図1 CSRF攻撃 CSRFによる不正なリクエストは被害者からリクエストなので、ログインが必要なサイトであっても既にユーザがログイン済みの場合、正規のユーザからのリクエストとして攻撃対象のWebサーバはリクエストを受け付けてしまいます。 ログインが必要ない公開サイトであっても、問い合わせフォームから大量の不正な情報が登録される、など
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
