認証と認可の超サマリ OAuth とか OpenID Connect とか SAML とかをまとめてざっと把握する本
認証と認可についての知識が必要になったので、基礎的なことを学んでいます。 一切何も知らない状態から手当たり次第に細かく調べるのは大変だったので、超サマリを整理してみようと思います。 この本は「個々の要素に詳しくなる必要はないんだけど、概要くらいはさっと把握しておきたい」とか「手当たり次第に詳細調査をする前に、一瞥してこれから踏み込もうとしている領域の超俯瞰マップを作る」という感じで使うことを想定しています。 同じ様な方の役に立ったら、とても嬉しいです。 この本は筆者の理解に連動して追記修正される可能性があります。
マイクロサービスにおける認証と認可の、一般論としての設計パターンを調べたところ、Web 上の複数の記事で似たようなパターンが登場していた。ここでは、まず認証と認可が実現したい一般的な要件と、そのマイクロサービスでの難しさを整理し、認証と認可に分けて調査したパターンをまとめた。 あくまで “一般論” なので、実際には個々のドメインにあわせてアレンジが必要 往々にしてこの “アレンジ” に価値が宿るものだが、まずはセオリーを知っておきたいというモチベーションで調査した Web 上の記事を読んでまとめただけなので、手を動かしての確認はしておらず、理解が甘い部分はご容赦ください 具体的な通信方式やサービス間通信のセキュリティといった具体論までは踏み込めていない。このへんはサービスメッシュやゼロトラストネットワークといったトピックが登場すると思われる これらは次回以降の Todo としています その
秒間100万リクエストをさばく - Googleの共通認可基盤 Zanzibar - 発明のための再発明
はじめに Googleの提供するサービス郡が共通して利用している認可システムにはZanzibarという名前がついています。ZanzibarはGoogleDrive・Google Map・Youtubeなどの巨大なサービスにも使用されています。 そのため、利用量も凄まじく 数10億のユーザー 数兆のACL(access control list) 秒間100万リクエスト もの量をさばいています。 にも関わらず、Zanzibarはこれを10ミリ秒以内に返します(95パーセンタイル)。 この記事では、そんなZanzibarの内部構造に関する論文「Zanzibar: Google’s Consistent, Global Authorization System」の中から、主に大量のリクエストをさばくための工夫を紹介します。 ちなみに、以前Googleの社内システム用の認可システム「Beyond
Nobuyo Yagi 八木啓代 on Twitter: "1. 森友事件については、「総理夫人の関与」は明らかなのだが、見落とされがちなのが、「維新の関与」だ。 経済基盤も何もない学校法人なので、土地売買以前の段階で、じつは大阪府私学審議会が学校設立の認可を落としている。"
1. 森友事件については、「総理夫人の関与」は明らかなのだが、見落とされがちなのが、「維新の関与」だ。 経済基盤も何もない学校法人なので、土地売買以前の段階で、じつは大阪府私学審議会が学校設立の認可を落としている。
東大フェミニスト名誉教授上野千鶴子氏、フェミニストが避妊薬認可に反対していた事実を隠す→当の活動家から歴史修正主義と批判殺到
三田@省エネモード @mitamita8888 これ本当に気持ちの悪い話よな。 女性を産むための道具としか思ってないから、避妊効果のあるピルは解禁されなかったんでしょ？ twitter.com/takamixx/statu… 2021-08-18 14:01:48
2020年6月3日、栃木県宇都宮市の認可外保育施設で赤ちゃんが死亡した事件をめぐる裁判で、宇都宮地裁は宇都宮市の責任を認めた判決を出しました。その判決を不服として宇都宮市議会は即日控訴することを決定し、市が16日に控訴しました。 一体どのような事件だったのでしょうか。裁判でも、亡くなった赤ちゃんのみならず、預けられていた子どもたちに日常的な虐待が行われていたことが明らかになりました。その衝撃の保育内容について、改めてジャーナリストの猪熊弘子さんが振り返ります。 保育施設で意図的虐待が行われていた 2014年7月26日、栃木県宇都宮市内にあった認可外保育施設「託児室トイズ」（2014年12月1日に廃止）内で、宿泊保育中だった山口愛美利（やまぐちえみり）ちゃん（当時9ヵ月）が死亡してから、まもなく6年の歳月が経とうとしている。すでに刑事事件としての裁判は終了し、経営者だった木村久美子被告は、保
黒枠のラベルは、コンテンツホルダー自身が付与したものです。グレー枠のラベルは本文解析で自動付与されたものです。 萩生田文部科学相は13日、学校法人「幸福の科学学園」が21年度に開学を目指す幸福の科学大を含む、大学や短大など15校の認可について、大学設置・学校法人審議会に諮問した。 幸福の科学学園は以前にも設置を目指したが、設置審は14年10月、「霊言」と呼ばれる大川隆法総裁の著作が教育で重要な位置を占め、その科学的合理性を立証できていないことなどを理由に、不認可としていた。 申請の際、不正行為があったとして、文科省は同法人の大学などの設置を5年間認可しないともしていた。 同法人は4学部と大学院の設置を申請。千葉県長生村と東京都江東区にキャンパスを置くとしている。
自分が複数のシステムの開発を経験して得た確信として、「認証と認可と課金とコアドメインの分離がめちゃくちゃ重要である」というものがあるので、コレを整理してアウトプットしていく 分離するモチベーションとは Microservice文脈でいうと、デプロイ独立性だったり、リソースの最適配分だったり、障害の局所化だったり、開発組織とのマッピングだったりがメリットとして語られることが多い。 だが、ここで取り上げたいのは戦術的DDD的観点でのコンテキスト分離の有用性である。 ※ちなみにコンテキスト分離のみであればモジュラモノリスだけで実現可能。 戦術的DDD的観点での関心事の分離によるメリットとは コンテキストが分離されていることによって、境界をまたぐ際に「このI/Fは正しいのか？」を都度考えることを強制することができる。 境界がなければ意図しない密結合を生みやすくなってしまう。 もちろん、境界を超える
Merpay Advant Calendar 2020、23日目の記事は、趣味で認証認可をやっている @nerocrux が送りいたします。 最近 GNAP という認可プロトコルのワーキンググループドラフトが出ていて頑張って細かく読みましたので、（次回はいい加減に仕事でやってることについてお話しますが）今回はその GNAP について紹介させてください。 GNAP とはなにか？ GNAP は Grant Negotiation and Authorization Protocol の略で、認可のプロトコルです。Justin Richerさんという方を中心に策定しています。作者によると、GNAP の発音は げなっぷ になります。 認可（Authorization）プロトコルと言えば、OAuth 2.0 (RFC6749) が広く知られ、運用されています。GNAP は OAuth 2 の後継とし
華月エアリ🌙🧙♀️北国の占いお姉さんVtuber🦔 @bluemoonairy 🌙占いとうまく付き合って楽しく生きる🔮 ￤個人勢のプロ占い師Vtuber￤ ￤フォローすると気楽に生活出来るヒントが流れてきたりする￤ ￤キズナアイさん/朝ノ瑠璃さんetc..沢山のVさん占ってます￤ ￤お仕事の連絡は@airymanager lit.link/airykagetsu 華月エアリ🌙🧙♀️北国の占いお姉さんVtuber🦔 @bluemoonairy これは癌患者の長い独り言として聞いて欲しいのだが、周りの人に癌の人が居ると分かった時に辞めて欲しい事 ・癌に効果のある(と言われる)食品等を勧める その人が信じたらそれにお金を払い続ける事になるけど貴方その責任取れる？ 効かなかった時の責任は取れる？ エビデンスありますか？ 続き⬇️ 2022-11-12 09:44:30 華月エア
マイクロサービスでの認証認可 - Qiita
複数のクラウドサービスを利用している（マルチクラウド）など、単純には閉域網を構築できない環境でマイクロサービスアーキテクチャを採用する場合には、サービス間の認証認可が必要となる。この場合のサービス間の認証認可方式を決める参考となる、OSSやSaaS、Webサービスで採用方式ついて整理した。 Istio サービスメッシュの実装として有名なIstioではサービス間通信を以下のように制御できる。 Istioの認証認可では認証主体がService Identityというモデルで抽象化され、KubernatesやIstioで定義するService Accountに加えて、GCP/AWSのIAMアカウントやオンプレミスの既存IDなどをService Identityとして扱うことができる。 サービス間の認証 (Peer Authentication) は、各サービス (Pod) に設置するSideca
待機児童の問題が深刻だった東京23区の認可保育所のうち0歳児の定員の状況を調べたところ、ことし4月の時点で、定員に満たない施設が半数を超えていることがわかりました。 東京23区にある0歳児から2歳児が通う認可保育所について、NHKは、ことし4月1日時点の定員の状況を取材しました。 その結果、0歳児を受け入れている2526施設のうち、定員を満たさないところは1351施設、率にして53％に上ることがわかりました。 このほか、1歳児では、3055施設のうち31％、2歳児では、3057施設のうち40％が、それぞれ定員を満たしていませんでした。 定員割れの理由を複数回答で尋ねたところ、多かったのが ▽「待機児童問題を背景に、新設の園が増えたこと」 ▽「出生数の減少」 ▽「コロナ禍の影響による利用控え」でした。 全国のなかでも、東京では待機児童がピーク時の平成26年には、8672人に上るなど、深刻な社
いけしん＠ジジイ（無資格無認可システム屋） on Twitter: "機能単位での発注となりますが、最低50万円から請けてくれるLaravel+Vue.jsがきちんと書けるプログラマーを10名募集します。 保守要員も別途3名募集します。 サーバ構築できるかた1名募集します。 作業は6月中旬以降、11月中旬までです。"
機能単位での発注となりますが、最低50万円から請けてくれるLaravel+Vue.jsがきちんと書けるプログラマーを10名募集します。 保守要員も別途3名募集します。 サーバ構築できるかた1名募集します。 作業は6月中旬以降、11月中旬までです。
みなさま、認可の設計に苦しんでいるでしょうか？私は苦しんでいます。苦しまなかった瞬間などありません。昔「アプリケーションにおける権限設計の課題」を執筆しましたが、あれから3年以上が経ちます。 当時は認可の設計に関する情報がうまくまとまっている記事などほとんど無く、調べに調べて得たナレッジを書き記したのが上記の記事です。3年以上経ちますが、苦悩が今も特に変わっていないことが驚きです。 ただし、世の中的には認可のライブラリであったりサービスというのは少しずつ増えてきている印象があります(Auth0の OpenFGA であったりOsoの Oso Cloud 、Asertoの Topaz )。 認可の設計に関する記事も少しずつ増えている印象があり、その中でも本記事で紹介したいのがAuthorization Academyです。 これは認可サービスである Oso Cloud やOSSのライブラリ o
少し早いですが、メリークリスマス！事業開発部の早川です。 早いもので、入社して 1 ヶ月半が経ちました。 現在は、 prismatix の理解を深めながら、導入支援を行っています。 今回はその中から、認証 / 認可についてお伝えします。 と言っても、これまでに同僚達が書いた分かりやすい記事がありますので、これらのガイダンスの形で、整理していきたいと思います。 ジョインしました 以来、初めての記事となりますﾄﾞｷﾄﾞｷ 目標 本記事をご覧いただいた後、こちらのスライドを何となく理解できる気がすることを目標とします。 本スライドに関するブログ記事はこちらです。 AWS Dev Day Tokyo 2018 で「マイクロサービス時代の認証と認可」の話をしてきた #AWSDevDay 目的 まず、認証 / 認可を学ぶ理由を考えてみました。 近年、様々なサービスが API を通じてつながり、より便利
OAuthにおける認可コード横取り攻撃とその対策 Jul 5, 2021 前回の記事で示したように、カスタムURLスキームを偽装した不正アプリは正規アプリへのディープリンクを乗っ取れる。この挙動の悪用シナリオとして、正規アプリと認可サーバー間のOAuthフローにおける認可コード横取り攻撃が知られている。この攻撃への対策を把握するためにiOS環境でシナリオを再現し、PKCEの有効性を確認した。 要約 OAuth 2.0の拡張機能であるPKCEを導入することで認可コード横取り攻撃を無効化できる。OAuth 2.0の仕様では、認可サーバーはネイティブアプリをクライアント認証できない。そのため、認可サーバーは認可コードを横取りした不正アプリと正規アプリを識別できない。しかし、PKCEの仕組みにより認可サーバーは正規アプリを識別できるようになり、認可コード横取り攻撃の検知が可能となる。 ネイティブア
逆に、RFC 6749 以外で定義されている認可フローをサポートする場合、新たに別のエンドポイントの実装が必要になることがあります。例えば CIBA（Client Initiated Backchannel Authentication）ではバックチャネル認証エンドポイント（backchannel authentication endpoint）、デバイスフロー（RFC 8628）ではデバイス認可エンドポイント（device authorization endpoint）の実装が求められます。 この記事では、認可エンドポイントとトークンエンドポイントを実装します。サポートする認可フローは認可コードフローのみ、サポートするクライアント・タイプはパブリックのみとします。 2. 注意点 下記の理由、および書かれていないその他の理由により、本実装は商用利用には適していません。 セキュリティー上必須
マイクロサービスの認証・認可とJWT / Authentication and Authorization in Microservices and JWT
OCHaCafe Season4 #4の資料です． デモのソースコード等はこちらをご参照ください．
元ネタ @localdisk さんの記事です。 こちらで概ね適切に説明されているものの，文章のみで図が無くて直感的に把握しづらいので，初心者にもすぐ飲み込ませられるように図に描き起こしてみました。 図 解説 illuminate/auth: 最小限の認証認可コアロジック コアコンポーネント群の laravel/framework に含まれているものです。 Socialite 以外のすべてのパッケージが，実質このコアに依存していることになります。 以下の記事でこのパッケージの詳細について説明しているので，ここでは端折って説明します。 伝統的 Cookie ベースのセッション認証 こちらでも解説している， 「Cookie に識別子を載せ，それに対応する情報はサーバ側のファイルに記録する」 という手法に近いものです。 実装は illuminate/session にあり， PHP ネイティブのセ
日本ではバイアグラは超特急の半年で認可されたけどピルは認可まで34年かかった理由→「性が乱れるから」「性病の蔓延」は本当なのか？
元 銀ホス @z9aW24CvNwjxiqU 日本ではバイアグラは超特急の半年で認可されたけどピルは認可まで34年かかった。34年。34年だよ？ 認可されなかった理由は「性が乱れるから」「性病の蔓延」。 は？？ x.com/eda_ma_me01/st… 2024-03-05 13:35:29 しおりん@フリーランス母 @eda_ma_me01 10代女性「中絶薬欲しい」→自費 20代女性「ピル欲しい」→自費 30代女性「無痛分娩したい」→自費 43歳女性「不妊治療したい」→自費 70歳男性「自分では育てないけど何十歳も年下の女性に自分の子を産んでほしいからバイアグラくれ」→保険適用 マジでなんなのこの国。 x.com/pakichan_pa/st… 2024-03-05 00:42:28 元 銀ホス @z9aW24CvNwjxiqU 頭のくそ悪いチー牛童貞クソ野郎達の為に追記してあげよう
Kar98K JP @system00734 @zen201906 @KazuKaiden 根本的解決は別に保育士の数ではありません。自由経済の原理が働かない事です。 人が足りなければ給与水準が上がります。上がればその業界に人が殺到し、すると給与水準が下がりある一点で均衡します。どの業界だって同じです。人が足りなければ給与水準は上がるんです。 2019-08-11 19:24:11 Kar98K JP @system00734 @zen201906 @KazuKaiden 保育士業界だけが人が足りないのに給与が上がらない。だからいつまでたっても人不足になる。 根本的解決とは自由経済の法則が働かない仕組みを改革することです。 待機児童問題は先進国で日本だけ。他国は待機児童という言葉すらありません。簡単な解決方法は英国などの制度をそのままコピー。 2019-08-11 19:27:01
認可のベストプラクティスとDDDでの実装パターン
最近、少々複雑な権限機能の開発を担当している中で、対応方針を悩んでいたことがありました。 権限機能というものは取り扱いが難しく、影響範囲が広いにも関わらず、対応漏れや考慮不足があると情報漏洩に繋がってしまいます。 また、機能拡張をしてく中でも対応漏れを起こさないようにする必要があるなど、考えることも多く頭を悩ませておりました。 そこで、認可処理の設計のベストプラクティスやDDDの実装パターンに認可処理を組み込む方法など、色々と調べていたのですが、その中でいくつか知見を得られたのでまとめようと思います！ 権限と認可 権限と切っては切れない関係にあるのが認可です。 権限はある操作を実行できる権利を指します。 それに対して、認可は操作を実行する許可を出すため仕組みのことを指します。 例えば、ブログ投稿サービスで考えてみると、以下のような感じです。 権限: 投稿者はポストを編集できる。 認可: ユ
Nuxt.js+Firebaseの認証・認可を実装した雛形プロジェクトを公開しました - Qiita
この記事について NuxtとFirebaseを使って、これまでいくつかサービス開発をしていますが、認証/認可の実装はどのサービスでも毎回同じようなコードを書いている気がします。 サービスとしてのコア部分ではないですが、センシティブな部分なのでしっかりと調べながら実装すると結構大変ですよね（毎回時間がかかってしまいます）。 ここ最近のサービスはNuxt +Firebaseで開発することが多く、認証 / 認可のコードベースのTipsが貯まってきたので公開したら需要あったりするのかな？ サンプルになりそうなプロジェクト見当たらないし、コアな部分ではないのであまり楽しくないし...。 雛形のプロジェクトとして需要あれば公開します👍 — フジワラユウタ | SlideLive▶️ (@Fujiyama_Yuta) June 7, 2020 自分だけではなく、いろんな人が同じような課題感を感じている
これってどうなの II@"ハッピー"な宗教2世 on Twitter: "“宗教2世”がじわじわと注目されている。なのでそろそろ、幸福の科学の異常な「教育」の実態も訴えたい。 2世信者は中高一貫校「幸福の科学学園」に通い、なんと卒業生の約6-7割は、進学も就職もしない。 ではどうするかというと、無認可… https://t.co/LTTk1VS3Og"
“宗教2世”がじわじわと注目されている。なのでそろそろ、幸福の科学の異常な「教育」の実態も訴えたい。 2世信者は中高一貫校「幸福の科学学園」に通い、なんと卒業生の約6-7割は、進学も就職もしない。 ではどうするかというと、無認可… https://t.co/LTTk1VS3Og
参議院議員森ゆうこ on Twitter: "私が驚いたのは、BSL施設が未完成だったことではなく(未完成なのだと思っていました)、 加計学園の大学設置認可申請書の記述 「・・・厚生労働省に事前に概要の説明に行き、ガイドライン基準を満たしていることを確認している。」 がウソだったことを、厚労省が正式に認定したことです。"
私が驚いたのは、BSL施設が未完成だったことではなく(未完成なのだと思っていました)、 加計学園の大学設置認可申請書の記述 「・・・厚生労働省に事前に概要の説明に行き、ガイドライン基準を満たしていることを確認している。」 がウソだったことを、厚労省が正式に認定したことです。
国土交通省は、都内のタクシー事業者が申請していた新型コロナウイルスの感染防止対策を認可しました。 利用者にマスクの着用を求めても理由なく拒否された場合に運転手が乗車を断ることができるとするもので、今後、業界に広がる可能性があります。 東京都内の大手タクシー会社や個人タクシーなど10の事業者は、運転手が利用者にマスクの着用を求めても病気など正当な理由なく拒否された場合に乗車を断ることができるよう「運送約款」と呼ばれる事業者ごとに定めるルールの変更を国土交通省に申請していました。 国土交通省は、事業者のルールがマスクを着けていない人を一律に断るものではなく、運転手がマスクの着用を利用者にお願いすることを基本としていて、運転手だけでなく次に乗車する利用者の感染防止対策になるとして、これら10の事業者の申請を認可しました。 背景には、酒に酔ってマスクをつけずに大声で話す利用者がいて、運転手が不安を
来月から始まる幼児教育と保育の無償化に便乗し、認可外の保育施設で補助金を必要以上に得ようと理由なく利用料を値上げしたとみられる事例が複数確認され、厚生労働省は、あってはならないとして全国の自治体に対し、同様の事例がないか確認するよう指示しました。 幼児教育と保育の無償化は、消費税率の引き上げによる税金の増収分を使って来月から始まり、認可外の保育施設については、月額３万7000円を上限に利用料が補助されることになっています。 厚生労働省が都道府県などを通じて調べたところ、ことし４月以降無償化のための補助金を必要以上に得ようと理由なく利用料を値上げしているとみられる事例が全国で複数あったということです。 具体的には無償化の対象となる３歳以上の子どもだけ保育料を引き上げたケースや、補助される上限の３万7000円ぎりぎりまで値上げしたうえで、別に給食費を徴収するケースなどがあったということです。
フルスクラッチして理解するOpenID Connect (1) 認可エンドポイント編 - エムスリーテックブログ
こんにちは。デジカルチームの末永(asmsuechan)です。 この記事では、OpenID Connect の ID Provider を標準ライブラリ縛りでフルスクラッチすることで OpenID Connect の仕様を理解することを目指します。実装言語は TypeScript です。 記事のボリュームを減らすため、OpenID Connect の全ての仕様を網羅した実装はせず、よく使われる一部の仕様のみをピックアップして実装します。この記事は全4回中の第1回となります。 なお、ここで実装する ID Provider は弊社内で使われているものではなく、筆者が趣味として作ったものです。ですので本番環境で使用されることを想定したものではありません。なんなら私は ID Provider を運用する仕事もしておりません。 1 OAuth 2.0 と OpenID Connect 1.1 用語の
oauth2とは何か？認証と認可の違い。
あぁ、しくじった。毎日書こうとしたら休みの日である事を完全に忘れてゲームばかりした結果 0時を回って書いてしまっている。 しかも今回の内容が多分長くなりそうだから既に明日やる口実を作って明日作成しようとしている。 あぁ、憂鬱だ。 そんな始まり方のoauth 最近でこそoauth認証って普及されてますけど、 最初見た時、？？？ってなりませんでしたか？ 僕は謎過ぎて良くわからなかったから、こんなのやらないと思ってました。 が、、、今になってみるとあまりにも便利が故に もはや、Googleサインインとかappleサインインが無いと嫌ですもんね。 おいおいおい、入れておけや。と。。。 それだけ楽にしてくれた認証機能ですが、 実は、認証機能以外にも認可という部分もあるので 今日はその辺を自分の備忘録的に書いていこうと思っています。 参考にしたもの まず先に参考にした動画を貼ります。 ざっくりと簡単に
ZEN大学（仮称・設置認可申請中）
（仮称） （設置認可申請中）ZEN大学（仮称）は設置認可申請中のため、 当サイトに掲載している内容は今後変更の可能性があります。
JJUC CCC 2020 Fall の登壇資料です。 https://confengine.com/jjug-ccc-2020-fall/schedule/rich#session-28680-info keyword - BaaS ( Banking as a Service ) - Keycloak - OpenID Connect / OAuth 2.0 - Java / Spring Boot
転倒事故経験者が電動キックボード認可に思う、『縦回転の転倒』をするキックボードは速度厳禁の乗り物だという話｜CDBと七紙草子
転倒事故経験者が電動キックボード認可に思う、『縦回転の転倒』をするキックボードは速度厳禁の乗り物だという話 別に認可に反対ではないです。子どもも含め、多くの人が利用しているのは知っています。でも、2020年の1月にどえらい転倒をしていまだに傷跡が残る者として、キックボードのコケ方はちょっとヤバいということを書いておきたいのです。まぎらわしいですが、これは電動ではない、普通のキックボードで転んだ体験記です。 （電動でない普通の）キックボードを買ったのは、通勤に使おうかなと思ったからでした。たためば持ち運べるキックボードは、自転車のような駐輪場もいらず、すごく便利に思えたのです。実際買って乗ってみるととても軽快で楽しく、しばらくはあちこち乗り回していました。 しかしある時、何もないはずの舗装された道路をシャーと飛ばしていた時です。突然ズバーン！と両足払いをくらったように全身が前に飛び出し、アス
「認証は OIDC 等のデファクトに乗っておけ」 というのはわかりました。ではその次。認証した後です。 残念ながらアクセス制御の枠組みにはデファクトがありません。 自分で設計するしかないのです。 しかし、我々は漠然と車輪の再発明を続ければいいのでしょうか。アクセス制御にスタンダードが無いなら無いなりに、 どのようにアクセス制御機構を整備すればいいのか？その考え方を整理していきましょう。Read less
ritou です。 これで話しました。 pwanight.connpass.com 発表資料と発表内容を公開します。 発表資料 speakerdeck.com 発表内容 台本チラ見しながら話したので実際にはこのとおりになってなかった部分もあります。 今日は、パスキーについて話します。 細かい自己紹介は省略します。 色々宣伝したいものがありますがブログに書きます。 今日の内容ですが、初めにパスキーの概要についてざっと触れます。 続いてWebアプリケーションにパスキーを導入するとなった場合にどこから手をつけるべきかというところに触れた後、一番の悩みどころになりそうなログインのUI/UXについて紹介します。 概要からいきましょう。 パスキーの紹介記事もたくさん出ているので要点だけまとめます。 パスキーとは「パスワードが不要な認証方式」であり、それを支える仕様はFIDOアライアンスとW3Cにより策
はじめに OAuth 2.0 のフローをシーケンス図で説明したWeb上の記事や書籍を何度か見かけたことがありますが、 フローの概要に加え、クライアントや認可サーバー側でどういったパラメータを元に何を検証しているのかも一連のフローとして理解したかった RFC 7636 Proof Key for Code Exchange (PKCE) も含めた流れを整理したかった というモチベーションがあり、自分でシーケンス図を書きながら流れを整理してみた、という趣旨です。 記事の前提や注意事項 OAuth 2.0 の各種フローのうち、認可コードフローのみ取り上げています 認可コードフローとはなにか、PKCE とはなにかという説明は割愛しています 概要について、個人的にはこちらの動画が非常にわかりやすかったです: OAuth & OIDC 入門編 by #authlete - YouTube 認可コードフ
インターネット広告配信大手のLINEヤフーは2023年上半期、ネット広告の表現や画像が不適切だとして認可しなかったアカウントの数が3900件余りに上ったと発表し、中でも、消費者を不利益な判断に誘導する「ダークパターン」と呼ばれる手法などが増加しているとしています。 LINEヤフーは配信しているインターネット広告について、独自の基準で審査し、誤解を招くような表現や強い不快感を与えるなど、不適切なものは広告主の事業者のアカウントも含めて停止しています。 LINEヤフーによりますと、2023年上半期に認可しなかったり、停止したりしたアカウントは3914件に上り、去年の下半期に比べておよそ100件増えたということです。 このうち、 ▽長く販売しているにもかかわらず、「今だけ安い」などとうたい、購入を急がせるなど、消費者を不利な判断に誘導する「ダークパターン」と呼ばれるデザインなどを伴う広告や、 ▽
Goの初心者から上級者までが1年間の学びを共有する勉強会、「GeekGig #1 ～Goと私の一年～」。ここで株式会社Showcase Gigの高橋氏が登壇。マイクロサービスセキュリティの難しい点と、認証認可の実施方法を紹介します。 自己紹介 高橋建太氏（以下:高橋）：「認証認可とGo」について説明します。まず自己紹介です。現在Showcase GigのPlatformチームに所属しています。主に認証認可の機能を担当しています。高橋建太です。 週1回会社でGoの知見を共有したり、ドキュメントを読んだり、Goについてみんなで話す緩い勉強会を主催で開催しています。もし合同で勉強会やりたい方がいれば、気軽に連絡してください。ぜひやりましょう。 「O:der」について まず前提知識として、「O:derとは？」について、あらためて説明します。ちょっと内部寄りな説明となり、実際のものは若干スライドの図
はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの村上 @0x003f です。 本稿では、Webアプリケーション上で実装される「認可制御」で気をつけなければいけない「仕様の中で起きうる脆弱性」とその対策について解説していきます。 どういったアプリケーションであれ認可制御は何らかの形で行われているでしょう。今回は認可制御について不適切な設計・実装を行うとどういった脆弱性が起こりうるのかということを解説できればと思っています。 昨今は特に機密性の高いデータを扱うWebサービスも増えており、その対策の重要性は増しています。Flatt Securityは専門家の視点でセキュリティリスクを洗い出す診断サービスを提供しておりますので、興味のある方は是非あわせて事例インタビューもご覧ください。 はじめに 想定アプリケーション セキュリティ観点と対策 観点1: 権限を持たな
社内勉強会での発表資料です。
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microservices における認証と認可の設計パターン
小野美由紀 on Twitter: "昨日まで絶賛保活してたんですが、かの「保育園落ちた日本◯ね」はどうやらうちの区だったらしく、6年間で認可保育所が90園近く増えたおかげで楽勝で預け先見つかりました。声を上げてくれた先人に感謝しかないし、どんな小さな事でも主張すれば社会が大きく動く可能性はあるんだなって感動してる"
グルグル巻きの虐待が日常だった…宇都宮市認可外保育施設乳児死亡事件の悲劇（猪熊 弘子）
幸福の科学大設置、認可を諮問 文科相、21年度開学予定 ｜ 共同通信
認証と認可と課金とコアドメインを分離したシステムは勝てるという話 - まっちゅーのチラ裏
OAuth2の次に来ると言われる認可プロトコルGNAPとはなにか | メルカリエンジニアリング
癌患者から言いたいこと「効果があると言われる食品や無認可治療を勧める人、その責任は取れますか？」
東京23区の認可保育所 0歳児は半数超が定員割れ NHK調査 | NHK
認可のアーキテクチャに関する考察（Authorization Academy IIを読んで）
よりよくわかる認証と認可 | DevelopersIO
OAuthにおける認可コード横取り攻撃とその対策
OAuth 2.0 の勉強のために認可サーバーを自作する - Qiita
Laravel の認証・認可パッケージが多すぎてわけわからんので図にまとめた - Qiita
待機児童問題を解決するには認可保育園をなくせばいいという目から鱗な話
タクシー乗車 マスク着用拒否は断ります 事業者の申請を国認可 | NHKニュース
無償化に便乗 認可外の保育施設で理由なく利用料値上げ | NHKニュース
認証・認可基盤に Keycloak を使って開発生産性を上げた話
認証の標準的な方法は分かった。では認可はどう管理するんだい？ #cmdevio
PWA Night vol.57 ～認証・認可〜 にてパスキーの話をしました - r-weblife
OAuth 2.0 認可コードフロー+PKCE をシーケンス図で理解する
LINEヤフー 不認可のネット広告に「ダークパターン」増加 | NHK
マイクロサービスセキュリティの「7つの難しさ」とその対応策 Open ID ConnectとSDKの実装で認証認可の安全性を担保
Webサービスの認可制御の不備によって起こる仕様の脆弱性と対策 - Flatt Security Blog
認証認可の情報の追い方みたいな（2020/01/10 FFTT#381）