[B! oauth] shodaiのブックマーク

ディスカッションペーパーシリーズ（日本語版） 2017-J-16 要約 OAuth2.0に対する脅威と対策：金融オープンAPIの一段の有効活用に向けて

中村啓佑金融関連分野でオープンAPI（Application Programming Interface）の利用促進に向けた動きが加速する中、認可プロトコルの一種であるOAuth2.0に熱い視線が向けられている。しかし、OAuth2.0は、大枠としてのフレームワークと組み合わされるオプション群を規定したものに過ぎず、実装を誤ると、さまざまな脅威に対して脆弱になることが知られている。本稿では、先行研究を参照しつつ、OAuth2.0に起因する典型的な脆弱性を紹介するとともに、現時点でとりうるセキュリティ対策についても解説する。キーワード：オープンAPI、セキュリティ、認可プロトコル、FinTech、OAuth2.0 掲載論文等の内容や意見は、執筆者個人に属し、日本銀行あるいは金融研究所の公式見解を示すものではありません。 Copyright © 2017 Bank of Japan All

shodai 2018/06/08

oauth

リンク

OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る

はじめにこの文書では、OAuth 2.0 + OpenID Connect サーバーをゼロから一人で実装した開発者（私）が、得られた知見について書いていきます。基本的には「実装時に考慮すべき点」を延々と述べることになります。そのため、この文書は、「素早く OAuth 2.0 + OpenID Connect サーバーを立てる方法」を探している方が読む類のものではありません。そのような情報をお求めの方は、「Authlete を使って超高速で OAuth 2.0 & Web API サーバーを立てる」を参照してください。そちらには、「何もない状態から認可サーバーとリソースサーバーを立て、アクセストークンの発行を受けて Web API をたたいて結果を得る」という作業を、所要時間 5 ～ 10 分でおこなう方法が紹介されています。文書のバイアスについて私は、OAuth 2.0 + Ope

shodai 2018/06/07

リンク

図解：OAuth 2.0に潜む「5つの脆弱性」と解決法

SNSなど複数のWebサービスが連携して動くサービスは広く使われている。連携に必要不可欠なのが、アクセス権限をセキュアに受け渡すための「OAuth 2.0」といった仕組みだ。今回はOAuth 2.0に関連する代表的な5つの脆弱（ぜいじゃく）性と攻撃手法、対策についてシーケンス図を使って解説する。 OpenID Foundation Japan Evangelistのritouです。連載第1回では、RFCが公開されてから5年が経過した「OAuth 2.0」を振り返り、3つのユースケースを通じて、アクセス権限を受け渡す仕組みを紹介しました。OAuth 2.0はさまざまなユースケースに適用できます。その際、開発者はアプリケーションが動作する環境の特性を考慮しながら、仕様で定義されている処理を実装する必要があります。今回は、脆弱（ぜいじゃく）性を作り込まないOAuth 2.0の実装手法を紹介し