Amazon Cognitoを使ったユーザの仮登録→本登録の流れ
今回記載した2つのパターンを分けるポイントになったのは、2列目に記載している、仮登録時のパスワードの要否です。 ユーザが自分自身で登録するパターンに記載している、signUp関数を使っても、管理者によるユーザ登録ができなくもないのですが、その際は登録時に設定したパスワードを、別手段（手動のメールなど）でユーザに知らせる必要があり、それは手間だろうということで、今回のパターン分けに至りました。 具体的な流れ・注意事項など それぞれのパターンについて、具体的な流れを記載していきます。前提として、フロントエンドでamplifyを使用できる箇所は積極的に使っています（amplifyのインストール・設定についてはこちら）。 また、今回紹介するのはあくまで上記2パターンの一例であり、もちろんその他の実装パターンもあります。 コードの参考例を記載する箇所は、＜バックエンド＞、＜フロントエンド＞のように、
Auth0で脆弱なWebアプリケーションを作る~設計編~ - Qiita
はじめに 今から1つ大きな脆弱なポイントがあるアプリケーション(フィクション)の設計を紹介します。どこに問題があるか考えながら読んでみいただけると楽しめるかもしれません。 事業会社のCIOとベンダー企業のある話。 注 : この話はフィクションです CIO: 「ウチのECサイトにAuth0を導入しようと思う」 ベンダー: 「Auth0ですか、最近Oktaに買収されたIDaaSですよね」 CIO: 「そーそー、これを機にセキュリティリスクを転嫁してしまった方がええんやと思う。ということで認証システムのリプレースよろしく」 ベンダー: 「はい!!!」 数ヶ月後 ベンダー: できました！ CIO: 「おー、じゃあテキトーにシーケンス図でも見せて」 ベンダー: 「はい、ではまずログインのところから。現在SPAで構築されているWebアプリケーションを認可コードフロー+PKCEで認証しトークンを取得しま
【Rspec・devise token auth】Rails APIアプリのRspecテストでユーザログイン・認証を実装する方法 - Qiita
【Rspec・devise token auth】Rails APIアプリのRspecテストでユーザログイン・認証を実装する方法RailsRSpecdevisedevise_token_auth Rspecテスト内でdevise token authをつかってユーザログイン・認証するのはどうするんだ！？ Deviseのやり方はたくさんあるのですがdevise token authは探すのに苦労したので、私と同じ状況に陥っている方のためにこの記事を残しておきます。 やりたいこと 下記の様に、BooksControllerにcreateメソッドがあり、createメソッドを実行するにはユーザが認証が必須（authenticate_user!）だとします。 class BooksController < ApplicationController before_action :authentic
図解 X.509 証明書 - Qiita
はじめに X.509 証明書について解説します。(English version is here → "Illustrated X.509 Certificate") ※ この記事は 2020 年 7 月 1 日にオンラインで開催された Authlete 社主催の『OAuth/OIDC 勉強会【クライアント認証編】』の一部を文書化したものです。勉強会の動画は公開しており、X.509 証明書については『#4 X.509 証明書（１）』と『#5 X.509 証明書（２）』で解説しているので、動画解説のほうがお好みであればそちらをご参照ください。 1. デジタル署名（前提知識） この記事を読んでいただくにあたり、デジタル署名に関する知識が必要となります。つまり、「秘密鍵を用いて生成された署名を公開鍵で検証することにより」、「対象データが改竄されていないこと」や「秘密鍵の保持者が確かに署名したこと
FirebaseUI でログイン機能を簡単に Android アプリに追加する
フィードバックを送信 FirebaseUI でログイン機能を簡単に Android アプリに追加する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 FirebaseUI は Firebase Authentication SDK の上に構築されるライブラリで、アプリにドロップイン UI フローを追加できます。FirebaseUI には次の利点があります。 複数のプロバイダに対応 - メール / パスワード、メールリンク、電話認証、Google ログイン、Facebook ログイン、Twitter ログイン、GitHub ログインのログインフローに対応しています。 アカウント管理 - アカウントの作成やパスワードのリセットなどのアカウント管理タスクを処理できます。 アカウントのリンク - ID プロバイダ間でユーザー アカウントを安全にリンクできます。 匿
Firestoreセキュリティルールで認証有無によってアクセス権限を制御する - Qiita
0. 始めに (本記事は、拙作 Firestoreセキュリティルールを設定してみる の続きになっています！) 今回は認証情報を絡めてたルールを設定してみます！ ０．Firestoreセキュリティルールを読み解く ← 前回 １．Firestoreセキュリティルールを設定してみる ← 前回 ２．Firestoreセキュリティルールで認証有無によってアクセス権限を制御する ← 今回★ 1. 準備 毎度のことながら、以下が作業環境です1。 OS : Windows10 Home Node : v11.13.0 yarn : v1.22.10 事前にFirebaseコンソールからプロジェクトの作成も行います。 環境の用意やFirebaseプロジェクト作成については述べませんが、詳しくはこちらを(宣伝)。 Firebaseでデプロイしよう！ 2. モデルとなるサイトの用意 2.1 認証を行うフォームと
0から始める Firestore + Firebase Authentication - Qiita
DMM.com Advent Calendar 2018 12日目の記事です。 GitHub : https://github.com/karayok/nuxt-firestore-sample-app 内容に間違い等あれば、 Pull Request / 編集リクエスト等いただけると幸いです。 よろしくお願い致します。 はじめに 本記事では簡単なブログライクなアプリケーションを例に、 Firestore + Firebase Authentication を使う際の基礎部分を説明します。 特徴 ログインユーザのみが記事を作成できる 記事の作成者のみが記事の削除・更新を行える ログイン・非ログイン問わず、すべてのユーザはすべての記事を閲覧できる Firestore について Cloud Firestore は GCP(Google Cloud Platform)のサービスの1つで、クライア
Firebase Authentication
plat_ios plat_android plat_web plat_flutter plat_cpp plat_unity plat_node plat_java ほとんどのアプリでは、ユーザー ID を識別する必要があります。アプリでユーザー ID を識別することにより、ユーザーデータをクラウドに安全に保存したり、ユーザーのすべてのデバイスで、カスタマイズされた同じ体験を提供したりできるようになります。 Firebase Authentication には、バックエンド サービス、使いやすい SDK、アプリでのユーザー認証に使用できる UI ライブラリが用意されています。Firebase Authentication では、パスワード、電話番号、一般的なフェデレーション ID プロバイダ（Google、Facebook、Twitter）などを使用した認証を行うことができます。 Fir
ユーザーを認証するための Firebase の使用 | OpenAPI を使用した Cloud Endpoints | Google Cloud
フィードバックを送信 ユーザーを認証するための Firebase の使用 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。 このページでは、Cloud Endpoints でユーザー認証をサポートする方法について説明します。 ユーザーを認証するには、クライアント アプリケーションが HTTP リクエストの承認ヘッダー内の JSON Web Token（JWT）をバックエンド API に送信する必要があります。API に代わって Extensible Service Proxy（ESP）がトークンを検証するため、API にコードを追加して認証を処理する必要はありません。ただし、選択した特定の認証方式をサポートするように OpenAPI ドキュメントを構成する必要はあります。 ESP では、JWT の発行者の公開鍵を使用して、パフォーマンスの高い方法で JWT
図解 OpenID Connect による ID 連携 - Qiita
ID 連携フローの説明 1 ウェブブラウザを使い、ウェブサービスのログインページにアクセスします。 2 ウェブサービスはログインページを生成し、ウェブブラウザに返します。ウェブサービスが外部のアイデンティティプロバイダ（IdP）との ID 連携をサポートしていれば、ログインページ内に ID 連携を開始するためのリンクが埋め込まれます。 3 ID 連携を開始するためのリンクをクリックします。 4 ID 連携開始の要望を受けたウェブサービスは、対象となる IdP への認証リクエスト（OpenID Connect Core 1.0 Section 3.1.2.1. Authentication Request）を作成します。 認証リクエストの形式は、リクエストパラメーター群を含めた、IdP の認可エンドポイント（RFC 6749 Section 3.1. Authorization Endpoi
IPA ISEC セキュア・プログラミング講座：Webアプリケーション編 第2章 アクセス制御
複数のWebアプリケーションがユーザ認証の機能を外部に一元化することによって、ユーザがパスワードを覚える負担を低減することができる。また、Webアプリケーションのオーナは、パーソナル情報の管理の負担とリスクを外部に転嫁することができる。 外部のユーザ認証サービスと連係動作するしくみ パスワードを用いたユーザ認証機能として、Webアプリケーションから利用可能な外部サービスが、2005年頃から提供されるようになってきた。 参考資料： 『アイデンティティ管理技術解説』 ユーザによるアクセス要求を遮断できるコードを開発して、そこから外部のユーザ認証サービスとアクセス認可判定の処理を順に呼び出すようにする。この要求を遮断できるコードは、PEP（Policy Enforcement Point）の役割を果たす。 ユーザ認証の結果をPEPに伝達するしくみとしては、「HTTPリダイレクト」の機能が応用され
[Rails]gem Punditによる権限管理 (認可)
Punditとは PunditとはRubyのgemであり､｢認可｣の仕組みを提供するものです｡ ｢ユーザーによってページの表示の許可・拒否をしたり､表示情報の範囲を変えられるgem｣です｡ Punditはcurrent_user(ログイン中のユーザー)メソッドを扱うので､sorcery gem などが｢認証｣の仕組みありきです｡認可は認証に依存しています｡ 似ているgemでcancancanがありますが､ちょっと違います｡ 認証と認可とは 認証と認可は似ているようで全く別の概念です｡ 認証 Authentication 通信の相手が誰(何)であるかを確認することが｢認証｣ 純粋な認証には｢リソース｣やそれに対する｢権限｣という概念はありません｡ いわゆる｢証明書の確認｣のようなものです｡ マイナンバーカードで身元を確認するようなことです｡ ただ､〇〇さんというのは確認できても､何かが許され
![[Rails]gem Punditによる権限管理 (認可)](https://cdn-ak-scissors.b.st-hatena.com/image/square/a04a6646391a9f5f64cbf6560e76d67c8ef2dad7/height=288;version=1;width=512/https%3A%2F%2Fres.cloudinary.com%2Fzenn%2Fimage%2Fupload%2Fs--sHZ1v5Pe--%2Fc_fit%252Cg_north_west%252Cl_text%3Anotosansjp-medium.otf_55%3A%25255BRails%25255Dgem%252520Pundit%2525E3%252581%2525AB%2525E3%252582%252588%2525E3%252582%25258B%2525E6%2525A8%2525A9%2525E9%252599%252590%2525E7%2525AE%2525A1%2525E7%252590%252586%252520%252528%2525E8%2525AA%25258D%2525E5%25258F%2525AF%252529%252Cw_1010%252Cx_90%252Cy_100%2Fg_south_west%252Cl_text%3Anotosansjp-medium.otf_37%3Acha%252Cx_203%252Cy_121%2Fg_south_west%252Ch_90%252Cl_fetch%3AaHR0cHM6Ly9zdG9yYWdlLmdvb2dsZWFwaXMuY29tL3plbm4tdXNlci11cGxvYWQvYXZhdGFyL2JkY2Y3ZTM3YjIuanBlZw%3D%3D%252Cr_max%252Cw_90%252Cx_87%252Cy_95%2Fv1627283836%2Fdefault%2Fog-base-w1200-v2.png)
FORM認証 - ユーザー認証 - サーブレット入門
次はFORM認証について確認します。FORM認証ではユーザー名とパスワードを入力してもらう画面をダイアログの替わりに自分で作成したHTMLページを指定することができます。 FORM認証の場合はHTTPプロトコルの認証の仕組みを使わずに認証が通った場合はセッションを使って認証が通っているかどうかを管理します。その為、一度成功した認証の有効期限はセッションの有効期限に従いますので注意が必要です。 web.xmlの設定 FORM認証を行う場合には認証方法の設定で<login-config>要素に含まれる<auth-method>要素に「FORM」を指定します。 <login-config> <auth-method>FORM</auth-method> <realm-name>レルム名</realm-name> <form-login-config> <form-login-page>/logi
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
Ruby: 認証gem「Rodauth」README（更新翻訳）｜TechRacho by BPS株式会社
概要 MITライセンスに基いて翻訳・公開します。 リポジトリ: jeremyevans/rodauth: Ruby's Most Advanced Authentication Framework 英文: README.rdoc（3c3aa41） 公式サイト: http://rodauth.jeremyevans.net/ RodauthのREADMEは認証のセキュリティを考えるうえで参考になる情報が多く、ドキュメントの質が非常に高いのが特徴です。大きな概要をまず示し、必要な概念も適宜示しながら、先に進むに連れて詳細に説明するという書き方が見事です。 さらに、READMEから読み取れる筋のよい認証システム設計も参考になると思います。パスワードハッシュの保存場所を完全に隔離した上で可能な限り自由度を高めている点や、機能ごとにカラムを足したり減らしたりするのではなくテーブルを足したり減らしたり
エンジニアなら知っておきたい、絵で見てわかるセキュア通信の基本 - Qiita
TLS 1.3は現在策定中ですが、 前方秘匿性 の問題から RSAのみ を用いた鍵委共有が禁止になる見込みです。(詳細は後述します) HTTPSとは 次に、HTTPSです。 HTTPS - Wikipedia HTTPS（Hypertext Transfer Protocol Secure）は、HTTPによる通信を安全に（セキュアに）行うためのプロトコルおよびURIスキームである。 厳密に言えば、HTTPS自体はプロトコルではなく、SSL/TLSプロトコルによって提供される セキュアな接続の上でHTTP通信を行うこと をHTTPSと呼んでいる。 とのことです。 HTTPの説明を割愛するとすれば、「SSL/TLSでセキュアにHTTPをやる」というだけの説明で済んでしまいます。 最近では個人情報等の観点から全てのサイトをHTTPSにするような動きが見られますが、元々HTTPSが使われやすかった
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
