terazzoのブックマーク - はてなブックマーク

OpenID Connectはそんなに大変かね？ - OAuth.jp

OAuth 2.0 + OpenID Connect のフルスクラッチ実装者が知見を語る – Qiita ってのになんかフォローアップしろよ的なのが来たので。ざっと読んだ感想としては、「OpenID Connect の OPTIONAL な機能全部実装したら、そら大変ですね」という感じ。（Authlete に関しては、OpenAM みたいな感じで使われる、OpenAM よりはるかに簡単に使える代わりに有料の何かなんだろうな、というイメージです） OAuth は必要なのか？ Basic 認証は死んだ。ユーザー単位での API のアクセスコントロールがしたいです。っていう前提で話すると、OAuth 以外まともな選択肢が無いんじゃないでしょうか。 OAuth の各種 Extension (RFC 6749 & 6750 以外にいろいろある) に関しては、適宜必要なのを実装すればいいんだけど

terazzo 2016/02/24

OpenID
OAuth

リンク

OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp

訂正リダイレクト時の fragment の扱いを勘違いしていたため、本記事全体訂正します。細かく訂正いれてると分けわかんなくなってきたんで、新しい記事書きました。ゴールデンウィークまっただなかに Twitter で海外の ID 厨から袋だたきにあってたので、もうこの問題は片付いただろうとすっかり油断してた「Covert Redirect」の件ですが、日本でもゴールデンウィーク明けてバズりだしたので、一旦問題を整理した方がよさそうですね。事の発端 Wang Jing さんていうシンガポールの大学院生が、こんなサイトを公開すると共に CNet はじめ各種メディアが取り上げたのが、バズりだした発端のようです。前提知識 OAuth 2.0 や OpenID Connect だけでなく、OAuth 1.0 や OpenID 1.0/2.0 や SAML なんかでも、2つのサービスの間でリダ

terazzo 2014/05/07

あしあと帳は作られてしまう。

OpenID

リンク

Y!J API が止まった日 - GlobalSign の Root 証明書切れから学んだこと - OAuth.jp

昨日あたりから、Yahoo! Wallet や YConnect といった、Yahoo! Japan の API にアクセスできなくなったって人、ちらほらいるかもしれませんね。僕もちょっとそういうケース見かけました。なんか Yahoo! Japan がポカしちゃったの？とか、まぁ昨日まで健康に動いてたシステムが突然 Yahoo! Japan の API にアクセスできなくなっちゃったんだし、そらそう思うのもムリはない。が、今回のケース、Yahoo! は全く悪くない！プライバシーフリークはどうかと思うがな！！では早速、今回起こったことを、振り返ってみましょう。 Yahoo! API にアクセスできなくなった Yahoo! Japan は、yahoo.co.jp 以外にも、CDN 用や API 用など、用途ごとにいくつかのドメインを持ってます。今回止まったのは、その中の API 用