OAuth 2.0 におけるアクセストークン実装方法の検討 - 理系学生日記
OAuth 2.0 のプロバイダにおいて、アクセストークンをどのようにシステムで保持するのかっていうところを考えたり調べたりしていました。 前提として、OAuth のトークンには以下の 2 種類の表現方法があります (RFC 6819 3.1. Tokens) Handle "opaque" トークンとも呼ばれるトークンの表現方法です。 認可サーバー内部のデータ実体に対する単なる参照として表現され、トークンの文字列自体に意味はありません。トークンから参照を得るためには、トークンをキーにデータ実体を探して、必要な情報 (DB 上とかにある有効期限とか) を手に入れるという形になります。 Assertion トークン自体に意味を持たせるトークンの表現方法です。 トークンから直接、必要な情報 (有効期限とか) を取得できます。 アクセストークンに焦点を合わせると、トークンを発行するのは認可サーバ
ブラウザー・WebViewが利用できないデバイスの課題とOAuth 2.0 Device Flow
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、ID連携黒帯 倉林 雅（@kura_lab）です。 昨年の「知っておきたい7つのID連携実装パターン」に続き今年も23日を担当することになりました！祝日も記事を投稿いたします！ 今年のAdventCalendarも「Yahoo! JAPANを支える技術」をテーマとしていますが、今回は少し先の未来をみすえて今後Yahoo! JAPANを支えることになるかもしれない新しい技術についてご紹介しようと思います。 すでにPCやスマホ上で認証を行いサービスを利用することは普通になりつつありますが、今後はテレビやゲーム機、ビデオカメラなどのデバイスでも認証や決済を利用したサービスが増えてくると思われます。Identity Provi
GitHub - doorkeeper-gem/doorkeeper: Doorkeeper is an OAuth 2 provider for Ruby on Rails / Grape.
Doorkeeper — awesome OAuth 2 provider for your Rails / Grape app. Doorkeeper is a gem (Rails engine) that makes it easy to introduce OAuth 2 provider functionality to your Ruby on Rails or Grape application. Supported features: The OAuth 2.0 Authorization Framework Authorization Code Flow Access Token Scopes Refresh token Implicit grant Resource Owner Password Credentials Client Credentials OAuth
OAuth that just works.
Integrate 100+ OAuth providers in minutes. Setup your keys, install oauth.js, and you are ready to play !
OAuth 2 Simplified
This post describes OAuth 2.0 in a simplified format to help developers and service providers implement the protocol. The OAuth 2 spec can be a bit confusing to read, so I've written this post to help describe the terminology in a simplified format. The core spec leaves many decisions up to the implementer, often based on security tradeoffs of the implementation. Instead of describing all possible
2-legged vs. 3-legged OAuth - cakebaker
From emails I receive it seems like there is a bit of confusion about what the terms 2-legged OAuth and 3-legged OAuth mean. I hope I can clear up this confusion with this article (and don’t contribute more to the confusion…). In short, they describe two different usage scenarios of OAuth involving two respectively three parties. 3-legged OAuth describes the scenario for which OAuth was originally
OAuthの仕様について 〜署名？それっておいしいの？〜
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、IDプラットフォーム技術の近藤裕介です。 OAuthを使ったアプリを実装している方の多くは特にパラメータの署名まわりの部分で少し詰まることが多いように見受けられます。署名はOAuthのキモとなる仕組みなので今回はこれに関する記事を書いてみようと思います。 署名の仕組み OAuth（以後OAuth Core）の仕様では、一般的な署名の仕組みを使ってリクエストの内容の改ざんや送信者のなりすましをされにくくしています。いまのところ以下の３つの署名方式に対応しています。 HMAC-SHA1 Service Provider(以後SP)側でConsumerkeyとSecret(秘密鍵)のペアをConsumerに発行し、APIリク
特定条件下におけるOAuth 2.0の認可応答を奪取されるリスクとその対策について - r-weblife
こんにちは、ritouです。 やっと”なんちゃらAdvent Calendar”がおさまり、これからは”一年を振り返って(遠い目”みたいな記事が増えることでしょう。その間のタイミングを狙います。 何の話か mixi Platformが導入したっていうOAuth 2.0のCSRF対策拡張を使ってみた - r-weblife の最後にちょっと書いたんですけど、モバイルアプリでOAuth 2.0を使う際にやっかいな問題が残ってました。 今回は、「ネイティブアプリケーションからOAuth 2.0を使うとき、特定の条件下において、正規のClientではない悪意のある第3者に認可応答を持って行かれて、その結果Access Tokenを取得できちゃうリスクがあるよね。どうしようか。」っていう話です。 条件っていうのは、 OAuth 2.0のClientはネイティブアプリケーションであり、Client C
OAuth as Single Sign On
Resources What is Heroku? Help Customers Careers Events Podcasts Compliance Center Heroku is for Developers CTOs Team Collaboration Startups Enterprises Agencies Students See More Languages Node.js Ruby Java PHP Python Go Scala Clojure See More Latest News from the Heroku Blog Heroku Blog Find out what's new with Heroku on our blog. More news View all blog posts Today, we're announcing the release
OpenID Connectで異なるドメイン間のログインセッション不整合を防ぐ方法 - r-weblife
おはようございます, ritouです. 今日はOpenID ConnectのSession Managementについてざっくり紹介します. まとめ OpenID ConnectでOP/RP間でUserAgent上のセッションが同期される(同じユーザーがログイン状態となる)タイミングはAuthorization Responseが処理された時のみ RP上で2つのiframeを表示しRP->OPへセッション確認用のpostMessageを送り続け, ユーザーがログアウトしたら”changed”を返して状態変更を把握 RPがログアウトした時にOPにリダイレクトさせる方法も定義されてる これでだいたい把握できた人は, 仕様をどうぞ. 仕様 : http://openid.net/specs/openid-connect-session-1_0.html もう少し細かく説明します. OpenID
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OAuth Security Topics
Google OAuth with Spring Security as separated Resource Server – Arnold Galovics
Why is a refresh_token not provided by OAuth2 servers responding to a "client_credentials" grant?
https://blogs.oracle.com/OracleIDM/entry/securing_access_with_oauth2_how
An Introduction to OAuth 2
GitHub - heroku/identity: [DEPRECATED] Login and OAuth management service for Heroku![GitHub - heroku/identity: [DEPRECATED] Login and OAuth management service for Heroku](https://cdn-ak-scissors.b.st-hatena.com/image/square/de9410097c72ac842cbaaeac517ac990d85197c5/height=288;version=1;width=512/https%3A%2F%2Favatars.githubusercontent.com%2Fu%2F23211%3Fs%3D400%26v%3D4){kind=avatar}
[WAAD]OAuth で WebAPI を保護する ③
[WAAD]OAuth で WebAPI を保護する ②
[WAAD]OAuth で WebAPI を保護する ①![[WAAD]OAuth で WebAPI を保護する ①](https://cdn-ak-scissors.b.st-hatena.com/image/square/52a71e29d7fda22b9425383af95e041df5b0aa7a/height=288;version=1;width=512/https%3A%2F%2Fblogger.googleusercontent.com%2Fimg%2Fb%2FR29vZ2xl%2FAVvXsEgbvTtw8sykZCbLC3xL9cXAamh0b71NHnsxQU_WoZZdhWGLQs1E6ROsCxp-Z9Eo7TXRk3brTB_saXMNl8NZIcZvStewdJTLAnTzglPRauR7KkLo6d0iReAwJRPcJ2g-fKcVojzRMm8PCug%2Fw1200-h630-p-k-no-nu%2F11.image.png)
icoloma.com - icoloma リソースおよび情報