• はてなブックマーク
  • テクノロジー
  • 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる
  • Twitterでシェア
  • Facebookでシェア

単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる

テクノロジー カテゴリーの変更を依頼 記事元:www.sakimura.org
適切な情報に変更
952 usersがブックマーク コメント103

    記事へのコメント103件

    • 注目コメント
    • 新着コメント
    mattarin
    mattarin ここで問題とされているのはclient-sideフロー。server-sideフローは無関係。

    2012/02/03 リンク

    その他
    mizchi
    mizchi 結局信頼できる相手のみ許可しましょうって話に尽きる気が

    2012/02/03 リンク

    その他
    Kmusiclife
    Kmusiclife 大げさすぎる気もするけど。

    2012/02/03 リンク

    その他
    MinazukiBakera
    MinazukiBakera 何も考えずにOAuth 2.0 を認証に使うと駄目という話。基本的に認可用のプロトコルなので、何も考えずに認証に使うとまずいということですね。

    2012/02/03 リンク

    その他
    kappaseijin
    kappaseijin 死んだと思っていたOpenIDが盛り返しているのはこれが理由なのね。OAuthは認証ではなく許可のプロトコル。覚えた。

    2012/10/29 リンク

    その他
    inulab
    inulab 写真でかい

    2012/02/03 リンク

    その他
    isrc
    isrc これは、OAuth の問題ではありません。OAuthを単体で認証の代わりに使っている方が悪い。治すってことは、OpenID Connect 対応するってことです

    2019/12/04 リンク

    その他
    ana_ake
    ana_ake “OAuth は Authorization Delegation Protocol = 認可をデリゲーションするためのプロトコルであって、ユーザ認証のためのプロトコルではないからです”

    2018/09/01 リンク

    その他
    nitamago_monster
    nitamago_monster “signed_request”

    2017/08/17 リンク

    その他
    yutaka_maruoka
    yutaka_maruoka OAuthを自システムの認証に使っては行けない理由としての考慮点

    2017/07/22 リンク

    その他
    pmint
    pmint 詐欺っぽい説明。パスワードを使う場合と同様。ただ成りすましを自動化しやすいってだけ。「怪しいOAuthは切りましょう」という話。/ 問題はユーザーの知らないサイトSite_Bが悪者にされる点か。

    2017/06/03 リンク

    その他
    b-wind
    b-wind “ちゃんと治してくださいね、皆さん。治すってことは、OpenID Connect 対応するってことですよ！”

    2017/04/22 リンク

    その他
    bouzuya
    bouzuya OpenID Connect における client secret & authenticate code -> access token の処理が足りない？？

    2017/02/13 リンク

    その他
    Itisango
    Itisango #OAuth #OpenID

    2017/02/12 リンク

    その他
    otiai10
    otiai10 あとでちゃんと読む

    2016/10/03 リンク

    その他
    tyru
    tyru 「これは、OAuth の問題ではありません」

    2016/09/04 リンク

    その他
    lxyuma
    lxyuma oauth2 認証に使う clientで他のAccess Token渡してなりすましできる openid connect使わないといけない(Facebookも同じ仕組みAPIある)

    2015/10/17 リンク

    その他
    rochefort
    rochefort client side flow // 治すってことは、OpenID Connect 対応するってことですよ！

    2015/05/25 リンク

    その他
    le_penseur
    le_penseur via Pocket March 27, 2015 at 07:09PM

    2015/03/28 リンク

    その他
    forewind
    forewind Now browsing：単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる | .Nat Zone - Identity, Privacy and Music...

    2014/06/18 リンク

    その他
    Kureduki_Maari
    Kureduki_Maari .｡oO(此う見るとOpenID Connectのprompt=noneは自然な発想っぽい。) 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる

    2014/04/21 リンク

    その他
    willnet
    willnet 最近openidを見かけなくなって、OAuthがよく使われてる気がするのでOAuthってopenidの上位互換にでもなってるのかな…なんて思ってたけどやっぱり違った

    2013/12/29 リンク

    その他
    ymkjp
    ymkjp 説明用資料に使える (oauth client)

    2013/10/30 リンク

    その他
    witchstyle
    witchstyle (2012/02/02のエントリ) 宛先の書いてない合鍵渡しちゃって、それを持っている人は誰でも私の分身ですと言っている。Facebook もこのことは気づいていて、signed_request というAPIを持っています。

    2013/09/10 リンク

    その他
    desing
    desing API提供者のリソースへのアクセスが最小限に制限さていれば認証に使っても問題はない

    2013/06/26 リンク

    その他
    bopperjp
    bopperjp OAuthを認証に使うなとの指摘

    2013/04/24 リンク

    その他
    velvet__1113
    velvet__1113 []

    2013/03/29 リンク

    その他
    kappaseijin
    kappaseijin 死んだと思っていたOpenIDが盛り返しているのはこれが理由なのね。OAuthは認証ではなく許可のプロトコル。覚えた。

    2012/10/29 リンク

    その他
    satojkovic
    satojkovic おーおーす…

    2012/10/15 リンク

    その他
    kochizufan
    kochizufan ほええ知らんかった

    2012/10/07 リンク

    その他
    guangda
    guangda OAuth1.0a は署名の仕組みがあるのでこの問題は回避か

    2012/09/21 リンク

    その他
    koroharo
    koroharo 分かるようでよく分からん説明。原文読めということか。Implicit Flow限定の話なのか？

    2012/08/29 リンク

    その他
    yojik
    yojik OAuthのアクセストークンは「誰のもの」という情報が無い。OAuthは「認可」のための仕組みであって「認証」の仕組みではない

    2012/07/31 リンク

    その他
    vvakame
    vvakame ぐぬぬ

    2012/07/02 リンク

    その他
    kattton
    kattton OAuth2.0のインプリシットフローを認証として使うとアクセストークンを抜かれるので危ないよというお話。少なくともサーバサイドWebアプリケーションフローなら問題ない。

    2012/06/27 リンク

    その他
    aretokore
    aretokore >> 単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる : .Nat Zone

    2012/06/17 リンク

    その他

    注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

    アプリのスクリーンショット
    いまの話題をアプリでチェック！
    • バナー広告なし
    • ミュート機能あり
    • ダークモード搭載
    アプリをダウンロード

    関連記事

    単なる OAuth 2.0 を認証に使うと、車が通れるほどのどでかいセキュリティー・ホールができる

    In some of the feedback I have gotten on the openID Connect spec, the statement is made that Conn...

    ブックマークしたユーザー

    • wahgszacr2023/08/21 wahgszacr
    • Cetus2023/08/21 Cetus
    • door-s-dev2023/08/21 door-s-dev
    • jakalada2023/02/10 jakalada
    • fumikony2022/12/23 fumikony
    • hitotakuchan2022/10/03 hitotakuchan
    • minowith2022/09/20 minowith
    • nna7742022/09/20 nna774
    • tkrd2022/09/20 tkrd
    • shining-corn2022/09/20 shining-corn
    • stts2022/09/19 stts
    • shonansurvivors2022/09/19 shonansurvivors
    • oupa2022/09/06 oupa
    • shiba6v2022/04/17 shiba6v
    • pere_ponta2022/01/24 pere_ponta
    • mkusaka2021/10/18 mkusaka
    • sh2ysd2020/12/24 sh2ysd
    • hdkINO332020/11/13 hdkINO33
    すべてのユーザーの
    詳細を表示します

    同じサイトの新着

    同じサイトの新着をもっと読む

    いま人気の記事

    いま人気の記事をもっと読む

    いま人気の記事 - テクノロジー

    いま人気の記事 - テクノロジーをもっと読む

    新着記事 - テクノロジー

    新着記事 - テクノロジーをもっと読む

    同時期にブックマークされた記事

    はてなブックマーク

    公式Twitter

    はてなのサービス

    • App Storeからダウンロード
    • Google Playで手に入れよう
    Copyright © 2005-2024 Hatena. All Rights Reserved.