安全なid連携のハウツー

安全なID連携のハウツー2014/06/05

OpenIDファウンデーション・ジャパン倉林雅

倉林雅（通称: kura） OpenID ファウンデーション・ジャパン

エバンジェリストヤフー株式会社 IDサービスエンジニア

ID厨 @kura_lab

Armour on display in the War Gallery by Royal Armouries

ID・パスワードの管理高コスト

Armour on display in the War Gallery by Royal Armouries

認証はIdPに任せよう！

OAuth・OpenID

Covert Redirect?

Question Mark Block by Jared Cherup

OAuth 2.0 Implicitフロー

Copyright(C) 2014 Yahoo Japan Corporation. All Rights Reserved.Copyright 2013 OpenID Foundation Japan - All Rights Reserved.

Source: developers.facebook.com

User’s Browser

http://developers.facebook.com



Your App




Facebook



アプリ表示





ダイアログ表示



access token 取得





APIリクエスト


Covert Redirect

254/365: X marks the spot by Addison Berry


:




:


悪意あるサーバ



:


Weak Point



:


アプリ表示



:


ダイアログ表示



:


access token 取得



:


access token漏洩



GET /me

User Info

:


Profile API取得


APIの悪用フィッシング

Covert Redirect OAuth/OpenIDの脆弱性？

オープンリダイレクタの脆弱性

Marsmettnn Tallahassee


:


オープンリダイレクタの脆弱性


(090/365) January 22, 2010: Can't stop the music by Jason Alley

Covert Redirect 対策（オープンリダイレクタ対策）

コールバックURLで外部サイトへリダイレクトしないようにする

Web Trend Map 4 (Detail) / 20090914.10D.53870.P1 / SML by See-ming Lee

ID界隈でのトレンド

OpenID Connect

♥OpenID Connect

OAuth 2.0 + Identity Layer


2014.2.25 OpenID Connect 仕様最終版へ!!

Nate and Birthday Cake (2 of 5) by Chris Pencis

ご清聴ありがとうございました

安全なid連携のハウツー

Internet