1. ここがダメだよOAuth認証
@nov

2. よ り
情 に
事 よ び
人 の お
大 愛 ま す
部 割 い
一 れ て
換 さ
置

3. @nov - Nov Matake
OpenID Foundation Japan Evangelist
Idcon Organizer
ID厨
OAuth.jp
OAuthおにーさん
Rubyist
GREE Power Lunch 2013.03

4. 外部IDを受け入れる
セキュリティ上の利点・欠点
GREE Power Lunch 2013.03

5. Passwords Leak
GREE Power Lunch 2013.03

6. Twitter、25万人のパスワードを含む個人情報漏えいの可能性
(ITMedia, 2013.02.02)
使い回しパスワードは特に注意、米Yahoo!でアカウント情報流出
(@IT, 2012.07.13)
LinkedIn、侵入および「一部」ユーザーのパスワード漏洩を認める
(TechCrunch, 2012.06.07)
Facebookのパスワードが1万件以上流出の恐れ、真偽は未確認
(ITPro, 2011.10.20)
GREE Power Lunch 2013.03

7. 池田信夫、自らのメールアカウントを
乗っ取られ今日も見事な醜態を晒す
GREE Power Lunch 2013.03

8. GREE Power Lunch 2013.03

9. GREE Power Lunch 2013.03

10. いやー、馬鹿って
本当に面白いですね。
GREE Power Lunch 2013.03

11. Same password on
Twitter and Facebook?
GREE Power Lunch 2013.03

12. How many sites
are you using?
GREE Power Lunch 2013.03

13. 1 Leak
All Hacked
GREE Power Lunch 2013.03

14. リスクは分散すべきもの
リソースは集中すべきもの
GREE Power Lunch 2013.03

15. パスワードは使い分けるもの
できないならID連携
GREE Power Lunch 2013.03

16. 100 sites 100 different password
100 sites 1 password + 99 OpenID
GREE Power Lunch 2013.03

17. GREE Power Lunch 2013.03

18. GREE Power Lunch 2013.03

19. OAuth認証
「アクセス権限付与 + UserIDを返すAPI」
アクセス権限付与のプロトコル (= OAuth) は標準化
UserID取得APIは各API Providerごとにバラバラ
GREE Power Lunch 2013.03

20. OAuth使って認証するための
RFCなど無い。
GREE Power Lunch 2013.03

21. 単なる OAuth 2.0 を認証に
使うと、車が通れるほどの
どでかいセキュリティー・
ホールができる
GREE Power Lunch 2013.03

22. Demo
GREE Power Lunch 2013.03

24. Your Server
GET /me
User Info

25. Your Server
Token Replace
GET /me
User Info
Different User Data
:

26. OAuthの仕様を理解して
FB APIの仕様も理解して
ドキュメント通りに実装したら
アカウント乗っ取られる。
GREE Power Lunch 2013.03

27. 割 愛
よ り
情 に
の 事
大 人

28. Weak Point
Token Replace
GET /me
User Info
Different User Data
:

29. OAuth + 認証
どうすればセキュアに...?
GREE Power Lunch 2013.03

30. それ、OpenID Connect
でできるよ。

33. ♥
OpenID Connect
~ OpenID based on OAuth 2.0 ~

34. 12

35. Access Token + ID Token
End User Relying Party OpenID Provider
Initiate
Request Authorization
Authenticate & Authorize
Authorization Grant
Authorization Grant
Access Token + ID Token

36. ID Token
• JWT token representing logged-in session
• Claims:
• iss – Issuer
• sub – Identifier for user
• aud – Audience for ID Token
• iat, exp - issued at & expiry

37. JSON Web Token
• JSON + Signature (+ Encryption)
• XML Signature for JSON

39. 誰が (issuer)
誰を (subject)
誰のために (audience)
認証したのか

40. Signed using
FB private key
Your Server
Verified using
FB public key

41. 最後に

42. ****よりFB / Googleの方がセキュアだし
外部IDは受け入れた方がよい。
「1password使えや」とかユーザーに言えるの
空気読めない楽⃝社長くらい

43. ただし「OAuth認証」は仕様通り
(とDeveloperが思ってる通り)
に実装すると穴ができるので注意。
たぶん既に穴何カ所かある気がする...

44. ****がOpenID Connect Providerに
なるのは大変そうだけど
ID Tokenだけ発行するならあり。
Backend API Call無いと認証できないとか
けっこうつらくない?

45. twitter.com/nov
slideshare.net/matake
github.com/nov