OAuthで気持ちのいいアクセス制御を
- 10. ただし、サービス終了済み
- 12. 悪の親玉？違法性？
- 18. Twitter のID・パスワードをサービスに預けることによるデメリット（利用者）Twitter を勝手に利用されてしまうかもしれない（他のサービスと共通のパスワードを利用した場合）他のサービスを不正に利用されてしまうかもしれないパスワードを生もしくは復号可能な状態にしておかなければならないため、サービスが SQL Injection Attack などへの脆弱性を抱えていた場合、パスワードの漏洩の危険がある
- 20. OAuth登場以前、Twitter の投稿APIを叩くための認証は Basic 認証しかありませんでした
- 21. Twitter 投稿用ライブラリなんかも、 Basic 認証を前提に組まれていることが多く、利用者の ID とパスワードを利用したサービスが蔓延しています
- 22. mixiのように API を提供していないサービスでも、サードパーティ製サービスがマッシュアップ（笑）したいがために、利用者のID とパスワードを入力させている例が存在します
- 24. そこで颯爽と登場したOAuthTwitter のOpenID実装をおこなっていた Blaine Cook 氏らが、必要としていた API アクセス権委譲に関するオープンなプロトコルが存在していないことに気づき、新たなプロトコルを作成するためのプロジェクトを開始した2007 年 10 月にOAuth Core 1.0 の草案がリリースされたFlickrや Twitter や Google や米 Yahoo など多くのサービスで利用されている
- 25. OAuthを使うとどうなるの？まずは使ってみよう！以下の URL に突貫で作ったOAuth対応の Twitter クライアントがあるので、アクセスしてみてください！http://co3k.org/twitter/
- 30. OAuthを体感うべー
- 33. 認可とはOAuth (pronounced “Oh-Auth”), summarized as “your valet key for the web,"OAuth（オー・オウスと読みます）は、簡単に言えば、「ウェブにおけるバレットキー」のようなもので、(For immediate release: OAuth Core 1.0 Specification released at Internet Identity Workshopより引用)
- 35. つまりどういうこと？Basic 認証のために ID とパスワードを教えるということは、相手に全権限を与えてしまうことに等しいOAuthでは一部権限のみを許可するトークンを渡す形をとっているTwitter では「読み書き可」「読みのみ可」の二通りの権限が選択できるトークンには有効期限を設けることができる
- 37. 1. リクエストトークンの取得アタシツール歳？２３まぁ今年で２４彼氏？まぁ（中略）いいからトモのリソースにアクセスさせてみたいなサイトa. リクエストトークン要求ツールうーん……ちょっと聞いてみるからトモ連れてきてよb. リクエストトークン発行
- 38. 2. ユーザの承認を得るツール連れてきてやったみたいなc. ユーザをサービスプロバイダに案内するあなた本物のトモさん？本当にこの人にアクセスさせて大丈夫なんだね？サイトd. ユーザを認証し、同意を取るトモさんがいいって言うなら仕方がない。e. ユーザをコンシューマに案内する
- 39. 3. アクセストークンの取得リクエストトークンはあくまで承認を得るためのものなので、リソースにアクセスするためには別のトークンを用いる。サイトアタシツール（中略）トモのリソースにアクセスさせてみたいなf. ユーザ承認済みのリクエストトークン付きでアクセストークン要求ツール仕方がないなあ。ほら、鍵だよg. リクエストトークンを検証し、アクセストークンを発行
- 40. 4. リソースへのアクセスサイトh. アクセストークンを使ってリソースを要求アクセスツールi. アクセストークンを検証し、リソースへのアクセスを認める
- 47. 対策方法承認されてないリクエストトークンでアクセストークンを要求した時点でリクエストトークンを無効にするアクセストークンの要求に回数制限を設ける同じリクエストトークンを使用して複数箇所からアクセスがあったと思われる場合、リクエストトークンを無効にするコールバック URL をパラメータから渡すのではなく、登録制にするTwitter が採っている対策コールバック URL を用いず、コンシューマが使うキーをユーザに手入力させるYammer が採っている対策
- 52. OpenPNE3 は6月中旬リリース（予定）の 3.1.1 でOAuthに対応します
- 60. 質問タイム