Firebase Authentication 7ã¤ã®è½ã¨ã—ç©´ - 脆弱性を生むIDaaSã®ä¸é©åˆ‡ãªåˆ©ç”¨ - Flatt Security Blogã¯ã˜ã‚ã« ã“ã‚“ã«ã¡ã¯ã€æ ªå¼ä¼šç¤¾ Flatt Security ã‚»ã‚ュリティエンジニアã®ã´ã–ãゃã£ã¨ (@pizzacat83) ã§ã™ã€‚ èªè¨¼æ©Ÿæ§‹ã‚’自作ã›ãšã«å°Žå…¥ã§ãã‚‹ Firebase Authentication ã¯æ§˜ã€…ãªã‚¢ãƒ—リケーションã«ã¦åˆ©ç”¨ã•ã‚Œã¦ã„ã¾ã™ãŒã€ãã®ç‰¹æ€§ã‚’å分ã«ç†è§£ã›ãšã«å°Žå…¥ã™ã‚‹ã¨ã€å®Ÿã¯ä¸å…·åˆã‚„脆弱性ãŒç”Ÿã˜ã‚‹ã“ã¨ãŒã‚ã‚Šã¾ã™ã€‚ãã“ã§æœ¬ç¨¿ã§ã¯ Firebase Authentication を利用ã™ã‚‹ã†ãˆã§ã€æ³¨æ„ã—ãªã‘ã‚Œã°ä¸å…·åˆã‚„脆弱性ã«ç¹‹ãŒã‚Šã†ã‚‹ 7 個ã®ã€Œè½ã¨ã—ç©´ã€ã«ã¤ã„ã¦è§£èª¬ã—ã¾ã™ã€‚ ã¯ã˜ã‚ã« IDaaS ã®åˆ©ç‚¹ã¨æ¬ 点 è½ã¨ã—ç©´ 1. 自己サインアップ リスク å¯¾ç– è½ã¨ã—ç©´ 2. ユーザーãŒè‡ªèº«ã‚’削除ã§ãã‚‹ å¯¾ç– è½ã¨ã—ç©´ 3. 他人ã®ãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã‚’用ã„ãŸãƒ¦ãƒ¼ã‚¶ãƒ¼ç™»éŒ² リスク リスク 3-1. メールアドレス誤入力ã«ã‚ˆã‚‹ãƒ¦ãƒ¼ã‚¶ãƒ¼ä¹—ã£å–ã‚Š リスク 3-2. 他人ã«ãƒ¡ãƒ¼
HTML属性を使ã„ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ã«å„ªã—ã„2è¦ç´ èªè¨¼ã‚’実ç¾ã™ã‚‹æ–¹æ³•
ã€æ–°æ©Ÿèƒ½ã€‘AWS ELBã®Application Load Balancer(ALB)ã®èªè¨¼æ©Ÿèƒ½ã§Webアプリã«Googleèªè¨¼ã‚’è¿½åŠ ã™ã‚‹ | DevelopersIO
パスワードã«ä¾å˜ã—ãªã„èªè¨¼ã€ŒWebAuthnã€ã‚’Chrome/Firefox/EdgeãŒå®Ÿè£…開始ã€W3CãŒæ¨™æº–化。Webã¯ãƒ‘スワードã«ä¾å˜ã—ãªã„より安全ã§ä¾¿åˆ©ãªã‚‚ã®ã¸
タダã§ä½¿ãˆã‚‹ã€ŒSMS用ã®é›»è©±ç•ªå·ã€ã‚’ゲットã—ã¦ã‚„ã£ã‹ã„ãªSMSèªè¨¼ã‚’回é¿ã™ã‚‹!!
多彩ãªãƒ•ãƒ¬ãƒ¼ãƒ ワークã«å¯¾å¿œã—ãŸPHPå‘ã‘èªè¨¼ãƒ©ã‚¤ãƒ–ラリ·Opauth MOONGIFT
ã‚¢ãƒ—ãƒªåˆ¶ä½œæ‹…å½“è€…å¿…è¦‹ï¼ ä¿¡é ¼æ€§ã®é«˜ã„SMSèªè¨¼ã‚µãƒ¼ãƒ“スをアプリã«å°Žå…¥ã™ã‚‹3ã¤ã®ãƒ¡ãƒªãƒƒãƒˆ
OAuth 2.0ã‚„OpenIDã®æœ€æ–°å‹•å‘ã«è¿½ã„ã¤ããŸã‚ã«å‹‰å¼·ã—ãŸã“ã¨ã¾ã¨ã‚。 - hsksnote
{{#tags}}- {{label}}
{{/tags}}