OAuthã«ãŠã‘ã‚‹èªå¯ã‚³ãƒ¼ãƒ‰æ¨ªå–り攻撃ã¨ãã®å¯¾ç–OAuthã«ãŠã‘ã‚‹èªå¯ã‚³ãƒ¼ãƒ‰æ¨ªå–り攻撃ã¨ãã®å¯¾ç– Jul 5, 2021 å‰å›žã®è¨˜äº‹ã§ç¤ºã—ãŸã‚ˆã†ã«ã€ã‚«ã‚¹ã‚¿ãƒ URLスã‚ームをå½è£…ã—ãŸä¸æ£ã‚¢ãƒ—リã¯æ£è¦ã‚¢ãƒ—リã¸ã®ãƒ‡ã‚£ãƒ¼ãƒ—リンクを乗ã£å–れる。ã“ã®æŒ™å‹•ã®æ‚ªç”¨ã‚·ãƒŠãƒªã‚ªã¨ã—ã¦ã€æ£è¦ã‚¢ãƒ—リã¨èªå¯ã‚µãƒ¼ãƒãƒ¼é–“ã®OAuthフãƒãƒ¼ã«ãŠã‘ã‚‹èªå¯ã‚³ãƒ¼ãƒ‰æ¨ªå–り攻撃ãŒçŸ¥ã‚‰ã‚Œã¦ã„る。ã“ã®æ”»æ’ƒã¸ã®å¯¾ç–を把æ¡ã™ã‚‹ãŸã‚ã«iOS環境ã§ã‚·ãƒŠãƒªã‚ªã‚’å†ç¾ã—ã€PKCEã®æœ‰åŠ¹æ€§ã‚’確èªã—ãŸã€‚ è¦ç´„ OAuth 2.0ã®æ‹¡å¼µæ©Ÿèƒ½ã§ã‚ã‚‹PKCEã‚’å°Žå…¥ã™ã‚‹ã“ã¨ã§èªå¯ã‚³ãƒ¼ãƒ‰æ¨ªå–り攻撃を無効化ã§ãる。OAuth 2.0ã®ä»•æ§˜ã§ã¯ã€èªå¯ã‚µãƒ¼ãƒãƒ¼ã¯ãƒã‚¤ãƒ†ã‚£ãƒ–アプリをクライアントèªè¨¼ã§ããªã„。ãã®ãŸã‚ã€èªå¯ã‚µãƒ¼ãƒãƒ¼ã¯èªå¯ã‚³ãƒ¼ãƒ‰ã‚’横å–ã‚Šã—ãŸä¸æ£ã‚¢ãƒ—リã¨æ£è¦ã‚¢ãƒ—リをè˜åˆ¥ã§ããªã„。ã—ã‹ã—ã€PKCEã®ä»•çµ„ã¿ã«ã‚ˆã‚Šèªå¯ã‚µãƒ¼ãƒãƒ¼ã¯æ£è¦ã‚¢ãƒ—リをè˜åˆ¥ã§ãるよã†ã«ãªã‚Šã€èªå¯ã‚³ãƒ¼ãƒ‰æ¨ªå–り攻撃ã®æ¤œçŸ¥ãŒå¯èƒ½ã¨ãªã‚‹ã€‚ ãƒã‚¤ãƒ†ã‚£ãƒ–ã‚¢
OAuth2ã®æ¬¡ã«æ¥ã‚‹ã¨è¨€ã‚れるèªå¯ãƒ—ãƒãƒˆã‚³ãƒ«GNAPã¨ã¯ãªã«ã‹ | メルカリエンジニアリング
OAuth 2.0 Security Best Current Practice
OAuth・OIDCã®æ”»æ’ƒã¨å¯¾ç–ã‚’æ•´ç†ã—ã¦ç†è§£ã§ãる本（リダイレクトã¸ã®æ”»æ’ƒç·¨)：Auth屋
OAuth 2.0 Playgroundã§OAuth 2.0ã®ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã®æ°—æŒã¡ã«ãªã‚ㆠ| DevelopersIO
OpenID Connectユースケースã€OAuth 2.0ã®é•ã„・共通点ã¾ã¨ã‚
OAuth 2.0ã®ä»£è¡¨çš„ãªåˆ©ç”¨ãƒ‘ターンを仕様ã‹ã‚‰ç†è§£ã—よã†
OAuth 2.0 全フãƒãƒ¼ã®å›³è§£ã¨å‹•ç”» - Qiita
OpenID Connectã¯ãã‚“ãªã«å¤§å¤‰ã‹ã？ - OAuth.jp
{{#tags}}- {{label}}
{{/tags}}