👹秋田の猫🐱 @ritou Twitter profile

セキュアなWeb APIの作り方 / Secure Web API

1

20

61

Last Seen Profiles

@DinoMontti

@EshJustice

@aqua_cosplay

@ethanmarten

@LeRapFR

@ke_djibouti

@CiocchiFilho

@UFCONFOX

@FionaxSapphire

@CharlesMuzuvah

@Sylphid_Element

@BandedTopGames

@GhadaiMada95510

@OfficialPjeh

@MattWalshInBoz

@cabellocentral

@neiroow

@kosukosu0309

@TuskJenkins

@MuraDavid

@Chimero11

@2929kabayaki

@simi_draws

@iccamasir_pylsm

@albaghili_

@CirujanoOral

@roller_app

@2fnys1u4dMUbl1V

@tobyjegan

@say2meow

@detox350787

@bm1tv

@velvetsss1

@OsamaAm44091136

@Karin_Vt_Sus

@NegativeCombo

👹秋田の猫🐱

@ritou

13 days

ゴミ出しに出たら、近所の早バレ小学生が「見ました？呪術。野薔薇の攻撃が効いたってことは読者もみんな宿儺だったってこと」と名言を残して登校していった。こっちは夏休み終わりです。 #呪術本誌

0

375

4K

👹秋田の猫🐱

@ritou

3 years

ピッコマって漫画サービス、前回のログイン方法を覚えて教えてくれる。ソーシャルログイン実装してるとこは見習うべき。

2

326

2K

👹秋田の猫🐱

@ritou

5 years

外務省が公開鍵教えてくれなくてドイツが公開しているリストから抜き出したとか書いてある。

パスポートのセキュリティ - AAA Blog

前回、運転免許証記載情報の真正性を確認する方法を紹介しました。パスポートにも免許証と同様にICチップが埋め込まれており、海外渡航時の入国審査では本物のパスポートかどうかチェックが行われています。不動産取引や民間サービスの本人確認業務でも、同じ方法でICチップの確認を行えば身分証偽造による詐欺行為を防ぐことができます。今回パスポートのICチップにアクセスして真正性を確認するAndroid...

www.osstech.co.jp

1

615

889

👹秋田の猫🐱

@ritou

19 days

おお！撮影した券面からOCRで抜き取った照合番号Bで券面情報引けるか試せるアプリ！撮影した券面からOCRで抜き取った照合番号Bで券面情報引けるか試せるアプリじゃないか！

デジタル庁

@digital_jpn

19 days

本日8月20日（火）にマイナンバーカード対面確認アプリを公開しました。マイナンバーカードのICチップを読み取り、格納された本人情報を確認できるアプリです。事業者や自治体のスタッフが、顧客や住民の本人確認をする際に利用できます。詳細↓

66

704

1K

3

156

762

👹秋田の猫🐱

@ritou

3 months

OAuthとOpenID Connectはふんわりじゃなくてしっかり理解しましょう。セキュアなWeb APIの作り方 / Secure Web API

2023/09/06 に行われた OCHaCafe Season7 #4 で用いた資料です。セッションアーカイブ動画：https://youtu.be/p3VmoPKrBNs

Basic認証、Digest認証、Bearer認証、OAuth認証方式について - プログラミング初心者がアーキテクトっぽく語る

1

89

665

👹秋田の猫🐱

@ritou

2 months

パスワードマネージャーの特徴のひとつとして保存されているパスワードを入力するかどうかのドメイン判定があります。これは記憶の問題とは別のフィッシング対策という意味で重要な機能であり、パスキーではより厳密に管理されるようになるので意識しておきましょう。

mattn

@mattn_jp

2 months

人間の記憶力でなんとかなる時代は終わってしまったのでそうならざるを得ないし、ましてや最近はパスワードそのものを辞める仕組みも増えてきました。

0

41

101

0

179

510

👹秋田の猫🐱

@ritou

1 year

どうしたらいいんだこれ。 Basic認証、Digest認証、Bearer認証、OAuth認証方式について - プログラミング初心者がアーキテクトっぽく語る

Basic認証、Digest認証、Bearer認証、OAuth認証方式はRFCで標準化されている認証方式の中で最もよく目にする方式だろう。 Basic認証とDigest認証は多くのサーバ、クライントで実装されており導入障壁が低い認証方式だ。機密性の高いデータを扱うサービスでは比較的安全なBearer認証、OAuth認…

architecting.hateblo.jp

2

36

448

👹秋田の猫🐱

@ritou

2 years

> OAuth認証はいつまで経ってもはっきり理解できないものの一つでした。そりゃ、OAuth認証を理解しようと思ったら大変やな！ OAuthの言葉周りを整理する｜ken3pei #zenn

OAuthの言葉周りを整理する

1

27

437

👹秋田の猫🐱

@ritou

4 years

昔からRFC違反だとずっと言われてたキャリアメアドが動かなくなるよと連絡来てた。

2

331

385

👹秋田の猫🐱

@ritou

5 years

スタバでステッカーたくさん貼ったPCでドヤッてた若者を見た意識高めなマダム達が「うちの子が幼稚園のころあんなだったわ」「子供ってシール好きよね」「旦那も未だに車の後ろになんか貼ってるわ」「男っていつになっても子供よね」と話してた。

1

260

372

👹秋田の猫🐱

@ritou

10 months

メールアドレスをキーにしてID連携を行う設計の危うさ｜ritou

1,603字 · 1枚の画像

0

66

310

👹秋田の猫🐱

@ritou

2 months

デジタル署名文脈での公開鍵暗号方式の誤解を避けるため、署名鍵/検証鍵という表現を使うというお話 - r-weblife

ritouです。タイトルに全部書きましたが、Xでharuyamaさんが書かれていたものです。 (広義の公開鍵暗号の)電子署名の文脈においては公開鍵/秘密鍵と言わないで署名鍵/検証鍵などと言ったほうがいいのではないかな— HARUYAMA Seigo (@haruyama) 2024年5月19日よくある誤解最近、公…

メールアドレスをキーにしてID連携を行う設計の危うさ｜ritou

1

75

305

👹秋田の猫🐱

@ritou

4 years

sha256がなんだって言うんだ。私なんて「ritou様はよくhmac sha256について言及されておりますがハッシュ値から元の文字列と共有秘密鍵の解読は可能でしょうか？可能ならばおいくらで…」ってメール来たことあるぞ！

0

107

286

👹秋田の猫🐱

@ritou

28 days

こういうことです。

👹秋田の猫🐱

@ritou

28 days

セキュリティキー、プラットフォーム認証器では安全だったがクロスデバイス実現のためのHybridにより、正規の認証フローを第三者にやらせる脅威が存在。普通に「このQRコードから○○アカウントでログインしたら△△」でやられると思うし、BLE接続が可能な範囲にとどめられることも認識は必要。

0

28

91

2

58

256

👹秋田の猫🐱

@ritou

13 years

コンビニを訪れた高校生が一言「うーん、エロ本ぐらいしかおかずがない」

0

686

236

👹秋田の猫🐱

@ritou

10 months

実際、海外のサービスはメアドをキーにして参照してるところも多く、何かあってもガン無視したり力業でサポートしたりします。が、そうしなくていいようにプラクティスがあるので意識していきましょうという話。 / “メールアドレスをキーにしてID連携を行う設計の危うさ｜r…”

1,603字 · 1枚の画像

次世代Web認証「パスキー」 / mo-zatsudan-passkey

1

60

253

👹秋田の猫🐱

@ritou

5 months

見ていきましょ。パスワード認証に対してパスキーの公開鍵暗号あたりを当てていくアプローチですかね。 LT資料にこまけぇことを言いたいというよりは見た人の認識を正しいものにしたいという意図です。次世代Web認証「パスキー」 / mo-zatsudan-passkey

モニクル社内3分LTで発表しました。技術職以外の人向けに話したので、抽象度高めにしてあります。

"JWT=ステートレス"から一歩踏み出すための考え方

1

33

249

👹秋田の猫🐱

@ritou

3 years

最近話題のJWTについて記事を書いてみました！ "JWT=ステートレス"から一歩踏み出すための考え方｜ritou #zenn

パスワードレス化が進まないのはなぜ？普及停滞を打開する認証手法「パスキー」への期待と導入のストーリー

1

66

246

👹秋田の猫🐱

@ritou

3 months

その通り、目的はOIDCがログインでOAuthはリソースアクセス。極限まで簡略された雰囲気ワードが「OIDCは認証でOAuthは認可」。プロトコルの話になると「OAuth 2.0にIdentityレイヤーを追加した(ことでログインに使える要件を満たせるようにした)もの」が「違いはIDTokenの発行だけや」に丸められた。

SFDC何でも屋

@saas15852564

4 months

OIDCとOAuth2.0の違いを「認証or認可」や「IDトークンを発行するか否か」等と説明してるサイトあるけど、「人がシステムにログインする仕組みがOIDC」、「システムがシステムにアクセスする仕組みがOAuth2.0」と説明してるサイトがない。ワイの理解が違うのか皆理解してないのかどっちだろう

0

3

27

1

38

239

👹秋田の猫🐱

@ritou

4 months

> 将来的にパスキーを本格導入するという計画を立てて、まずはパスワードマネージャーを使うという運用を始めるのがよいでしょう最高パスワードレス化が進まないのはなぜ？普及停滞を打開する認証手法「パスキー」への期待と導入のストーリー

　多くの日本企業でセキュリティ被害が増えている昨今、企業や組織はどう対応していくべきなのか。イー・ガーディアングループCISO 兼 EGセキュアソリューションズ取締役CTOである徳丸浩氏が、日本の「セキュリティのイマ」をわかりやすく徹底解説する連載企画第10弾。今回のテーマは「なぜパスワードレスは進まないのか？普及停滞を打開する認証手法『パスキー』への期待と導入のステップ」です。古くから使...

enterprisezine.jp

2

82

229

👹秋田の猫🐱

@ritou

7 months

新卒の時、優秀でどんどん転職していった先輩方の中で一番すごいと思った人だ。 (そして、もっと年上だと思ってたパターン)

Googleを辞めて福岡でエンジニアとして“最高の人生”を送っている人の話｜Qualities Offer

福岡県内のみならず九州一円、さらに全国から移住者が集まり、人口増加を続ける福岡市。場所を選ばない働き方が決して珍しい形態ではなくなった今、フルリモートで働きながら、住む場所として福岡市を選ぶ移住者も増えている。 2021年にアメリカから福岡市へと移住した嶋直毅

qualities.jp

0

10

223

👹秋田の猫🐱

@ritou

1 year

これからSNSを作ろう、作ったSNSを世にだそうとしている開発者につぐ。とりあえずでパスワード認証を使うな！

1

55

215

👹秋田の猫🐱

@ritou

6 years

builderscon tokyo 2018 のスライド公開しました。 "パスワードレスなユーザー認証時代を迎えるためにサービス開発者がしなければならないこと" #builderscon #buildersconC

ritou_user_authn_builderscon_tokyo_2018

パスワードレスなユーザー認証時代を迎えるためにサービス開発者がしなければならないこと - builderscon tokyo 2018 builderscon tokyo 2018にて発表したスライドです。 https://builderscon.io/tokyo/2018/session/9f…

デジタル認証アプリとのID連携で使われている標準化仕様と勘所

0

86

215

👹秋田の猫🐱

@ritou

4 months

素晴らしい。そしてこれはパスキー移行への準備段階としても最重要なステップなのである。

Haruhiko Okumura

@h_okumura

4 months

総務省のサイバーセキュリティパスワード管理ツールを推奨、パスワードの定期的な変更は不要と断言、すばらしい

11

2K

4K

1

47

189

👹秋田の猫🐱

@ritou

3 days

Yubikeyのクローンの話、「安全な領域だから外に出ない！」だったものがクローン作れるとなると大変だーとなるのはわかるが、手順を見ると「ID/PWとられて物理的にキーにアクセスされてる」時点でもう試合は終わってる感ある。バレずに行うことが重要なのでそっと返すところがジワる。

2

90

265

👹秋田の猫🐱

@ritou

3 months

OIDCやっていきましょうというお話です。デジタル認証アプリとのID連携で使われている標準化仕様と勘所｜ritou #zenn

1

35

185

👹秋田の猫🐱

@ritou

7 years

シニア向けスマホが流行ってないってやつ、親にらくらくホンにポケモンGO入れろと頼まれ、調べて無理だと回答したら凹んでたので、きっとそのせいじゃないかな

0

164

169

👹秋田の猫🐱

@ritou

1 year

ソーシャルエンジニアリングでOktaアカウントやられる ↓ GSuiteのセッションゲット。Google Authenticatorの同期でTOTPやりたい放題それはそう。だけど最初の時点でだいぶやられとんなーっていう気もする。

matsuu

@matsuu

1 year

Google Authenticatorがクラウド同期機能を備えたせいで認証突破されたお話。あー / “When MFA isn't actually MFA”

0

221

407

1

68

177

👹秋田の猫🐱

@ritou

2 months

とにかくまずはパスワードマネージャーを使おう。パスキーは目の前にある。というお話 - r-weblife

ritou です。大きなサービスで何か問題があると、それをきっかけに皆さんのセキュリティ意識が高まりかけたりするものです。最近はパスワードマネージャーやパスキーについて言及する人も増えてきました。表題の通り、パスワードマネージャーをお勧めしますという話を書きます。新しい話ではなく、いつもの内容です。パスワード認…

デジタル庁が発表した「デジタル認証アプリ」でできることざっくり整理 - Qiita

0

28

171

👹秋田の猫🐱

@ritou

6 years

昨日、承認欲求を満たすため「新卒13年目のエンジニアが○○を解説」って記事書いてバズるぞって話をしたら「それは新卒って言いません」と優しく言われた。

0

38

165

👹秋田の猫🐱

@ritou

2 months

デジタル庁が発表した「デジタル認証アプリ」でできることざっくり整理 #Qiita

2024年6月21日にデジタル庁からデジタル認証アプリの発表がありました。このデジタル認証アプリで何ができるのか、ざっくり整理してみました。この記事で対象としている方デジタル認証アプリの概要に…

パスキーとID連携の認証フローの共通点から見る認証技術の基本

1

52

167

👹秋田の猫🐱

@ritou

3 years

何で「駆け出し」と「エンジニア」をくっつけるんだよ。お前ら横文字大好きできたんじゃねーのかよ。ジョインジョイン言ってたじゃねーか。なあのポリシーどこ行ったんだよ。これからは「 #スタートダッシュエンジニアとコネクトしたい」これでいいだろ！

0

67

166

👹秋田の猫🐱

@ritou

8 months

ざっくりでいいので認証の流れを覚えておくと個々の仕様が読みやすくなるかもみたいなのを書きました。パスキーとID連携の認証フローの共通点から見る認証技術の基本｜ritou #zenn

PWA Night vol.57 ～認証・認可〜にてパスキーの話をしました - r-weblife

0

31

152

👹秋田の猫🐱

@ritou

4 years

👮‍♂️「こんにちは〜、退会処理の挙動を試したいんですが、登録処理から気になってしまいまして〜。お時間よろしいですか？」

0

83

143

👹秋田の猫🐱

@ritou

10 months

話した内容と資料を公開しました。お疲れ様でした。 #pwanight PWA Night vol.57 ～認証・認可〜にてパスキーの話をしました - r-weblife

PWA Night vol.57 ～認証・認可〜にてパスキーの話をしました。資料と発表内容を公開します。

ID周りをやりたいエンジニアにすすめたい学習ステップ(2) : 複数アプリケーションが絡むID管理

0

43

133

👹秋田の猫🐱

@ritou

5 months

そんなにOAuth/OIDCやりたいならこんな感じで触ってみたらいかがでしょうか "ID領域" に踏み込みたいエンジニアにすすめたい学習ステップ(2) : 複数アプリケーションが絡むID管理｜ritou #zenn

OAuth 2.0 認可コードフローをお嬢様彼女に会う過程に例えてみた

0

22

128

👹秋田の猫🐱

@ritou

2 months

> 認可コードフローとは、OAuth 2.0の認証方式の一つで Microsoft (有志)は危機感持った方がいい OAuth 2.0 認可コードフローをお嬢様彼女に会う過程に例えてみた｜Ryusei Takaya #zenn

OAuth、OAuth2、OpenID Connect(OIDC)について簡単にまとめてみた - Qiita

3

15

121

👹秋田の猫🐱

@ritou

5 months

> 共通点 > どれも認証・認可のためのプロトコルいいえ OAuth、OAuth2、OpenID Connect(OIDC)について簡単にまとめてみた #Qiita

認証・認可はわかりづらい最近認証・認可について調べることがあり、名前とどんなものかはざっくりと知っている状態でした。ただ、誰かに説明して、と言われると自信がないのでまとめてみようと思いました。…

OIDCを利用した個人的なWEBシステムで認証情報を何をもって維持するのか考えてみた

0

9

118

👹秋田の猫🐱

@ritou

9 months

OIDC使う時色々悩みつつ落とし所考えたというお話。 > cookieにはSessionID直接ではなくJWTとして持たせてしまうこのHybrid派を主張する人、自分以外で初めて見た。 OIDCを利用した個人的なWEBシステムで認証情報を何をもって維持するのか考えてみた｜raru #zenn

マクドナルド公式アプリのモバイルオーダー経由でクレジットカードが不正利用された話

1

20

116

👹秋田の猫🐱

@ritou

3 years

「SPAからGoogleログインを実装したくてClientSecretの管理方法を知りたい」ってDMで聞いてきたやつにログインだけならいらねーじゃんって言ったら何を言ってるんだみたいな反応と共にOIDCやらOAuthのいろんな仕様のリンク送られてきたんだけどどうすればいいんだ？有料で１から解説したらええんか？

1

12

116

👹秋田の猫🐱

@ritou

2 months

サービス側は本当に誰かがログインしたのか、アカウント情報の変更がいつ行われたのかなどをユーザーからわかるようにしておくべきですね。ユーザーに考えさせてる場合ではない。マクドナルド公式アプリのモバイルオーダー経由でクレジットカードが不正利用された話

マクドナルド公式アプリのモバイルオーダー経由でクレジットカードが不正利用された話やられました。一応，全容がわ…

www.k-taimiler.com

1

46

114

👹秋田の猫🐱

@ritou

11 months

なんか質問いっぱいあったみたいなので、まとめて答えておいた。 "仕様が読めるようになるOAuthとOpenID Connect入門"の質問への回答｜ritou #zenn

"仕様が読めるようになるOAuthとOpenID Connect入門"の質問への回答

パスキーは本当に２要素認証なのか問題、またの名を、あまり気にせず使えばいいと思うよ。｜kkoiwai

1

21

113

👹秋田の猫🐱

@ritou

3 years

くっ！！！ログインを得意としている私が、親のワクチン予約システムにログインできないだと、、、？

2

20

108

👹秋田の猫🐱

@ritou

1 year

はい！今日はこちらの記事をですね、見ていきたいと思いまーす！張り切っていきましょー！パスキーとは？仕組みやパスワードとの違いについて解説 - ユーザー認証・認可のかもめエンジニアリング

1

54

106

👹秋田の猫🐱

@ritou

1 year

お前らがパスワードを共有することはわかってるし防げないので、Identifierを分けることでクレデンシャルスタッフィング攻撃を防いでいこうな！って感じ。

任天堂サポート

@nintendo_cs

1 year

ニンテンドーアカウントのログイン方法は「ログインIDのみ」に設定することをおすすめします。メールアドレスを使用してログインすることができなくなるため、第三者による不正なログインを防ぎやすくなります。くわしくは、こちらのサポートページをご覧ください。

0

164

448

0

76

103

👹秋田の猫🐱

@ritou

9 months

(アドカレの記事にしてくれたら良かったのに...) このなんというか、無限に沸いているパスキーわからない勢に向けて、詳しい人たちが拳に力を込めてぶんぶんしてる感じが良い。パスキーは本当に２要素認証なのか問題、またの名を、あまり気にせず使えばいいと思うよ。

4,191字

OpenID Connect による引き継ぎ処理の実装がより便利になりました - GS2 Blog

1

24

105

👹秋田の猫🐱

@ritou

1 month

> OpenID Connect とは Twitter が提唱した OAuth を標準化した技術で、認可処理にかかわるフローを標準化しています。なんだろう...それってあなたの妄想ですよね？ OpenID Connect による引き継ぎ処理の実装がより便利になりました - GS2 Blog

はじめに GS2-Account はアカウント管理をするためのマイクロサービスで、匿名アカウントの発行や認証機能を持ちます。匿名アカウントの引き継ぎ情報の管理機能も用意されています。OpenID Connect とは Twitter が提唱した OAuth を標準化した技術で、認可処理にかかわるフローを標準化していま…

gs2.hatenablog.com

0

21

101

👹秋田の猫🐱

@ritou

5 years

何でもかんでもセキュリティ言ってたらお前らのサービス全部セキュリティエンジニアが作れって話になるぞ。 IDや決済のスペシャリストの存在を認め育てる必要がある。

1

53

95

👹秋田の猫🐱

@ritou

4 years

JWTについていつもの感じで話しましたよという話です。 2020年版チーム内勉強会資料その1 : JSON Web Token - r-weblife

2020年版チーム内勉強会資料その1 : JSON Web Token - r-weblife

おはようございます。ritou です。 5月下旬ぐらいにチーム内勉強会としてJSON Web Token(JWT)についてわいわいやりました。その際に作成した資料に簡単な説明を添えつつ紹介します。このブログではJWTについて色々と記事を書いてきましたが、その範囲を超えるものではありません。ちょっとだけ長いですが、…

TokenでもCookieでもBearer vs Sender-Constrained の概念を覚えよう｜ritou

0

30

97

👹秋田の猫🐱

@ritou

5 months

この感覚を覚えると色々と捗ります。 TokenでもCookieでもBearer vs Sender-Constrained の概念を覚えよう｜ritou

2,140字

0

10

94

👹秋田の猫🐱

@ritou

2 years

セキュリティの人達の集まり、こーゆーのも大事だけどまずはメールでリンク送る文化を滅ぼす動きしてくれや。

かがしん

@kagayanyan

2 years

フィッシングメールについて。注意喚起の仕方について。いいこと言ってる(°∀°) #yuzawaws

1

703

1K

1

45

93

👹秋田の猫🐱

@ritou

28 days

セキュリティキー、プラットフォーム認証器では安全だったがクロスデバイス実現のためのHybridにより、正規の認証フローを第三者にやらせる脅威が存在。普通に「このQRコードから○○アカウントでログインしたら△△」でやられると思うし、BLE接続が可能な範囲にとどめられることも認識は必要。

Yoshikazu Nojima

@shiroica

28 days

今日の #kernelvm で「パスキーはフィッシング攻撃を受けない…本当に？」というタイトルで発表してきました。結構活発にコメントや質問が会場やTwitterで返ってきて、面白く聞いて頂けたようで何よりでした。

0

50

152

0

28

91

👹秋田の猫🐱

@ritou

3 months

またIDToken保存しようとしてるやつがおるな

徳丸浩

@ockeghem

3 months

結論から言えば、「どちらでもよい」となります。しかし、恐らく話はお考えの内容ほど単純ではないと予想します。まず、ご質問の回答に入る前に、よくあるCookie vs localStorage論争について。これは… (残り1215字) #mond_ockeghem

0

28

165

2

6

92

👹秋田の猫🐱

@ritou

2 years

整理の方法として - 保存:Cookie/LocalStorage - 送受信方法:HTTP Header(Cookie/Authorization) というふうに、いくつかバリエーションがあることと、それで送られる文字列の特性は関連しないことに留意すべき。セッション認証とトークン認証について｜オライリーヨッシー

セッション認証とトークン認証について

パスキーについて今日時点の僕が知っていること / What I Know About Passkeys as of Today

2

10

91

👹秋田の猫🐱

@ritou

5 months

👀 パスキーについて今日時点の僕が知っていること / What I Know About Passkeys as of Today

Niigata 5分 Tech #6で話しました https://niigata-5min-tech.connpass.com/event/312817/

1

10

92

👹秋田の猫🐱

@ritou

2 years

補完関係と言われてきたFIDOとID連携ですが、プラットフォーマーが鍵管理などを支えるようになるとどう変わるのか、書いてみました。 FIDOの最新動向から考える巨大プラットフォーマーとの関係 - r-weblife

おはようございます、ritouです。 Google I/O の "A path to a world without passwords" っていう発表、ご覧になりましたか？ www.youtube.com FIDO, WebOTP, FedCM...いいネタ揃ってますね！今回はFIDOの話をしましょう。パスワード認…

Twilio、「Authy」の多数の顧客電話番号流出を認めアプリ更新を呼び掛け

0

33

92

👹秋田の猫🐱

@ritou

2 months

新規登録機能でメアドや電話番号の登録有無を返してしまうサービスは多いですが、"有効な電話番号のリストが流出する" ことについての影響を考えてみると良いでしょう。 Twilio、「Authy」の多数の顧客電話番号流出を認めアプリ更新を呼び掛け

Twilioは、多要素認証ツール「Authy」のユーザーの多数の電話番号が流出したと発表した。ユーザーにアプリの最新版への更新を呼び掛けている。

www.itmedia.co.jp

1

43

92

👹秋田の猫🐱

@ritou

2 years

内容全部書きました。> Developers Summit 2023にてパスキーについて講演しました｜ritou #zenn

Developers Summit 2023にてパスキーについて講演しました

Appleの発表したPasskeys in iCloud KeychainはWebAuthnをどう変えるのか - r-weblife

0

26

91

👹秋田の猫🐱

@ritou

3 years

ID連携との違いもちょっとだけ書きました。 Appleの発表したPasskeys in iCloud KeychainはWebAuthnをどう変えるのか - r-weblife

先日のWWDC2021の "Move beyond passwords" というセッションにて発表された "Passkeys in iCloud Keychain" という仕組みについてどんなものかを紹介します。

ユーザー認証の緊急事態に備えて提供しておきたい、セッション管理とセキュリティイベントログについて - Qiita

0

35

89

👹秋田の猫🐱

@ritou

5 months

え？

Postman Japan

@postman_japan

5 months

4. OAuth認証 OAuth 2.0は、OAuth 1.0よりも柔軟性と拡張性が高く、API認証のゴールドスタンダードとなっています。また、ユーザーデータを危険にさらすことなく、広範なAPI連携をサポートしています。

1

13

2

12

89

👹秋田の猫🐱

@ritou

4 years

今回の件でGitHubのセキュリティログ見た人はこれでも読んでおけば良い

ritou です。概要以前、 WebAuthn の流れで、アカウントリカバリーについて書きました。WebAuthn など新しい認証方式を受け入れる際の「アカウントリカバリー」の考え方上記の投…

ID周りをやりたいエンジニアにすすめたい学習ステップ(1) : 単一アプリケーションとID管理

0

24

87

👹秋田の猫🐱

@ritou

5 years

認証認可技術 Advent Calendar 2019 初日はeyJの話です。 Webアプリケーションのセッション管理にJWT導入を検討する際の考え方 - r-weblife

0

30

88

👹秋田の猫🐱

@ritou

5 months

"ID領域" に踏み込みたいエンジニアにすすめたい学習ステップ(1) : 単一アプリケーションとID管理｜ritou #zenn

ID連携の標準化仕様紹介とセキュアな実装のためのアプローチ ~ 2021 - r-weblife

0

21

86

👹秋田の猫🐱

@ritou

11 months

通知にとどめることはフィッシング対策として重要。普通のサービスならもうちょい内容書けよなんだろうけど、ここの場合はメアドリサイクルなどで第三者に知られたらまずいものもあるだろうから、安全側に倒してこうなるのも仕方ない気はする。

IPUSIRON

@ipusiron

11 months

またいつもの来た😡 ログインするの手間なので、Xで検索して手間をかけてまで見るお知らせなのかを調べる。

1

6

29

2

23

86

👹秋田の猫🐱

@ritou

3 years

(YouTubeのタイトル風) チーム内でID連携についての標準化仕様をざっくり紹介しようとしたら大変なことに... ID連携の標準化仕様紹介とセキュアな実装のためのアプローチ ~ 2021 - r-weblife

おはようございます ritou です。久々に「解説付きスライド全公開」的なやつをやります。先月、チーム内でID連携のための標準化仕様に関する勉強会(私が一方的に話す会)を行いました。が、実際はだいぶグダグダになってしまい、これはその後色々付け足してるうちに別物になってしまった資料です。内容としては、ID連携のた…

世界一わかりみの深いOAuth入門 / wakarimioauth

0

23

87

👹秋田の猫🐱

@ritou

4 years

気になる男性の年収を知りたかったら一番好きなDigital Identityの仕様は何と聞きましょう。OAuth、OIDCなどの答えが返ってきたら一般人です。SSI、DIDなどが返って来たら今流行り！RAR、PAR、JARM、FAPIに準拠してるのは...とかいう人はAuthleteで働いている。IETFのDraft大好きマンにも気を付けろ！

0

32

86

👹秋田の猫🐱

@ritou

3 years

ｶﾞﾀｯ見てみますか世界一わかりみの深いOAuth入門 / wakarimioauth

世界一わかりみの深いOAuth入門

RFC 8725 JSON Web Token Best Current Practices をざっくり解説する - Qiita

1

16

82

👹秋田の猫🐱

@ritou

2 years

こーゆーのを理解した上でJWTなんとかのベストプラクティスを語るんだぞ！わかったな！

ritou です。今回は RFC 8725 JSON Web Token Best Current Practices を紹介します。みんな大好き JWT (JSON Web Token) の …

「使える人にだけ使わせる」 ~ マネーフォワード IDのログインUXから見るパスキー普及のポイント - r-weblife

0

19

84

👹秋田の猫🐱

@ritou

10 months

現実的にはパスキーも開発者がWebAuthnの仕様読んで実装してるうちは爆発的には流行らないんよ。フレームワークやライブラリのドキュメント読んで設定少ししたら動くようになってからが本番。

0

16

83

👹秋田の猫🐱

@ritou

24 days

QRに何かしこまれたらヤバそう、までは誰でも思いつくと思いますが、それが単純なフィッシングサイトだけではなく「正規の認証要求、認可要求なんだけど最終的に攻撃者に何かを奪われてしまう」みたいなのが出てきてる印象なので、みんなで解像度を上げていきましょう。

Nat Sakimura/崎村夏彦

@_nat

24 days

8月22日(木) 20時より、「そのQRコード、安全ですか？〜クロスデバイスの認証認可フローに潜む脅威と対策」と題して、 @ritou さんをお迎えしてYouTube Live 配信を行います。ぜひお越しください。 #パスキー #openid #oauth #認証 #認可

0

39

92

1

25

80

👹秋田の猫🐱

@ritou

1 year

パスキー対応で重要となる「使える人にだけ使わせる」ことについて書きました。それよりドコモさんはパスキー対応もう始められました？「使える人にだけ使わせる」 ~ マネーフォワードIDのログインUXから見るパスキー普及のポイント - r-weblife

ritouです。いよいよドコモさんもパスキー対応が始まりましたね！いや、これを書いている時点ではまだです。 k-tai.watch.impress.co.jp それよりも、今回はマネーフォワード IDのパスキー対応に注目します。 corp.moneyforward.com (4/5追記) マネーフォワード側からも解説…

認証レベルの概念を取り入れたパスキー導入とユーザーへの影響 - r-weblife

0

26

78

👹秋田の猫🐱

@ritou

2 years

メルカリを退職というキーワード、重要なのか？

片山大地 / プレーリーカード共同代表

@daicche

2 years

メルカリ退職後に友人と会社を立ち上げ、サービスをリリースしました！既にユーザー数が加速度的に増えてきていて、増加のグラフも記事で紹介しています。名刺って無駄じゃない？プロフィールICカード『プレーリーカード』をリリースしました

9

109

1K

1

11

78

👹秋田の猫🐱

@ritou

9 months

パスキーで検索して出てくる疑問が大体カバーされています。変化に対応して情報を更新しつつ基本的な仕組みとQ&Aを繰り返しながら啓蒙して、まず開発者の層から普及させていくのが大事ですね。パスキーの基本とそれにまつわる誤解を解きほぐす

パスキーの基本とそれにまつわる誤解を解きほぐす

パスキーの基本を振り返ったうえで、パスキーでみなさんが勘違いしやすい点について解説します

blog.agektmr.com

0

18

76

👹秋田の猫🐱

@ritou

1 year

メルカリのパスキー対応でなぜ新しい端末のパスキー登録時に既存パスキーによる認証が必要になるのか、設計と対応の話を書きました�� 認証レベルの概念を取り入れたパスキー導入とユーザーへの影響 - r-weblife

おはようございます自称パスキー👮‍♂です。様々なサービスでパスキー対応が進む中で、今回は特定機能の保護を目的とした導入とユーザーへの影響について取り上げます。きっかけここ最近、🚔パスキーに関するパトロール🚔をしている中で、メルカリのパスキー導入についてこんなTweetを見つけました。まずは１つ目です。機種変…

なぜソーシャルログインの際にemailをキーにして参照するのか

0

25

75

👹秋田の猫🐱

@ritou

9 months

Digital Identity技術勉強会 #iddance Advent Calendar 2023　の初日の記事です。なぜソーシャルログインの際にemailをキーにして参照するのか｜ritou #zenn

ID連携の標準化仕様紹介とセキュアな実装のためのアプローチ ~ 2021 - r-weblife

1

18

73

👹秋田の猫🐱

@ritou

2 years

これは違う。新規登録でもメアドや電話番号の所有者本人にしか登録の有無をわからないようにすることはできる。サービスがそれをさぼるからリストの精査に使われているのが現状。

matsuu

@matsuu

2 years

セキュリティ対策のためとされている「ユーザ名もしくはパスワードが違います」のメッセージは意味がない。なぜなら新規登録しようとすれば重複禁止ポリシーにより存在有無をチェックできるから。せやな。 / ““Invalid Username or Password”: a useless security measure …”

2

100

314

1

15

70

👹秋田の猫🐱

@ritou

3 years

これはまだ入門編な！ / 1件のコメント “ID連携の標準化仕様紹介とセキュアな実装のためのアプローチ ~ 2021 - r-weblife”

おはようございます ritou です。久々に「解説付きスライド全公開」的なやつをやります。先月、チーム内でID連携のための標準化仕様に関する勉強会(私が一方的に話す会)を行いました。が、実際はだいぶグダグダになってしまい、これはその後色々付け足してるうちに別物になってしまった資料です。内容としては、ID連携のた…

OAuth 2.0/OpenID Connectで使われるBindingの仕組みについて整理する - r-weblife

0

15

71

👹秋田の猫🐱

@ritou

5 years

認証認可技術 Advent Calendar 2019 2日目はOAuth警察からの大事なお話です。 OAuth 2.0/OpenID Connectで使われるBindingの仕組みについて整理する - r-weblife

おはようございます、OAuth警察を装っている ritou です。 qiita.com 認証認可技術 Advent Calendar 2019 2日目の記事です。今日もやっていきましょう。 (2020/3/9追記)本投稿の内容をさらにわかりやすく整理された本を @authyasan さんが書かれています。 #技術書典…

Transactional Authorization - "XYZ"と呼ばれる認可プロトコルとは - r-weblife

0

25

71

👹秋田の猫🐱

@ritou

5 years

認可プロトコルXYZって何？提案者はOAuth徹底入門の著者の一人？ OAuth 2.0との違いは？ Transactional Authorization - "XYZ"と呼ばれる認可プロトコルとは - r-webli…

おはようございます、ritouです。今回はTransactional AuthorizationとしてIETFにDraftが提出されている仕様に注目します。 draft-richer-transactional-authz-02 - Transactional Authorization ⚠これはOAuth 2.0の…

OAuth 2.1 の標準化が進められています - Qiita

0

32

70

👹秋田の猫🐱

@ritou

4 years

＿人人人人人人人人人人人人＿＞　突然のOAuth 2.1解説だ　＜￣Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^Y^￣最新の2.1解説も一緒にどうぞ！ OAuth 2.1 の標準化が進められています #Qiita

IETFのOAuth WGでは、今あるOAuth2.0関連の仕様を整理し、一つの仕様としてまとめなおし OAuth2.1 として標準化するとりくみが進められています。今回は、簡単にOAuth2.1…

MIXI Mと社内外のサービスを支える認証基盤を作るためにやってきたこと｜#MTDC2024

1

32

69

👹秋田の猫🐱

@ritou

7 months

ぼくのかんがえるさいきょうのIdPの作り方を話します。仕様の話はしないつもり…いや少しだけするかも。 MIXI Mと社内外のサービスを支える認証基盤を作るためにやってきたこと｜ #MTDC2024

MIXI Mという認証から決済までをワンストップで提供できる基盤システム & WALLETサービスがあります。その中の認証基盤について、社内外のサービスにも展開していくにあたっての要件、それに対する設計方針と実装した内容を紹介します。

techcon.mixi.co.jp

1

11

69

👹秋田の猫🐱

@ritou

1 year

β公開された1Passwordのパスキー対応について調べてみた - r-weblife

こんにちは、ritouです。 β公開から少し時間が経ってしまいましたが、1Passwordのパスキー対応について確認して整理しました。 www.publickey1.jp これまでAppleのiCloud KeychainやAndroidのGoogleパスワードマネージャーなどがプロバイダとしてのパスキーのサポートを…

パスキーの概要とKeycloakでの動作確認 - Qiita

0

16

68

👹秋田の猫🐱

@ritou

5 months

こうやって暗号化/復号文脈だと捉えてしまう人が出てしまう。実際は認証器が「鍵ペア作りました。秘密鍵で生成した署名と公開鍵を一緒に送るので検証できたら公開鍵を保存してね」「秘密鍵で生成した署名を送るので、公開鍵使って検証してそこからユーザーを引いてログインさせてね」ぐらいです。

いがにん

@igayamaguchi

5 months

へー公開鍵を預けてサーバー側が暗号化、それを手元の秘密鍵を使って計算、その結果をサーバーに送って認証するとパスキーってよく聞くけど何も知らんかった次世代Web認証「パスキー」 / mo-zatsudan-passkey

1

8

1

13

67

👹秋田の猫🐱

@ritou

9 months

最初にパスキーの定義の話が書いてある。パスキーの概要とKeycloakでの動作確認

はじめに最近パスキー(Passkeys)が話題です。2023年は「パスキーの年」--FIDOアライアンスが報告 - ZDNET Japanそして、Keycloakもサポートしています。今日は…

Auth TokenをlocalStorageに入れようが、cookieに入れようがどっちもXSS危険性には無防備（同ドメイン内なら ...） - Qiita

1

12

66

👹秋田の猫🐱

@ritou

4 years

わかったわかったもうSPAやめよう Auth TokenをlocalStorageに入れようが、cookieに入れようがどっちもXSS危険性には無防備 #Qiita

tokenを保存する場所localStoragecookiecookie (http only)メモリ内 (変数)よく言われるのが JWT tokenをlocalStorageに入れるべ…

WebAuthn/FIDOのUX徹底解説 ~実サービスへの導入イメージを添えて~ / builderscon tokyo 2019 ritou

1

23

66

👹秋田の猫🐱

@ritou

5 years

#builderscon このあと14:30~ 発表します。「WebAuthn/FIDOのUX徹底解説 ~実サービスへの導入イメージを添えて~」

下記カンファレンスでの発表資料です。 https://builderscon.io/builderscon/tokyo/2019/session/c9da9bfb-c97c-4f93-a496-ff83b3ca61bc

XSSとCSRFに対応するJWTを使ったSPAのログイン認証のベストプラクティスってこれじゃない？ - Qiita

0

29

65

👹秋田の猫🐱

@ritou

2 months

FIDOは「秘密鍵はTPMに保存されます！」で堅牢さをアッピールしたが、やれ端末なくした壊したときどうする？複数端末の登録は無理やろ？となっていた。現状グダグダになってる多くのサービス、ユーザーへの要件としては「パスキーにアクセスできる環境を所持」ぐらいが現実的だということ。

アニメ「こうしす！」公式@目指せセキュリティ向上

@kosys_pr

2 months

そういえば、パスキーって、鍵を同期できる時点で「所有」要素を満たしてないような気がしなくもない。秘密鍵をTPMに閉じ込めてこそ所有ってイメージですけどね

0

2

13

1

16

64

👹秋田の猫🐱

@ritou

3 years

また出た "ログイン認証" ってなんだよ。動画なので時間がある時に見る。 XSSとCSRFに対応するJWTを使ったSPAのログイン認証のベストプラクティスってこれじゃない？ #Qiita

すみません、これじゃダメでした以下、コメント欄抜粋です元記事のコメントでも指摘されていますが、XSSによるJavaScriptから、LocalStorageの値を取得した上で、XMLHttpRe…

DroidKaigi 2023にてパスキーについて話しました

2

11

64

👹秋田の猫🐱

@ritou

3 years

1

10

64

👹秋田の猫🐱

@ritou

3 years

特にソーシャルログインのボタンが並んでいる時にどれ使ってたっけ...っていう問題はNASCAR Problem(そのうちJapanese Payment Method Problemって言われるかもな！)と呼ばれています。今回のはそれを改善するための一つの方法だと前から言われてきました。

1

17

61

👹秋田の猫🐱

@ritou

1 year

お疲れ様でした。 DroidKaigi 2023にてパスキーについて話しました｜ritou #zenn

認証と身元確認の強度について改めて考えてみようと思った - Qiita

0

20

63

👹秋田の猫🐱

@ritou

9 months

Email確認、SMS確認、KYCといった身元確認により、アカウントと利用者の実体を紐づけるところまでは共通認識にしやすいが、これをどう使うかはモヤりがち。認証と身元確認の強度について改めて考えてみようと思った

本記事は Digital Identity技術勉強会 #iddance Advent Calendar 2023 の11日目の記事です。最近、パスキーのことばかり考えていましたが、その中だったり、…

そのQRコード安全ですか？〜クロスデバイスの認証認可フローに潜む脅威と対策

1

17

63

👹秋田の猫🐱

@ritou

16 days

さっき話した資料でございます。Natさん、お相手いただいてありがとうございました。配信URL そのQRコード、安全ですか？ / Cross Device Flow

QRコードを使ってログインすることが日々増えてきています。でも、それって安全なんでしょうか？複数のデバイスをまたがった認証認可には落とし穴がたくさんあり、IETFでもベストプラクティスドキュメントの作成が遅々として行われている状態です。そこで、今回はこのあたりにお詳しい秋田の猫ことritouさんにお越しいただき、...

www.youtube.com

0

14

62

👹秋田の猫🐱

@ritou

5 years

ざっくりしたやつ書いた。 GitHubの2要素認証がWebAuthnに対応したらしいので触ってみた - r-weblife

GitHubの2要素認証がWebAuthnに対応したらしいので触ってみた - r-weblife

どーも、ritouです。世の中みんながこの話題に夢中かと思います(大げさ)。 github.blog GitHubは以前から2要素認証の方式としてセキュリティキーをサポートしてきました。2015年ですって。 github.blog 今回、その実装がWebAuthnに変更になったということです。 forest.watc…