お詫び 8月2日夜に、誠 Biz.IDのTwitter公式アカウントが、誤ってスパムメッセージを配信していました。現在は設定を修正しておりますが、ご迷惑をおかけしたことをお詫びします。詳細は以下の記事をご覧下さい。 誠 Biz.IDのTwitter公式アカウントが、誤って第三者のスパムメッセージを配信していたことが8月2日夜に分かった。同日、編集部では対策を取り、現在ではスパムメッセージの配信は止まっている。 問題のスパムは、8月1日ごろから出回っていたもの。TwitterのDM（ダイレクトメッセージ）機能を利用して広まっている。DMに書かれたURLのページにアクセスし、ボタンをクリックすると、同じDMを自動でフォロワーに送り付けるという仕組みだ。 スパムDMは英文で、「has sent you a FREE GIFT to join MobsterWorld. Accept you fr
Explaining the OAuth Session Fixation Attackという文章が興味深いものだったので翻訳してみた。何か解決策を思いついた人はOAuthのメーリングリストに送ってあげると良いと思う。って僕は参加してもいないのだけど。あと誤訳とかはコメントしてもらえれば対応します。ワタクシ実のところOAuthなんて使ったこともなかったりして。 （原文はリンク先にもある通り、Eran Hammer-Lahav氏からcc-by 3.0 usで提供されている。） 追記: 日本でもニュースになっていた: http://www.atmarkit.co.jp/news/200904/23/oauth.html 追記2: 元記事の画像がアップデートされていたので、追従して更新 以下翻訳: 先週、われわれが発見して対応したOAuthのプロトコルセキュリティ問題には語るべきことが多くある。
オープンなオンライン認証プロトコルである OAuth にセキュリティホールが見つかったとのことです (The H Securityの記事、@IT の記事より) 。 このセキュリティホールを利用することで、アタッカーはリクエストトークンを含む認証 URI を保存しておき、後で被害者にその認証 URI から成るリンクをクリックさせることによって、被害者のリソースにアクセスできるようです (hueniverse の記事およびその翻訳記事より) 。 現在、Twitter や Yahoo 等の OAuth プロバイダーは対策が見つかるまで OAuth サービスを中止しています。Twitter's API のリーダーである Alex Payne 氏は、事前通告なしにサービスを停止した事に対する Twitter ユーザコミュニティーからの批判に応えて、OAuth プロバイダー各社が脆弱性の非公開に合意し
サービス： http://xdoauthproxy.appspot.com/ ソースコード： http://xdoauthproxy.googlecode.com/ 何ができるか OAuth(3-legged)のAPIがJavaScriptクライアントから簡単に呼べるようになります。 プログラム的には非同期の呼び出しのみで記述でき、面倒な手続き（トークンのやり取り、同意画面の表示など）はプロキシ側で完了します。 プロキシサービスはGoogle App Engine上で動いてます。 コード例 http://xdoauthproxy.googlecode.com/svn/trunk/assets/example.html <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/ht
遅ればせながら、Google FriendConnect がAPI出しましたね。Google FriendConnect本体がブログパーツ的にウェブに貼付けるものだったので、それ用のガジェット開発キットかなと思ってあつかうと、間違えますね。これ、ぜんぜんガジェット開発者だけの話ではないですよね。 早速えーじさんが記事を書いてます。 サービス提供者にとって，今回公開されたGFCの認証機構は魅力です。OpenIDを使ってすら複雑なサーバー実装を必要とした認証が，HTMLファイルとJavaScriptの設置だけで実現できるのです。認証機能を完全に外部にたよることで，Cookieのパラメータでログイン状態を判断し，さらにそれを認可にも用いることで，サービス提供者は開発の手間を劇的に減らすことができます。 http://gihyo.jp/dev/column/01/social/2009/03180
Federated Login for Google Account Users Third-party web sites and applications can now let visitors sign in using their Google user accounts. The OpenID standard frees users from having to set up separate login accounts for different web sites--and conversely, frees web site developers from the task of managing login information and security measures. OpenID achieves this goal by providing a fram
OpenIDの拡張で OAuthの認可済みのrequest tokenを もらう リクエストに含める内容は namespaceは http://specs.openid.net/extensions/oauth/1.0 事前に登録済みのconsumer key 認可を得ようとしているscope そうするとrequest tokenが返ってくるのでaccess tokenと交換します 通常のOAuthのフローだとここでrequest token secretが必要ですが、空文字列でOKです ただそれだけ、あとは普通のOAuthと同じ perlでいうと extensionを設定して認証要求 my $openid_csr = Net::OpenID::Consumer->new(...); my $cident = $openid_csr->claimed_identity('http://ww
はてなブックマークにPOSTするようなサービスを作りたければ、はてなブックマークAtomAPIとは - はてなキーワードに基づいて、del.icio.us からはてなブックマークへデータを移行できたのではてなブックマークに移転したいと思います - NaN days - subtechを参考に作れば簡単に書けるけど、その中にはユーザ名とパスワードが必要でしょ？つまり、他の人の代わりに投稿することができない。それを可能にしているのがOAuthみたいな"認可"プロトコルだけど、対応してるとこなんてほとんど無くて使い物にならない。 ところで、やりたいことが"ブックマークすること"ならはてなのhttp://b.hatena.ne.jp/addのリンクを踏ませるのと、自分のサイトでコメントを入力してもらうことと、ユーザの負担はあまり変わらない。認証をはてなが発行しているOpenIDで行えば、対応する
At Plaxo, we’re big believers in (and early adopters of) OpenID, the promising open standard for online identity. As a result, we’ve suffered as much as anyone the shortcomings in user experience of some of the early implementations out there. Today, we’re pleased to announce Two-Click Signup, an initiative we’re kicking off to improve the user experience of OpenID, and the rollout, together with
Abstract This draft describes a mechanism to combine an OpenID authentication request with the approval of an OAuth request token. Table of Contents 1. Requirements notation 2. Terminology 3. Purpose of this Specification 4. Overview 5. Extension Namespace 6. Discovery 7. Before Requesting Authentication - Registration 8. Requesting Authentication 9. Authorizing the OAuth Request
当日のスライド公開しました。 本日、Social Web Japan の第一回勉強会が開催されました。 運営側もまだこなれてない中の第一回だったので、もろもろお見苦しかったかもしれませんが、初回にしては中々良かったなと思っています。 以下感想。 Social Web Japan へようこそ (agektmrさん) ソーシャルウェブとは何ぞやと言う事を独自の視点で切ったプレゼンだったなと思います。 OpenSocial を基軸として一つの未来を語れていたのかなと思いました。 今のところ OpenSocial 元年って点は同意なんですが、海の向こうのモデルをそのまま持ってくるってのはおそらく無いだろうなとか思ってたりしているんですが、まぁまぁそれは追々。 Be Social! OpenSocial 入門 (よういちろうさん) 入門としては出来すぎなくらい充実したプレゼンでしたねー。 よういちろ
OAuth Core 1.0 仕様 日本語訳 概要 OAuth プロトコルを使うと、ウェブサイトやアプリケーション（コンシューマ）が、 API経由でウェブサービス（サービスプロバイダ）にある保護されたりソース（情報）にアクセスできるようになります。 またこの際に、ユーザがサービスプロバイダに提出している認証情報（credential）をコンシューマに明かすことなく、 アクセスできるようにします。 平たく言うと、OAuthはAPI認証におけるフリーで汎用的な手法を提供します。 例を挙げるとすると、photos.example.net におけるユーザの認証情報（Credential）を明かすことなく、 印刷サービスサイト printer.example.com （コンシューマ）が photos.example.net（サービスプロバイダ）に保存されている写真にアクセスできるようにする、 といっ
PlaxoのJoseph Smarr氏が使う言葉に”Open Building Blocks for the Social Web”というものがあります。これはウェブをよりソーシャルにし、サービス相互の連携を深めていくために必要な”要素”を表しています。 この”要素”にはOpenID, OAuth, microformats, OpenSocialと、いずれもこのブログで取り上げてきたこれからのソーシャルウェブを占う重要な規格が挙げられていますが、そんな重要なピースのひとつに、Portable Contactsが加えられました。 Joseph Smarr氏の在籍するPlaxoにて、既に利用可能なAPIが公開されています。 Portable Contactsとは Portable Contacts, is an easy-to-implement “people data” API that
あるサービスプロバイダが、OpenID、OAuthを利用したデータの提供の両方に対応している場合、 そのどちらもRP,Consumerとして利用したいというサービスがあった場合、OpenIDのために、 エンドユーザーをOPにリダイレクト、そしてまた、データを取得するAPIを叩きたいときに、 OAuthのフローに従って、エンドユーザーがプロバイダにリダイレクトさせて認可を求めなければ なりません。 二つの異なるプロトコルで、共にエンドユーザーの承認を求める画面出すこのフローは、 エンドユーザーを混乱させるものになります。 「なんで何回も飛ばすんだ。まとめて一度に認証させればいいだろ。」ってことですね。 それを可能にするためのOpenIDの拡張仕様として提案されているのが、 OpenID OAuth Extensionのようです。 http://step2.googlecode.com/svn
OpenSocialでは、コンテナが外部サーバーとの通信を行う際、または外部サーバーがコンテナと通信を行う際、OAuthを使用して認可を行います。今回はOpenSocialにおけるOAuthについて、現段階でのまとめを書いてみます。 OAuthって何だったっけ？ OAuthはユーザー、コンシューマ、サービスプロバイダの3者間でデータのやり取りを行うとした場合、ユーザーがコンシューマにクレデンシャル(IDやパスワード)を渡すことなく、ユーザーが所有するサービスプロバイダ上のリソースにコンシューマをアクセスさせるためのものです。 例えばユーザーがGoogle(サービスプロバイダ)のアドレス帳(リソース)をMySpace(コンシューマ)上で利用するシーンを思い浮かべてください。OAuthがなければ、MySpaceにGoogleのIDとパスワードを預けなければならなかったものが、OAuthを使うこ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
