"OAuth"は何と読むか - 頭ん中 http://www.msng.info/archives/2010/04/oauth_is_pronounced_oh_auth.php
【訳】アリアンツ・ライフの大量データ漏洩事件で110万人が影響を受ける 【要約】 米国の保険大手アリアンツ・ライフは、7月に発生したSalesforceを標的とする攻撃で110万人の顧客情報が流出したと発表しました。流出したのは氏名、住所、電話番号、メールアドレス、生年月日などで、顧客だけでなく一部の従業員も影響を受けました。攻撃はShinyHuntersによるもので、従業員をだまして悪意あるOAuthアプリをSalesforceに接続させ、データベースを窃取したとされています。同様の攻撃はGoogleやAdidasなど他の大手企業にも及んでいます。 【ニュース】 ◆Massive Allia…
はじめに カミナシでID管理・認証基盤を開発しているmanaty（@manaty0226）です。 カミナシではAmazon Web Services（AWS）上で認証基盤を構築して動かしています。特にOpenID Providerのコア機能含めて内製しており、さまざまなOAuth拡張仕様を駆使してお客様の要求やプロダクト機能の実現に寄与しています。今回は、相互TLS（mTLS: mutual Transport Layer Security）と呼ばれる、クライアントとサーバーがともに証明書を提示して安全に接続する技術に立脚したRFC 8705 OAuth 2.0 Mutual-TLS Clie…
ソース： medium.com 脆弱性：OAuth 訳： OAuthとは何ですか? OAuth (Open Authorization) は、資格情報を公開することなく、Web サイトまたはアプリケーションにユーザーの情報への制限付きアクセスを許可する方法として一般的に使用されるアクセス委任のオープン スタンダードで。 これは、ユーザーが自分のアカウントに関する情報をサードパーティのアプリや Web サイトと共有できるようにするために、Google、Facebook、Twitter などのインターネット巨人によって広く採用されていて。 OAuth は、アプリケーションがユーザーに代わってリソー…
ソース： medium.com 脆弱性：ATO 訳： 偵察: まず偵察から始めましょう。プログラムの範囲はメインの Web サイトとモバイル アプリのみで。 モバイル アプリ API をテストしたところ、多数のバグが見つかり。次に、サブドメインをテストして、メインの Web サイト/モバイル アプリに影響を与える可能性のある重大な脆弱性を見つけようと。 別のデータベースを持つステージング サブドメインを見つけたので、メイン アプリの資格情報を使用してログインしてそれを確認し。 次に、脆弱性の説明に。 脆弱性: この脆弱性自体が悪用するのは簡単ですが、まずこの脆弱性がどのように機能するかを理解し…
ソース： medium.com 脆弱性：OAuth 訳： Web サイトにアクセスしたことがある場合は、たとえ聞いたことがなくても、OAuth に一度は遭遇したことがあるでしょう。 「Google でサインイン」ボタンを見たことがありますか? もしそうなら、OAuth に出会ったことになって。 この記事では、OAuth (特に OAuth 2.0) とは何か、およびセキュリティの観点から OAuth がどのように誤って実装される可能性があるかについて簡単に説明を。 特に、バグ報奨金調査中に実装で遭遇した多くの問題に焦点を当てて。 「クイック」プライマー OAuth について話すときには、いくつ…
ソース： sl4x0.medium.com 脆弱性：OAuth 訳： 問題のターゲットは、 あるREDACTED.com コース、書籍、および関連サービスの提供に重点を置いたプラットフォームで。 登録プロセス中に、ユーザーには 2 つのオプションが表示され。電子メールとパスワードを使用してサインアップするか、Google または Facebook を 介した OAuth 認証を選択するかのいずれかで。 早速、評価を始めてみましょう！ まず「Facebook でログイン」をクリックして、何が起こるかを見てみて。 方法論は次の手順でわかるようになります。 どのアプリでも Facebook でログイ…
ソース： medium.com 脆弱性：OAuth 訳： OAuth は安全になるように設計されていますが、このプロセスに欠陥があると、攻撃者が新しい Web サイト上のアカウントを乗っ取る可能性があり。 セキュリティ研究者は最近、攻撃者にアカウントを完全に制御させる重要なゼロデイ手法を発見しました。 この脆弱性はほぼすべての Web サイトに影響を及ぼし、すべての OAuth ユーザーにとって差し迫った懸念事項となっていて。 攻撃を再現する方法は次のとおりで。 Facebook を使用して Oauth にサインアップして。 新しい Facebook ポップアップで、 [アクセス権の編集] を…
ソース： medium.com 脆弱性：OAuth 訳： OAuthとは何ですか? OAuth は、アプリケーションに「安全な指定アクセス」機能を提供するオープン標準の認証プロトコルまたはフレームワークです。 たとえば、benzac.com が Facebook のパスワードを教えなくても、あなたのプロフィールにアクセスしたり、タイムラインに更新を投稿したりしても問題がないことを Facebook に伝えることができます。 OAuth は認証にも使用できます。 たとえば、ソーシャル サインイン機能 [ Google、Facebook、Microsoft ] を使用してアプリケーションにログイン…
こんにちは、Gaudiyでソフトウェアエンジニアを担当しているsato（@yusukesatoo06）です。 弊社が提供するファンコミュニティプラットフォーム「Gaudiy Fanlink」において、外部サービスにAPI提供をする必要があったことから、外部連携について色々と調べて実装しました。 そこで今回は、調査からサーバ構築までのプロセスと、そこで得た学びや気づきを共有できればと思います。 1. OAuthとは 1-1. OAuthの概要 1-2. OAuthのフロー 2. OAuthが必要な背景 2-1. 外部サービス連携 2-2. 他の連携方式との比較 3. OAuthの提供 3-1. …
ソース： javroot.medium.com 脆弱性：OAuth 訳： Burp Suiteを開始してリクエストをキャプチャする際に、メインドメインでログインセッションを確立しました。 システムにアクセスした後、メイン ドメインの多数のエンドポイントでのデータ取得を許可する OAuth トークンを特定しました。 ただし、現在、追加のページにアクセスする機能がありません。 しかし、リクエストをもう一度詳しく検討してみることにしたところ、Webアプリケーションについて興味深いことに気づきました。 OAuth トークンは API ドメイン内で生成されます 次に、サブファインダーでサブドメインを探す…
yuroyoro.hatenablog.com
www.sakimura.org
qiita.com
zenn.dev
ritou.hatenablog.com
www.sakimura.org
qiita.com
www.msng.info
gihyo.jp
