今回は二本立てでした。 Introduction OpenID Authentication 2.0 Revival Introduction OpenID Authentication 2.0 Revival 前の資料をもうちょっと丁寧に書き直したバージョンです。図解を豊富にしてみたり、どうしてその概念があるのかなんてのが自然と分かるように見直しました。 OpenID Mobile Profile OpenID Mobile Profile こっちはモバイル版 OpenID について、雑多な考察。まだ推敲出来てませんけど何となく頭にある物を書き起こした物です。もっとブラッシュアップしていく予定の物。 と言う訳で宜しければご覧下さい。 SlideShare x はてダ はてなアイデア またか。。。
物凄い久しぶりに OpenID ネタ。 PAPE と認証ポリシー PAPE (Provider Authentication Policy Extension) の認証ポリシーに関してなんですけど、Multi-Factor Authentication と言う複数の認証方式を組み合わせた認証ポリシーを OpenID Provider に対して要求する事が出来ます。たとえばパスワードとさらにハードウェア認証の両方を組み合わせてとかなど。 モバイルサイトへの応用 具体的なその認証手段を要求出来ないので、この場合は別途そういう auth_level を規定しなきゃいけないし、そもそも PAPE ってのは「こうして欲しい」「こうしましたよ」と言うやり取りだけで、確実に認証ポリシー通りに実施されたかを保証するような枠組みでは無い物の、信頼された OP であるならば、認証ポリシーを要求出来るってのはち
いやー、凄い良い記事でした。 OpenIDに欠けている「評判情報」 − ＠IT OpenIDでログインまたはサービスが利用できるWebサイトは、ユーザー認証のプロセスをほかのサイトに頼っているという意味で「リライング・パーティ」（Relying Party）と呼ばれるが、読者はいくつのリライング・パーティをご存じだろうか？確かに数だけは多いと喧伝されているが、自分が使いそうもないWebサイトがいくら対応していても意味がない。 その通りなんですよね、これ。 OpenIDのIdentityはもう相当数の人が実質的に持っていると言う状況なのに対して、RPとしてのキラーサイトが無いので恩恵に授かれない。 声高にして言いたいが、いわゆる会員サイト的な物を作ろうと思ってる方は、真っ先にOpenID対応(RPとして)を考えて頂きたいと思う。 それが普及と言う点で最も大切な事だと僕は思います。 ブランドや
やっと下準備終わったので書いてみる。 OpenID でのプトロコルメッセージで、認証アサーション要求*1及び応答*2でのメッセージは通常、RP-OP 間で associate 時に交換した MAC キーを持って署名を行う為、期待する相手と通信している限りは改ざんは起こりにくいと考えられます。 但し最近話題に出て来ている DNS Cache Poisoning のような攻撃を受けた場合、中間者攻撃 (man-in-the-middle attack) が成立する可能性があります。 攻撃手法の例 例えば、RP の DNS が汚染されていた場合を考えます。本来 OP であるはずのホストが悪意のある第三者のサーバーに割り当てられていた場合、その第三者のサーバーが中継を行えば、DH 鍵交換を行ってもまったく無意味で、認証データが盗まれる可能性があります。つまり、 RP から見ると OP に見えて O
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
