Welcome to PyPI User Documentation Organization Accounts Trusted Publishers Digital Attestations Project Metadata APIs and Datasets Publishing to PyPI with a Trusted Publisher "Trusted Publishing" is our term for using the OpenID Connect (OIDC) standard to exchange short-lived identity tokens between a trusted third-party service and PyPI. This method can be used in automated environments and elim
2023年1月4日、CircleCIはセキュリティインシデントが発生したことを公表し、利用者へ注意を呼びかけました。また1月13日には侵入経路を含む調査結果などをまとめたインシデントレポートを公表しました。ここでは関連する情報をまとめます。 CircleCIより流出したデータから利用者のサードパーティシステムに影響 CircleCIが不正アクセスを受け、同社のプラットフォーム上に保存された利用者のサードパーティシステム（Githubなど）の環境変数、キー、トークンを含む情報の一部が流出した。不正アクセスにより情報が流出したのはクラウドで提供されるCircleCIで、オンプレミス型のCircleCI Serverは影響を受けない。 2023年1月13日公表時点で本件の影響を受け、利用者よりサードパーティシステムへの不正アクセスが生じたと報告を受けたケースは5件未満。但しCircleCIは不正
2021年7月末をもちまして、はてなIDのOpenIDサポートを終了いたします。 これにより、はてなIDによる「OpenID を利用して、はてなIDで外部アプリケーションにログインする」機能を終了いたします。 なお「はてな認証(OAuth)」は引き続きご利用になれます。 これに伴いOpenIDによるログインを提供している外部アプリケーションでは、2021年7月末以降、はてなIDを使ってログインできなくなります。お手数をおかけいたしますが、 各サービスにおいて、ログインアカウントの切り替え等をお願いいたします。 はてなIDを利用してログインしているサービスは、https://www.hatena.ne.jp/my/config/auth/openid にてご確認いただけます。 大変ご迷惑をお掛けしますが、何卒ご理解の程よろしくお願いいたします。 （2021/07/30 追記） 2021年7月
こんばんは。ritouです。 Digital Identity技術勉強会 #iddance Advent Calendar 2020 1日めの記事です。 qiita.com 初日なのでゆるふわな話をしましょう。 何の話か もうだいぶ前ですね。9月のお話です。こんなTweetを見かけました。 社内Slackにいる「OAuth認証」と書くと訂正してくれるbotが丁寧な解説をするようになっていた 認証(Authentication)と認可(Authorization)は間違えやすいわりにミスると甚大な被害をもたらしがちなので、常日頃から意識を高めていきたいですね pic.twitter.com/oVQxBgZcHS— greenspa (@greenspa) 2020年9月28日 このbotに対する思うところはもう良いです。 今回は、「OAuthの仕様に沿ってID連携を実装するいわゆる"OAut
7payの新規登録停止を知らせる張り紙。全国津々浦々のフランチャイズ店舗にまで掲出を行き渡らせるのは簡単なことではない。 撮影：7pay取材班 7payの不正使用をめぐって、その脆弱性が背景にあるとの見方が強まっている。窃盗容疑などで複数の中国籍の容疑者らが逮捕されているが、実態にはまだ不可解な部分が少なくない。 一連の7pay報道のなかで、徐々にハッキングの手法に関する情報が出てきたが、具体的に｢7payの脆弱性とは、一体どんなものだったのか｣は直接的に報じられていない。 Business Insider Japanの｢7pay｣取材班では、複数の協力者の通信解析を通じて、7payとその周辺に潜む脆弱性のうち、重要な事象の1つである外部ID経由のハッキング（不正侵入）のメカニズムについて確証を得た。 不正アクセス犯はどんな手口で侵入したのかを探る。
セブン＆アイ・ホールディングスが決済サービス「7pay（セブンペイ）」の不正利用を受けて外部のIDからアプリへのログインを一時停止した措置について、原因となった脆弱性の一端が明らかになった。日経 xTECHの取材で2019年7月12日までに分かった。外部IDとの認証連携機能の実装に不備があり、パスワードなしで他人のアカウントにログインできる脆弱性があったという。 同社は2019年7月11日午後5時、FacebookやTwitter、LINEなど5つの外部サービスのIDを使ったログインを一時停止した。「各アプリ共通で利用しているオープンIDとの接続部分にセキュリティー上のリスクがある恐れがあるため」（広報）としている。 この脆弱性は、不正利用が判明した後に外部からの指摘で明らかになったもので、セブン＆アイのグループ共通ID「7iD」の認証システムに存在した。外部ID連携機能を使っている人のI
備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。 はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ
今後、はてなグラフ、ポケットはてななど、複数のサービスの提供を終了する予定です いつもはてなをご利用いただきありがとうございます。 はてなでは主要サービスや新規サービスに開発リソースを集中するため、サービスの整理を進めております。その一環として、今年から来年にかけて複数のサービスの提供終了を予定しております。 現在終了を予定しているサービスや機能は以下の通りです。いずれのサービスにつきましても、提供終了日時や詳細が決まり次第、追って告知させていただきます。 終了予定 はてなグラフ ( http://graph.hatena.ne.jp )はてな認証 ( http://auth.hatena.ne.jp )はてな検索 ( http://search.hatena.ne.jp )はてなMobileGateWay ( http://mgw.hatena.ne.jp )ポケットはてな ( http
平素より、livedoor プロフィールをご愛顧いただき、誠にありがとうございます。 来年1月末（2018年1月31日）をもちまして「livedoor プロフィール」の提供を終了させていただくこととなりました。 終了を延期させていただくことになりました。詳細は下記URLをご確認ください。 livedoor プロフィール 終了延期のお知らせと新拍手のリリースについて これまでご利用くださいました皆様に厚く御礼申し上げます。 今回、終了するサービスはlivedoor プロフィールです。 livedoor Blog（ライブドアブログ）は引き続き運営いたしますのでご安心ください。 「livedoor プロフィール」の一部機能につきましては、「ライブドアブログ」でも利用いただいておりますので、ライブドアブログに関係のある機能については引き続きご利用いただけるように、サービスの移管を行います。 詳細に
認証は単純な概念で、別の言葉で言えば本人確認です。Web サイトにおける本人確認の最も一般的な方法は ID とパスワードの組を提示してもらうことですが、指紋や虹彩などの生体情報を用いた本人確認方法もありえます。どのような確認方法だとしても (ワンタイムパスワードを使ったり、2-way 認証だったりしても)、認証とは、誰なのかを特定するための処理です。開発者の言葉でこれを表現すると、「認証とは、ユーザーの一意識別子を特定する処理」と言えます。 一方、認可のほうは、「誰が」、「誰に」、「何の権限を」、という三つの要素が出てくるため、複雑になります。加えて、話をややこしくしているのは、この三つの要素のうち、「誰が」を決める処理が「認証処理」であるという点です。すなわち、認可処理にはその一部として認証処理が含まれているため、話がややこしくなっているのです。 認可の三要素をもう少し現場に近い言葉で表
よく訓練されたアップル信者、都元です。「認証 認可」でググると保育園の話が山程出て来ます。が、今日は保育園の話ではありません。そちらを期待した方はごめんなさい。こちらからお帰りください。 さて、先日のDevelopers.IO 2016において、マイクロWebアプリケーションというテーマでお話させて頂きました。一言で言うと OAuth 2.0 と OpenID Connect 1.0 のお話だったのですが、これらを理解するにあたっては「認証」と「認可」をはっきりと別のものとしてクッキリと認識する必要があります。 まず、ざっくりとした理解 認証と認可は密接に絡み合っている一方で全く別の概念です。正直、理解は簡単ではないと思います。 まず「認証」は英語では Authentication と言います。長いので略して AuthN と書いたりすることもあります。意味としては 通信の相手が誰（何）であ
とあるサービスに mixi の OpenID を利用して久しぶりにログインしてみたら、mixi の OpenID 終了のお知らせが出ていました。 すでに6月に発表されてたみたいですが利用しないのでまったく気づいていませんでした。mixi の OpenID 認証を採用していた開発者側が対応しないといけないのはもちろんですが、開発者側が対応しない場合もあるでしょう。そうなると利用者がそのサイトにログインできなくなるという問題が生じます。 mixi では開発者向けに「mixi OpenID から mixi Graph API へのユーザ移行 << mixi Developer Center (ミクシィ デベロッパーセンター)」という移行手段を提供してくれていますが。。 自分が mixi の OpenID でログインしていたサービスは「[mixi] 利用サービス一覧」のページで確認できます。長い間
カテゴリー別ニュース (745)mixi Connect (92)mixi OpenID (4)mixi Platform 共通 (69)mixiアプリ (561)mixiページアプリ (13)障害情報 (209)mixi Connect (16)mixi OpenID (1)mixi Platform 共通 (42)mixiアプリ (135)mixiページアプリ (8)重要なお知らせ (37) ※2016/1/22更新 : 提供終了日時を2016/2/22に変更しました 平素より mixi Platform をご利用いただきまして、誠にありがとうございます。 この度、mixi OpenID について、サービスの提供を終了させて頂く事となりました。 mixi OpenID は mixi 内のユーザ情報を外部サイトでの認証に使用するためのサービスです。 mixi OpenID << mixi
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog Yahoo! JAPAN 研究所の五味です。 アイデンティティ管理とは、ネット社会における利用者個人やその個人に関わる情報を適切に保護しながら活用する技術の総称です。従来は、AAA（Authentication、Authorization、Auditing、それぞれ、認証、認可、監査）に関わる基盤技術でしたが、近年ではネットワークの発展に伴い、ドメインをまたがる分散システムにおけるデータ連携のための基盤技術と位置づけられてきています。そこで、本稿では、特に、ID連携に関する以下のような話題について説明いたします。 ID連携とは ID連携モデル ID連携の応用 ID連携トラストフレームワーク ID連携トラストフレームワーク アイデア
OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Technological University（南洋理工大学）で学ぶ博士課程の学生Wang Jing氏は、「Covert Redirect」という深刻な脆弱性によって、影響を受けるサイトのドメイン上でログイン用ポップアップ画面を偽装できることを発見した。Covert Redirectは、既知のエクスプロイトパラメータに基づいている。 たとえば、悪意あるフィッシングリンクをクリックすると、Faceboo
昨日あたりから、Yahoo! Wallet や YConnect といった、Yahoo! Japan の API にアクセスできなくなったって人、ちらほらいるかもしれませんね。 僕もちょっとそういうケース見かけました。 なんか Yahoo! Japan がポカしちゃったの？とか、まぁ昨日まで健康に動いてたシステムが突然 Yahoo! Japan の API にアクセスできなくなっちゃったんだし、そらそう思うのもムリはない。 が、今回のケース、Yahoo! は全く悪くない！ プライバシーフリークはどうかと思うがな！！ では早速、今回起こったことを、振り返ってみましょう。 Yahoo! API にアクセスできなくなった Yahoo! Japan は、yahoo.co.jp 以外にも、CDN 用や API 用など、用途ごとにいくつかのドメインを持ってます。 今回止まったのは、その中の API 用
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こちらのFAQも合わせてご参照ください。 旧ルート証明書の有効期限切れに伴う影響範囲について │SSL・電子証明書ならグローバルサイン 2014年1月28日(火) 21:00～より、弊社で提供しているhttpsのWebAPIにリクエストすると、SSL通信の障害が発生するという事象が報告されています。 弊社では下記のSSLサーバ証明書を利用しております。 GMOグローバルサイン 企業認証SSL 原因として、WebAPIを利用するクライアント側の環境で、下記のルート証明書の有効期限が終了していることが考えられます。 GlobalSign Root CA Serial Number = 02:00:00:00:00:00:D6:78:B
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
