CIでOkta LDAP InterfaceにTOTPによるMFAを用いてリクエストを投げる
はじめに 認証するというと、人間の操作によるものだけではありません。 例えば、CI上で認証して操作をしたいというケースは往々にしてあります。 実際にGitHub WorkflowでのOIDCによる認証についての記事などは色々とあります。 ただ、OpenID Connectが主要で…
キーワードを入力すると、タイトル・トピック・本文の冒頭から記事を絞り込みます。
はじめに 認証するというと、人間の操作によるものだけではありません。 例えば、CI上で認証して操作をしたいというケースは往々にしてあります。 実際にGitHub WorkflowでのOIDCによる認証についての記事などは色々とあります。 ただ、OpenID Connectが主要で…
はじめに マイクロサービスはサービス単位で機能を分割します。 それによって、他のアプリケーションへ使い回すようにできるなど多くのメリットをもたらします。 一方で、分割することで発生するの が認証・認可の情報をどのように各サービスへ伝えるかということです。 そこで、今回はマイクロサー…
はじめに 以前、NestJS でストラテジーを使う時のガード処理についてのブログを書きました。 それのおかげでストラテジー自体の理解であったり、NestJS でストラテジーを登録することであったりの理解は深まりました。 ただ、AuthGuard が具体的にどうやってガード処理とス…
はじめに 現在AIエージェントをはじめとした、Non HumanのID管理というのが求められています。 その中で、認可管理をエンタープライズで行うための仕様が今議論されています。 それが、Cross App Access(XAA)です。 Cross App Accessを用いるこ…
はじめに 先日 Google のブログに以下の投稿がありました。 cookie theft using device.html 詳細はこの後見ていきますが、かなり端折ると以下のツイートに凝縮されると思っています。 正直この先の話はこのツイート以上の話はないのですが、一緒に新しい仕…
はじめに 先日以下の投稿を見かけました。 eidentity/status/1898168504488259676 どうやらOpenID Connect周りで、OpenID Provider Commandsという新しい仕様が考えられているという内容でした。 そして、上記ツイート…
はじめに 開発の都合上、node jwonwebtokeの verify 部分の処理について理解する必要がありました。 今回は verify の役割を担う、verify.jsの処理についてみていきます。 jsonwebtoken の verify.js の流れ jsonwebto…
はじめに この記事で実現すること この記事では、Auth0でユーザーをブロックした際に、自作アプリケーション側にもブロック状態が自動的に反映される仕組みを構築します。 具体的には、Auth0の管理画面でユーザーをブロックすると、その情報がAWS EventBridge経由でアプリ…
はじめに 先日 Auth0 のダッシュボードへログインしたら、下記のようなお知らせが右下に表示されました。 よくあるお知らせなのかなと思って眺めていたのですが、ちゃんと読んでみると「2024 年 2 月 1 日から Auth0 へログインするには MFA の設定が必須だよ。」とい…
はじめに ある日 NestJS で書かれた認証・認可周りのコードを眺めていました 。 すると、「これってなんやっけ?」と内部の実装が読めなくなっていました。 これはまずい!と思い、再勉強も兼ねて NestJS のドキュメントを読み直すことにしました。 そのため、今回は NestJS…
この記事の内容について 正直、Auth0のコミュニティサイトで展開された内容を読めば十分です。 上記リンクの内容を自分で改めてまとめたにすぎません。 はじめに SPAでAuth0を使用し、ログインを行うと以下画像のようなCookieがセットされます。 何かしら使用されていそうです…
はじめに 以前の記事でDevice Boudn Session Credentials(以降DBSC)を試していました。 別タブでもCookieが有効期限切れになっても動くね、すごいねと書きました。 一方で、ブラウザの再起動では再度アクセスしても動かないから、DBSCを適用するア…
はじめに Device Bound Session Credentials(DBSC)のプレビュー版が提供されましたね。 and security/defending against account takeovers top threats passkeys and dbsc?…
はじめに 以前の記事で、Auth0のToken Vaultについて言及しました。 room.com/maronn2/articles/token vault by auth0 そこでは、Token Vaultを試せるアプリのサンプルコードを記載しました。 もちろん可能な限りセット…
目次 はじめに Firebase とは Firebase Authenticate とは なぜ IDaaS を使うのか Firebase Auth を使用したアプリケーション 環境構築 ソーシャルログイン ログアウト・退会 (補)API を画面で確認する Firebase は A…
この記事ですが、あくまで「Shai Hulud」サプライチェーン攻撃 の内容を推測し、疑似的に再現し、なぜすでにまとめていただいている対策が有効なのかを確認するために書いています。 推測の側面が強く、実際の攻撃内容とは似ても似つかない可能性が高いので、その点はご了承ください。 また…
はじめに ちょっとした検証用で作ったファイルはgitignoreに書き忘れ、そのままgit管理されてしまうケースがあります。 通常は問題ないのですが、シークレットが記載されているファイルだとそうは行きません。 そこで今回はgit secretを用いて、AWSキーを間違えてプッシュ…
はじめに JWT(JSON Web Token)は以下の利点があり、広く使われています。 1. 軽量かつ効率的: JWT は Base64 でエンコードされ、コンパクトで軽量な形式を持っています。これにより、データを効率的に転送できます。 2. JWT から値を取り出せる: JW…
読む前の注意 私自身は量子コンピューターなどの完全な素人です。 今回話題にしている論文について一通り目は通しましたが、誤りや理解不足は相当あります。 なので、そういった前提でよんでください。 はじめに 先日JPモルガンが以下の論文をNatureに投稿しました。 025 08737…
はじめに 昨今の生成AIの進歩は凄まじいものがあります。 そして、それを推進した要因の一つにMCPがあります。 今回はこのMCPにおいて、認可機能をドキュメントを見て、実装してみます。 完璧なものが提供はできていないかもしれないですが、この記事でMCPのAuthorization…
はじめに 先日ふと ID Token について調べていました。 その ID Token で必須 Claim を見ていたのですが、sub クレームの存在理由があまり腑に落ちませんでした。 ID Token の使用用途を考えた時、sub 属性を活用する場面がないとその時は思ったためで…
はじめに JavaScriptには鍵周りを取り扱うことができるCryptoがあります。 このCryptoを使用することで、共有鍵や公開鍵・秘密鍵を作成できます。 なので今回はCryptoを使用して、以下のことをやっていきます。 秘密鍵・公開鍵の作成 共有鍵による秘密鍵の暗号化 秘…
はじめに 以下のような記事が投稿されるなど、認可処理を行うためのサーバーはますます増えていくと感じています。 そして、こういった認可管理を一元化するために、IdP(Identity Provider)を導入するというのは自然なアプローチかなと思います。 また、IdPへの負荷なども…
このブログの内容について npm Trusted Publisherの概要と、その利点を説明します。 合わせて、半自動ガイドスクリプト( guide.sh )が実際に行うnpm/GitHub操作に沿って、npm Trusted Publisherを設定する手順を説明します。 ブロ…
はじめに まずは以下の Authorization Code Flow における、トークンを取得するためのリクエストをご覧ください。 次にもう一つのトークンを取得するためのリクエストをご覧ください。 違いは client secret クエリがあるか、code verifier …
はじめに 高リスクな操作(例:高額決済)を実行する前に、ユーザーに承認を求めたいというケースがあります。このようなユースケースで最初に候補に上がるのが CIBA(Client Initiated Backchannel Authentication)です。 CIBAは、操作を開始…
はじめに ユーザー認証を行うための手段の一つとして、OpenId Connect(以降 OIDC)があります。 OIDC は OAuth の機能を拡張して、認証でも使用できるようにしたものとなります。 この OIDC によって、一つのサーバーで複数アプリ内のユーザーを管理すること…
はじめに OktaにはSAML、Web Services Federation(WS Fed)、OpenID Connect(OIDC)などのフェデレーションプロトコルをサポートしない外部のWebアプリケーションにシングルサインオン(SSO)の機能を提供するための仕組みがあります…
はじめに 先日以下のツイートを見かけました。 以前記事も書いており、密かに待ち望んでいたDevice Bound Session Credentials(以降DBSC)のオリジントライアルが始まったとのことです。 なので、早速実装してみたのがこの記事となります。 なお、発表したの…
先日以下のプルリクエストがクローズされました。 MCPのAuthorizationについての改定で、様々な議論がされていました。 その中で今回はDPoPについての議論と個人的に感じたことを書きます。 DPoPとその周辺の概念について DPoPは受け取ったアクセストークンが正当な持…
はじめに 現在ログインアプリを作成しているのですが、ふとパスワードをハッシュ化する時のお作法は何か疑問に感じました。 そこで今回はOWASPが展開しているパスワード保存についてのチートシートを見ていきます。 私と同様な疑問を感じた方は見ていただけますと幸いです。 でははじめます。…
はじめに 以前NestJS のドキュメントをもとに認証方法を実装する記事をあげました。 もちろん、上記やり方でもいいのですが世の中には passport という便利なモジュールがあります。 これを使えば多種多様な検証を行うことができ、とても有用です。 そこで今回は、ドキュメントか…
はじめに APIを公開したいな、その際に認可の仕組みを導入したいなと思った時の選択肢に挙げられるのがOAuth2.0かと思います。 アクセストークンを発行するための、様々な仕様が策定されておりより多くのケースに対応できます。 今回はその中でも、以下のようなケースでトークンの受け渡…
はじめに 少し前にAuth0がToken Vaultを発表しました。 私がToken Vaultを見つけたのはAIエージェント関連の文脈だったので、最初はAI専用の機能かと思っていました。 しかし、実際に触ってみるともちろんAIの文脈で使えることは間違いないのですが、必ずしもAI…
(今回は短めです) 現在Cookieの盗難対策として、Device Bound Session Credentials(以降はDBSC)という仕様が提言されています。 これは、デバイスに保存した秘密鍵を使い、セッションの発行・更新をデバイスに紐づけることで盗難リスクを低減させる仕…
はじめに 最近Xにて、証券系のサイトのセッションの扱いが話題になっていました。 そのやりとりを見て、Device Bound Session Credentials(以降DBSC)の緩和策として使えるのではないかと感じていました。 今回は上記の思いが、本当にあっているかを自分の中…
一致する記事がありませんでした