yoyoyo

セキュリティ分野に興味があります　認証技術が好きです

[yoyoyo @y0h33]

きました
#oauth_numa #ID沼

[yoyoyo @y0h33]

@ritou なるほど。Signal APIの考慮が漏れてました。RP IDは広くとった方がと記事では書きましたが、勝手に削除されるリスクを考えると、なかなか難しいですね。

[yoyoyo @y0h33]

prompt=noneとauth_timeが指定された場合に、動的に認可リクエストを切り替えるといったことがあると思います。
できるだけログイン画面を出さずに、auth_timeを更新したいといった要望もありそうなので、、、

[👹秋田の猫🐱 @ritou]

仕様準拠を一旦置いといた個人的な意見で言うと、redirect_uriに戻すのはユーザーが拒否した時ぐらいでええやんという感じですね。パラメータエラー返してどうなるんと。動的に修正して認可リクエスト送ってくるんかと。開発用途？なら認可エンドポイントでのエラー表示でええやろ？という感じです。

[yoyoyo @y0h33]

パスキーのRP IDについて書きました。
Digital Identity 技術勉強会 #iddance の6日目です。 https://t.co/mniuTH7wDB

[yoyoyo @y0h33]

アドカレ、急いで書いてる

[yoyoyo @y0h33]

@ritou パスキーでログインしたとユーザに思わせることが大事で、その後で個人情報入力させたり、パスワードリセットを促したりできるのかなと

[yoyoyo @y0h33]

パスキーの挙動よく知らない人が、ログインと間違えてフィッシングサイトへパスキーを登録するとかありそう

[yoyoyo @y0h33]

パスキー実装ってライブラリである程度は安全が保障されるよね
アカウント登録状態の漏洩の対策はサービスとしてどう対応するかは難しいところ

https://t.co/fJ5504ld7U

[👹秋田の猫🐱 @ritou]

認証方式のどれとどれを比べたって問題はない。大事なのは既知の驚異に対してどうなのかを判断すること。どれに対策できているか、できていない驚異の緊急度はいかほどかで最終的に導入の判断になるだろう。

[yoyoyo @y0h33]

パスキーの本、次々出たから買ったけど積んでる。

[mizutani @m_mizutani]

アドベントカレンダーで執筆したものを、読みやすいように少し加筆・修正して本形式にしました。セキュリティ監視の実装について自分が20年ほどやってきた知見や概念を凝縮できたかと思うので、部分的にでもどなたかの参考になれば幸いです

実践セキュリティ監視基盤構築 https://t.co/AMa8rwJgLc

[yoyoyo @y0h33]

パスキーのRP IDを緩くしてしまうと、サブドメインから認証器を呼び出せてしまう話。
まあIdp側でオリジンの検証をしていれば、MiTM攻撃は防げる。でも、偽の認証ページはサブドメインハイジャックでできちゃうんだよなぁ、、、

[yoyoyo @y0h33]

Software Designのパスキーの記事読みました。ブラウザが検証しているのはオリジンではなく、ドメインだったはず？RP IDと後方一致の確認と、httpsで通信が行われているかの確認。オリジンの検証はIdp側だった気がするんですよね。

[yoyoyo @y0h33]

いや、これtransportsをinternalにした時の挙動か？
登録時はinternal を指定して、認証時ではhybridを指定してたら問題なさそう

[yoyoyo @y0h33]

WebAuthnのallowCredentialsは規模空の方がいい気がする。ブラウザ側の実装で、Discoverable loginをする際にQRコードとかの外部キーによる認証が聞かれなくなる、、、

[yoyoyo @y0h33]

パスキーを再認証で使ってるサービスってあるのか？
allowCredentials じゃなくてアプリケーション側でユーザの同一性をとった方がUX高そう

[yoyoyo @y0h33]

WebAuthnのallowCredentialsは規模空の方がいい気がする。ブラウザ側の実装で、Discoverable loginをする際にQRコードとかの外部キーによる認証が聞かれなくなる、、、

[yoyoyo @y0h33]

https://t.co/P9HF2MBAL2
WebAuthn で有効なユーザか探索できるのもCVEになるのか

[AlpacaHack @AlpacaHack]

Introducing AlpacaHack! A new CTF platform designed for individual players. Each CTF will host one category with four challenges.

Kicking things off with Pwn on Sun, Aug 18, from noon GMT+9 for 6 hours. Our first challenge setter is @ptrYudai!

https://t.co/0WuT0dkgn9

[yoyoyo @y0h33]

一度しか使わない環境でも、全てをterraformで定義したくなる

[yoyoyo @y0h33]

WebAuthnのライブラリ使っておけばある程度はセキュリティが担保されるけど、パスキーのアンチパターンてどんな実装があるんかな？