Young risk taker.: OpenID動向 - Trusted Data Exchangeがユーザ属性ポータビリティの切り札になるか？
第三回 Liberty Alliance 技術セミナーで=natさんの基調講演を公聴してきて、OpenID関連の動向を仕入れたのでメモ。 OPとRP間で属性情報を交換するための拡張として、SREGやAXがあるが、AXも今ひとつ普及するに至っていない。(myopenid.comとVeriSignだけ？)また、プライバシポリシーや利用規約の問題もあり、日本企業では、ユーザ属性をサードパーティに公開出来ない事も多い。 基本的に、AXとSREGの違いは、 交換可能な属性をコミュニティベースで提案&決定する属性を識別するために、プリミティブな値でなく、ネームスペースURIを使うOPに要求する属性の個数が指定可能RPがOPに対して属性の保存をする事が可能。(ただし、使われているプロバイダは知らない。) が挙げられるが、根本的な問題は、OpenIDのユーザ属性として、クレジットカード番号や電話番号などプ
と言う訳でついに来ましたね。 http://mixi.jp/openid.pl mixi OpenID << mixi Developer Center (ミクシィ デベロッパーセンター) 中の人、お疲れ様でした。 実はさっきまで mixi に行って技術的な意見交換などしてきました。mixi OpenID の技術的な側面なんかを簡単に紹介したいと思います。 ミクシィ認証 これは普通の OpenID Provider の挙動と同じです。僕のアカウントは http://mixi.jp/show_profile.pl?id=29704 なので僕の OP Local Identifier は、 https://id.mixi.jp/29704ここでお気づきの方も居るかと思いますが、OP Local Identifier 自体も https で提供されています。さて最初の html の内容を確認して
mixi OpenID について、サービスの提供を終了させて頂く事となりました。 mixi OpenID をご利用されている外部サイト様は、下記のお知らせをご参照ください。 【重要】 mixi OpenID 提供終了のお知らせ 概要 mixi OpenID は mixi 内のユーザー情報を外部サイトでの認証に使用するためのサービスです。この文章では mixi OpenID の仕様について説明します。 はじめに mixi OpenID は mixi 内のユーザー情報を、OpenID Authentication 2.0 (以下 OpenID 2.0) に準拠する形で、外部サイトでの認証に使用するためのプロトコルです。マイミクシィやコミュニティという馴染み深いモデルで、ユーザーに Web 上のアクセスコントロールを提供します。 mixi OpenID では、mixiユーザー個人のアイデンティテ
最近ずいぶんフィード消化してませんでした。で、久しぶりに見てみたら、こんな話がZIGOROuさんとこに。 Web+DBのOrenID特集を読みました。、教えて欲しい疑問点があります。素人なので初歩的な疑問点で申し訳ありませんが、よろしくお願い致します。 今、携帯電話の契約者固有ＩＤのプライバシーの懸念が問題になっています。http://takagi-hiromitsu.jp/diary/20080710.html 問題点を以下に要約しますと、 ａ サイトで住所氏名Ｅメールアドレス等の個人特定情報を入力することによって、その個人特定情報と契約者固有ＩＤ（ｉモードＩＤ等）とが紐付けられ、ネット上での行動履歴情報が契約者固有ＩＤを手掛かりに収集され（名寄せされ）、その収集情報と個人とが結び付けられる。 ｂ 収集情報と個人とを結び付けた情報（以下「個人特定型ライフログ」という）が、悪徳業者の手に渡
やっと下準備終わったので書いてみる。 OpenID でのプトロコルメッセージで、認証アサーション要求*1及び応答*2でのメッセージは通常、RP-OP 間で associate 時に交換した MAC キーを持って署名を行う為、期待する相手と通信している限りは改ざんは起こりにくいと考えられます。 但し最近話題に出て来ている DNS Cache Poisoning のような攻撃を受けた場合、中間者攻撃 (man-in-the-middle attack) が成立する可能性があります。 攻撃手法の例 例えば、RP の DNS が汚染されていた場合を考えます。本来 OP であるはずのホストが悪意のある第三者のサーバーに割り当てられていた場合、その第三者のサーバーが中継を行えば、DH 鍵交換を行ってもまったく無意味で、認証データが盗まれる可能性があります。つまり、 RP から見ると OP に見えて O
後にも先にもセキュリティがメインテーマの集いでお話する事が無さそうな id:ZIGOROu です。他のスピーカが全員スーツで来る中、一人私服で来ると言う緊張感の無さ*1でしたが、実際は激しく緊張してましたｗ 7/5 Developers DAY – 事件は現場で起こっている……セキュリティライフサイクルとマルプラクティス | Web Application Security Forum - WASForum にて講演したスライドを公開します。 The Security of OpenID Authentication 2.0 (PDF ファイル) 話の内容ですが、 OpenID プロトコルの概要 OpenID のセキュリティ discovery association RP の詐称と return_to, realm nonce の確認 Identifier 再利用問題 Reputatio
※認証サーバ用プラグイン …β版：2008年6月19日 ※安定版：2008年7月公開予定 OpenIDとは 1つのIDで、対応する様々なウェブサイトを安全に利用できるURL形式のIDです。サイトやサービスごとに新たなアカウントを作成したり、ログインする必要がありません。 OpenIDについて詳細 OpenID Engineとは 「OpenID Engine」は、OpenID2.0とRails2.0で開発され即時にシングルサインオンサービスを開始できるプラグインです。MIT Licenceで公開されています。 開 発 者：株式会社ディノ 技術部 城戸総史 (ブログ:英語) 問い合わせ：株式会社ディノ 広報担当 塚原 [email protected] 下記個人情報の取り扱いについて確認いただき、同意の上で上記メールアドレスへお問合せください。 お預かりした個人情報は、お問合せに対して弊
OpenID Authentication 2.0から正式にXRIおよびYadis Protocolが仕様に盛り込まれました。 一度きちんと勉強したいと思っていたのでYadisについてまとめると共にOpenIDとどのように関連しているのかまとめたいと思います。 Yadisとは Yadisの概要 こちらは本家のWhat is Yadisが非常に簡潔に説明しています。 Given an identity URL and no other information, how do we know what protocol needs to be used to authenticate that user? Yadis is a service discovery system allowing relying parties (aka identity consumers or members
あるサイトで OpenID の使用を検討していて、備忘録をかねてブログにまとめててみようと思い記事にしてみました。 OpenID の基本的な用語説明と、OpenID 2.0 で新たに取り入れられた仕様についてまとめてみました。また、Python OpenID Library で用意されているサンプルのサーバーを動作させる方法について紹介してみたいと思います。 OpenIDに対応したサイトでユーザー登録したユーザーには、OpenID用のID(identifier:識別子)が割り当てられます。 ユーザー登録やパスワード管理などの機能を持たないサイトでは、ユーザーにこのOpenID用のIDを入力してもらい、 OpenIDの仕組みを使って安全にIDの認証と使用の認可の確認を行うことができます。 ユーザーは、認証サーバ側で認証機能を持たないサイトで、自分のアカウントが使用されることを許可する必要があ
OpenIDが知られるようになり、自分のURLにおいたHTMLヘッダに、link rel="openid.server"……から始まる2行を追加することで、自分のURLをIDとして利用ができる、ということを知っている方も多いかと思います。今回はヘッダに書かれた2行が、OpenIDの仕様ではどのように定義され、利用されているのかを解説します（編集部） 第1回ではOpenIDの基礎知識を取り上げ、登場する用語について説明していきました。今回は動作の概要として、具体的にClaimed IdentifierがVerified Identifierとなるための手続きについて説明します。前回紹介した用語をもう一度復習しながら読んでみてください。 Claimed Identifierの宣言 まずはOpenIDの動作概要について説明します。End UserがどのようにしてConsumerに対して自分のCl
ここ数カ月で注目を集めつつある話題の1つに、OpenIDというオープン系の分散型デジタル認証システムがある。日々のシステム管理における頭痛の種としては、シングルサインオンなどの機構が知られているが、OpenIDとはそうした問題を解消するためのソリューションであって、個人情報の保護、信頼性の確保、スパムの対策、メッセージの真偽確認などの問題については全くのノータッチである。またOpenIDにおけるサインオンのプロセスが複数のステージに分かれているのも事実である。さて、ここまでの説明を読んで早々にOpenIDに見切りを付けたとすれば、それはあまりに早計すぎる判断だと言えよう。OpenIDというシステムは、エンドユーザに対して様々なメリットを提供してくれるからだ。 最も基本的なレベルでの説明をすると、個々のユーザに与えられる認証用のOpenIDとは重複のないユニークなURL値ということになる。具
Wordpress, 37Signals Join OpenID Bandwagon OpenID has gained two more high profile Internet company supporters. Wordpress announced their support today and also Chris Messina did a bit of snooping and discovered that 37Signals support is nigh. These two organizations join Digg, Microsoft, AOL, Yahoo, LiveJournal, MediaWiki, and others in their support of OpenID. 英語圏でOpenIDが熱いようで、ついに37Signalsも対応すると
最も安い引越し業者を探す方法は簡単です！ それは、引越し業者に１社ずつ見積もりを取ってもらい、比較すること。 しかし、 １社１社、見積もりを依頼するのは非効率で、 時間も労力もかかってしまいます。 そこで、おすすめなのが、 引越し業者一括見積もりサービス ご自身の荷物量と住所や引越し時期など、 概要を一度入力するだけで、 複数の引越し業者に対して見積もりを依頼することができます！ 一回の手間で見積り依頼が可能なので、 労力がかからない、時短！お役立ちサイトを使って、 賢く引越し業者を比較しましょう。 さらに、引越し業者一括見積もりサービスだと、 料金を比較される、ということを引っ越し業者も分かっているので、 通常の見積もりよりも安く提示してくれることが多いです。 安く引っ越したいなら、引越し業者一括見積もりサービスをフル活用しましょう。 引越し業者一括見積もりサービスおすすめ５社 サイトに
Yadis、OpenID微妙に進んでます OpenIDの方は、仕様的な動きは特になしですが すみません、大嘘かましてました。 プロファイル取得のプロトコルができていました。 Simple Registration Extensionなので、プロファイル取得と言うよりは、OpenIDコンシューマサイトにユーザ登録するのに必要な情報をOpenIDサーバから自動取得するのに使うという位置付けなのでしょうが、まー要するにできることはプロファイル取得です。 対応するサーバを記述する場合の、Yadisドキュメント上の定義はこんな感じのようです。 <Service> <Type>http://openid.net/signon/1.2</Type> <Type>http://openid.net/extensions/sreg/1.0</Type> <URI>http://www.myopenid.c
OpenID is an easy and safe way for people to reuse an existing account and user profile from an identity provider, for example Apple, Google, or Microsoft to sign-in to any OpenID-enabled applications and websites without creating a new registration and password. You choose the provider, such as Google and enter your Gmail address and password to sign-in. With OpenID, you control how much of your
NAME Net::OpenID::Server - Library for building your own OpenID server/provider VERSION version 1.09 SYNOPSIS use Net::OpenID::Server; my $nos = Net::OpenID::Server->new( args => $cgi, get_user => \&get_user, get_identity => \&get_identity, is_identity => \&is_identity, is_trusted => \&is_trusted, endpoint_url => "http://example.com/server.bml", setup_url => "http://example.com/pass-identity.bml",
注意 この仕様は最初のプロトタイプで、コミュニティからのフィードバックを受けて若干の仕様変更をしています。 この仕様に基づいて実装しないでください。 OpenID のカラクリ あるブログをメンテしているとします。そしてそれが、例えば livejournal.com で（他のものでも構いませんが）、 あなたは常にそこにログインしているとします。 次に、someblog.com （MovableType や Wordpress、DeadJournal などなどでしょう）にコメントを 付けたいと思ったとします。ところがコメントをつける先には、あなたはアカウントを持っていません。 こうなると、認証つきのコメントを残す術がありません。 ここで、もしコメントをつける先の blog システムが OpenID に対応しているとすると、次のような ものがついています（実際にはもっとカッコイイものでお願いしま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
