miauthで簡単にWebサービスにログインできるシステム

[syuilo]

Summary

Motivation

現状、Webサービス側でセッション情報を保持していない限り、WebサービスにMisskeyアカウントでログインするときはその都度Miauthでアクセス許可をしてトークン発行がされる。
Misskey側で、ひとつのWebサービスはひとつのトークンを使いまわせるようにすると便利なため、そうしたい。

案

アクセス許可の際に、ブラウザでリファラを取得しておく。そうするとどのWebサービスから来たのかわかるため、トークンにもその情報を付けておく。
次にアクセス許可を求められた際は、まずその時のリファラと一致するトークンがデータベースに既に無いか確認し、あれば許可しているものとしてそのトークンをレスポンスとしてリダイレクトする。
そうすることで、ユーザーは何の操作も必要なしにログインできる。

[syuilo]

この方法で何かセキュリティリスクとか脆弱性が発生し得ないか確認していただきたく
CC: @rinsuki @mei23 @acid-chicken @Xeltica @tamaina

[acid-chicken]

字面だけ見ると攻撃に対してあまり強くなさそう（リファラと何らかの追加情報さえあればトークン盗める？）に見えるけど、具体的にどういうフローなんだろう

[syuilo]

リファラ情報さえ有ればトークン取得できるけど、ブラウザでリファラを偽装することは不可能なのでその点は大丈夫そう

[mei23]

Webサービス側でセッション情報を保持していない限り

これはWebサービス側でセッションなりアクセストークンを保持しておけばいいのではと

外部Webサービス側から再リクエストしてくる理由が、
ただの手抜きなのか意図しているのかわからないので、特にMisskey側でで補完するべきものでもない気がします。

[syuilo]

これはWebサービス側でセッションなりアクセストークンを保持しておけばいいのではと

そういえばセッションあっても別のブラウザからログインする時とかはセッションないのでやっぱりトークン複数作られることになる

[rinsuki]

リファラ切ってるユーザーが使えなさそう

[rinsuki]

あと連携サービス先にオープンリダイレクトがあるとやばそう

[rinsuki]

あとドメイン失効した時が怖い

[syuilo]

あとドメイン失効した時が怖い

ドメインに関してはこの機能実装しなくても危険性ありそう
例えば前のサービスと全く同じデザインにしてアクセス許可求めたらユーザーは分からないから許可しそう

[syuilo]

リファラ切ってるユーザーが使えなさそう

使えないユーザーは単に今までの手順になるだけだからそこは無視で良さそう

[Johann150]

I am currently implementing something that needs log out & log in again. Users can manually log out if they wish (for example if they are using multiple fediverse accounts on the aplication this is necessary) but logging back in with Miauth will generate a new API token.
When using the legacy authentication method, this works fine because the app has to be registered first (this is not documented well). So I think I can continue using the legacy authentication for now? Are there any plans of removing the legacy authentication system?

[syuilo]

Probably it is more worthwhile to implement OAuth2 than to devote resources to revive legacy authentication or enhance MiAuth like this Issue.