-
Notifications
You must be signed in to change notification settings - Fork 4
/
239.txt
183 lines (143 loc) · 9.29 KB
/
239.txt
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
[4] [DFN[[[OAuth 1.0]]]] は、 [[Web API]] へのアクセス権限に関する[[プロトコル]]です。
[5] 非互換で名前以外まったく違った[[プロトコル]]である [[OAuth 2.0]]
によって形式的には[[廃止]]され、新しい実装はそちらを採用することが一般的になっていますが、
依然として [[OAuth 1.0]] を使っている実装も少なくありません。
* 仕様書
[6] [[OAuth 1.0]] は3回正式な仕様書として出版されています。技術的にはほぼ同じ内容ですが、
若干の違いはあります。
[REFS[
= [7] [CITE@en[OAuth Core 1.0]] ([TIME[2014-05-15 01:06:10 +09:00]] 版) <http://oauth.net/core/1.0/> (2007年10月)
= [8] [CITE@en[OAuth Core 1.0a]] ([TIME[2014-05-15 01:06:10 +09:00]] 版) <http://oauth.net/core/1.0a/> (2009年6月)
= [9] [CITE@en[RFC 5849 - The OAuth 1.0 Protocol]] ([TIME[2014-12-28 14:19:21 +09:00]] 版) <http://tools.ietf.org/html/rfc5849> (2010年4月)
]REFS]
[10] 最初の2つは OAuth Core Workgroup により出版されましたが、その後 [[IETF]]
に移管 [SRC[>>9]] され[[情報提供RFC]]として発行されました。
現在最初の2つには [[RFC 5849]] を参照するよう注意書きが追加されています。
[11] 最初の版には[[セッション固定攻撃]]に対する脆弱性があったため、 1.0a
で修正されています。
[REFS[
- [20] [CITE@en[RFC 5849 - The OAuth 1.0 Protocol]] ([TIME[2014-12-28 14:19:21 +09:00]] 版) <http://tools.ietf.org/html/rfc5849#section-2>
- [28] [CITE@en[RFC 5849 - The OAuth 1.0 Protocol]] ([TIME[2014-12-28 14:19:21 +09:00]] 版) <http://tools.ietf.org/html/rfc5849#section-3>
]REFS]
* 用語
[14] [[RFC 5849]] とそれ以前で用語一式が違っています。
一般には歴史がある旧来の用語が使われているケースが多いようです。
;; [15] [[標準化団体]]が変わると用語が変わるのはよくあることです。
普及している用語を変えられると結局新旧両方覚えないといけなくなるので面倒な話です。。。
* プロトコル
[21] [[OAuth 1.0]] は、
[FIG(list)[
- [[HTTPリダイレクト]]を使った[[認可]]
- それによって得られた[[トークン]]を使った[[認証]]
]FIG]
... で構成されています。
[30] 次の[[引数]]があり、 [CODE(HTTP)@en[[[Authorization:]]]]、
[[URL query]]、または [[payload body]] で[[クライアント]]により使われます。
[FIG(short list)[
- [CODE(URI)@en[[[oauth_callback]]]]
- [CODE(URI)@en[[[oauth_verifier]]]]
- [CODE(URI)@en[[[oauth_consumer_key]]]]
- [CODE(URI)@en[[[oauth_token]]]]
- [CODE(URI)@en[[[oauth_signature]]]]
- [CODE(URI)@en[[[oauth_signature_method]]]]
- [CODE(URI)@en[[[oauth_timestamp]]]]
- [CODE(URI)@en[[[oauth_nonce]]]]
- [CODE(URI)@en[[[oauth_version]]]]
]FIG]
[31] 次の[[引数]]があり、 [[payload body]] で[[鯖]]により使われます。
[FIG(short list)[
- [CODE(URI)@en[[[oauth_token]]]]
- [CODE(URI)@en[[[oauth_token_secret]]]]
- [CODE(URI)@en[[[oauth_callback_confirmed]]]]
]FIG]
[32] 次の[[引数]]があり、[[資源所有者]]にアクセスさせる [[URL]] の
[[query]] で指定します。
[FIG(short list)[
- [CODE(URI)@en[[[oauth_token]]]]
- [CODE(URI)@en[[[oauth_verifier]]]]
]FIG]
[29] その他次の概念があります。
[FIG(short list)[
- [[消費者]]
- [[サービス提供者]]
- [[資源所有者]]
- [[credentials]]
- [[検証符号]]
]FIG]
* リダイレクトによる認可
[22] [[リダイレクト]]を使った[RUBYB[認可]@en[authorization]]は、
次の3段階で行います [SRC[>>20]]。
[FIG(steps)[
= [23] [[temporary credentials要求]]: [[クライアント]]が、[[鯖]]から [[temporary credentials]]
([[識別子]]と[[共有秘密]]) を得ます。
= [24] [[資源所有者認可]]: [[資源所有者]]が、[[鯖]]に対して、 ([[temporary credentials]]
によって識別される) [[クライアント]]のアクセス要求に応えることを認可します。
([[資源所有者]]はこの[[エンドポイント]]に[[リダイレクト]]されてきます。)
= [25] [[トークン要求]]: [[クライアント]]が、 [[temporary credentials]]
を使って[[鯖]]から [[token credentials]] を得ます。
]FIG]
;; [27] 第2段階は[[資源所有者]]が [[Webブラウザー]]等でアクセスすることが期待されています。
第1段階と第3段階は[[クライアント]]から[[鯖]]に直接アクセスすることが期待されています。
[26] この3段階の[[エンドポイント]]の [[URL]] を[[鯖]]は[[クライアント]]に[[広告]]する必要があります [SRC[>>20]]。
しかしその方法は規定されていません [SRC[>>20]]。
その [[URL]] は [[query]] を含んでいても構いませんが、
[CODE[[[oauth_]]]] から始まる[[引数]]を含んでは[['''なりません''']] [SRC[>>20]]。
;; [33] 一般的には当該 [[Web API]] の[[ドキュメント]]の類で[[自然言語]]により[[エンドポイント]]と適用できる[[引数]]などを説明することが多いようです。
[FIG(sequence)[
:O:[[資源所有者]]
:C:[[クライアント]]
:S:[[鯖]]
:O -> C:[[OAuth]] 処理開始
:C -> S:※[[一時credentials要求]] ([CODE(HTTP)@en[[[POST]]]])
:S -> C:※[[一時credentials要求]]への[[応答]] ([CODE(HTTP)[[[200]]]] [[一時credentials]]発行)
:C -> O:※[[資源所有者認可]]への[[HTTPリダイレクト]]
:O -> S:[[資源所有者認可]]の[[要求]] ([CODE(HTTP)@en[[[GET]]]])
:S -> O:[[資源所有者認可]]の確認
:O -> S:[[資源所有者認可]]の承認の通知
:S -> O:※[[コールバック]] [[URL]] への[[HTTPリダイレクト]] ([[検証符号]]発行)
:O -> C:[[コールバック]] [[URL]] への[[要求]]
:C -> S:※[[トークン要求]] ([CODE(HTTP)@en[[[POST]]]])
:S -> C:※[[トークン要求]]への[[応答]] ([CODE(HTTP)[[[200]]]] [[トークンcredentials]]発行)
:C -> O:[[OAuth]] 処理完了
]FIG]
;; [18] [[OAuth]] としては「※」の部分を規定しています。それ以外の部分は[[相互運用性]]に直接影響しないので、
具体的にどう動作させるかは実装依存になっています。
* 認証された要求
[34] [[HTTP認証]]では、[[クライアント]]が[[要求]]に [[credentials]]
を含めて送信し、[[鯖]]がそれを受け入れるか判断します。 [[OAuth 1.0]]
でも [[HTTP要求]]に [[credentials]] を含めます。 [[OAuth 1.0]]
では、 [[クライアント]]を表す[[クライアントcredentials]]と、
[[資源所有者]]を表す[[トークンcredentials]]を(両方共)使います。
[35] 詳しくは次の各項を参照。
[FIG(short list)[
- [[認証された要求]]
]FIG]
[36] [CODE(ABNF)@en[[[auth-scheme]]]] [DFN[[CODE(HTTP)@en[[[OAuth]]]]]]
は、 [[OAuth 1.0]] の [[credentials]] や [[challenge]] を表します。
[37] この値は [[RFC 5849]] で規定されました。 [[RFC 723x]] で新設された
[[IANA登録簿]]には [[RFC 7236]] で登録されています [SRC[>>2]]。
[REFS[
- [2] [CITE@en[RFC 7236 - Initial Hypertext Transfer Protocol (HTTP) Authentication Scheme Registrations]] ([TIME[2014-09-10 00:40:16 +09:00]] 版) <https://tools.ietf.org/html/rfc7236#section-3>
]REFS]
* [CODE@en[XOAUTH]]
[1] [CITE@ja[Gmail Platform — Google Developers]]
( ([TIME[2014-06-25 18:04:07 +09:00]] 版))
<https://developers.google.com/gmail/oauth_protocol>
> This document defines the SASL mechanism XOAUTH for use with the IMAP AUTHENTICATE and SMTP AUTH commands. It allows the use of OAuth 1.0 authentication parameters to authenticate to a user's Gmail account. The mechanism supports standard "three-legged" OAuth and non-standard "two-legged" OAuth.
[3] [CITE@en[draft-ietf-kitten-sasl-oauth-16 - A set of SASL Mechanisms for OAuth]]
( ([TIME[2014-10-16 12:17:28 +09:00]] 版))
<https://tools.ietf.org/html/draft-ietf-kitten-sasl-oauth-16>
* 関連
[12] 元々 [[OAuth]] は [[OpenID]] とは異なるものでしたが、 [[OAuth]]
を使って[[ログイン]]機能を実装するのが流行し、結果的にそれまでの (あまり普及していなかった)
[[OpenID]] による[[ログイン]]機能を置き換えるものとなりました。
[13] [[xAuth]] は [[OAuth 1.0]] から派生した[[プロトコル]]です。
* メモ
[16] [CITE@ja[特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない]]
( ([TIME[2013-03-01 09:31:09 +09:00]] 版))
<http://vividcode.hatenablog.com/entry/twitter-oauth-vulnerability>
[17] [[signature base string]] の計算時に引数は[[パーセント符号化]]してから[[整列]]されますが、
[[整列]]してから[[パーセント符号化]]する実装があり、正しいサーバーとやりとりできなかったりします。 [TIME[2013-09-14T08:14:08.700Z]]
[19] [[Twitter]] の API サーバーは [CODE(MIME)@en[[[application/x-www-form-urlencoded]]]]
でないといけないときに [CODE(HTTP)@en[[[Content-Type]]]] として [CODE(MIME)@en[[[text/html]]]]
を返します。クライアントを厳密に実装すると [[Twitter]] では認証できません。 [TIME[2013-09-14T08:16:00.100Z]]