分12認証APIの仕組みあるサイトの認証情報(たとえばユーザID)を,別のサイトから利用したい場合があります。ブログでのコメント書き込みの際に認証を行いたい場合などです。その場合,ID/パスワードを別のサイトに入力する必要がありました。セキュリティのことを考えると,ユーザはID/パスワードを別のサイトに入力したくはないはずです。サイトの管理者も余計な個人情報を受け取りたくはありません。認証情報を扱う場合の問題点そこで考え出されたのが認証APIです。認証APIを使うことで,ユーザは認証情報利用サイトにIDとパスワードを入力せず,認証情報提供サイトと直接認証を行うことができます。いくつかのサイトが認証APIを提供していますが,細かい違いはあるものの,基本的な考え方は同じですので,一般的な認証APIの説明をしたいと思います。認証APIの仕組みユーザが認証情報利用サイトにアクセスします。(1)認証情報利用サイトがユーザの認証情報を利用したい場合,ユーザを認証プロバイダ(認証情報提供サイト)にアクセスさせます。(2)認証プロバイダにアクセスしたユーザは,そのサイトが確かに認証プロバイダであることを確認して,認証プロバイダ用のIDとパスワードを入力します。(3)認証に成功すると,認証プロバイダは認証情報利用サイトへとユーザを遷移させます。(4)認証情報利用サイトは,認証プロバイダへ問い合わせることで,ユーザの情報を受け取ることができます。(5)(6)このように認証プロバイダが認証APIを提供していれば,ユーザと認証情報利用サイトの間でIDとパスワードをやりとりしなくても,認証情報利用サイトは必要な情報のみを取得することができます。認証APIのセキュリティこれまで,各企業や団体は独自の仕様で認証APIを提供していました。そのため,認証APIを提供するサービスが増えた場合,ユーザは各サービスごとにID,パスワードを入力する必要がありました。そこで特定の認証プロバイダに頼るのではなく,誰でも認証プロバイダになれるようにしようという動きがあります。OpenIDはその代表例です。認証APIを提供する方法を規約として定め,その規約に則ってサービスを開発すれば,任意の認証プロバイダを利用することができ,ユーザの負担を減らすことができるというわけです。ユーザから見れば,シングルサインオンが実現されます。どの認証プロバイダを利用するかはユーザに委ねられています。そのため,セキュリティを考慮していない認証プロバイダを選んでしまった場合には,認証プロバイダがSQLインジェクションやセッションハイジャックのような攻撃に遭うことで,認証情報が盗まれることも考えられます。フィッシングのように,偽物の認証プロバイダに情報を入力させられてしまうことで,認証情報が盗まれることも考えられます。以下に,セキュアな認証プロバイダを見分ける上での最低限のポイントを紹介します。SSLが適切に使われているかログイン画面およびログイン後の画面で,HTTPSが使われているかを確認します。情報利用先のURLが表示されるかどのサイトにユーザの情報を送信するかについて,ユーザに確認してもらうためです。ユーザが意図しないサイトに情報を送信することを防ぐことができます。フィッシングの可能性について注意を促しているか偽物のサイトに情報を入力させられてしまった場合の被害は甚大になります。そのようなリスクを把握しており,ユーザに注意喚起しているということは,その認証プロバイダがセキュリティに気を遣っているということがわかります。現在,認証プロバイダはより多くのユーザ数獲得に乗り出しています。ユーザ数が多いということが,認証プロバイダとしての信頼性につながると考えているためだと思われます。ユーザがセキュリティの観点から認証プロバイダを選択することで,セキュリティ意識の低い認証プロバイダが淘汰されていくのではないでしょうか。認証情報利用サイトの側からも,どの認証プロバイダを信頼するかについて気を配るべきです。認証プロバイダの中にはまったく認証を行わないで,匿名サービスを提供するものも存在します。認証情報利用サイトで提供するサービスの種類によっては,匿名サービスを提供する認証プロバイダを拒否することも,検討する必要があります。大学の授業で作成したプログラムのセキュリティホールを指摘されたのがきっかけでセキュリティの道に進む。セキュリティベンダーでIDS,IRT等に従事した後,Webアプリケーションのセキュリティ検査サービスを立ち上げる。2006年4月に株式会社セキュアスカイ・テクノロジーを設立。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。