update.はじめにこの記事は、FAPIについて正しくまとめようとした記事ではなく(それが必要な方はこちらを参照ください)、認証・認可の初心者がどのようにFAPIを捉えるか、という目線で書かれています。ご指摘など大歓迎ですので、ぜひコメントください。FAPIとは金融機関サービスのためのAPIの標準だと思っています。金融機関のサービスを一部利用できるアプリでは、(現在もそうかは知りませんが)銀行のWebサイトを、ユーザーが入力したIDとパスワードでスクレイピングしてAPIエンドポイントのように利用しているケースがありました。Groupで議論が進められています。間で、特に認可グラントのフローにおいてメッセージの送信元・送信先・メッセージ内容が正しいかどうかを確認できないのが問題のようです。そのほか、クライアントサーバーの内部ではグラントやアクセストークンなどを暗号化しないとか?などの観点もあるようです。いうニーズがあるようです。メッセージの送信先クライアントのサーバー(例えばお財布アプリのバックエンド)がスマホアプリに対して認可グラントを送るとき、スマホがマルウェアに感染していてURLスキーマが乗っ取られていたら、その認可グラントが悪意あるアプリに取って行かれてしまう、のが問題のようです。どのように対策するか?FAPIの仕様では読み取り専用のAPIと読み書き可能なAPIで対策を分けています。読み取り専用のAPIのためのフローでも基本的なOAuthよりも厳しくなっており、さらに多様な攻撃を想定したセキュリティを仕様に組み込んだのが読み書き可能なAPI、という枠組みで仕様を読み進めるのが良さそうです。おわりにここに書いたことは全てFAPIの資料の解釈です。他にもこんな記事が参考になるよ、とか、こんな勉強会してるよ、などの情報があればぜひコメントください。requestStockLike3@hirogahttp://hiroga.hatenablog.com/Follow株式会社justInCaseテクノロジーで保険を身近にする保険スタートアップです。upLoginユーザーは見つかりませんでした。