現在このエントリで取り消し線が引いてある部分が、公式クライアントではないクライアントのコンシューマーキーが流出したことで現実のものとなっています。Pro以下はオリジナルの記事ですTwitter公式クライアントのコンシューマキーが流出したと話題になっています。実験の結果oob(暗証番号入力)しか許可されていないことが分かったため、以下の内容は心配しなくてもよさそうです。お騒がせしました「それがどうしたの?」と。以下のような問題があります。公式クライアントにアクセス権を与えている場合(「設定」の「連携アプリ」に公式クライアントが載っている場合)、Twitterにログインした状態で悪意のあるサイトを訪れると、そのサイトが公式クライアントと同じアクセス権を手に入れることができてしまいます。(以下、OAuthはTwitter以外でも使われていますが、話を簡単にするためにTwitterでの話として進めます)復習:OAuthとは(Twitterの場合)OAuthとは、連携アプリ(クライアントやウェブサービス)がTwitterへアクセス(ツイートやDMなど)するための合鍵を発行する仕組みです。Twitterのサイト上でパスワード認証(ログイン)を行い、「許可する」ボタンを押すと、そのアプリとアカウントの組み合わせだけで使える合鍵が発行されます。発行された合鍵は、「設定」の「連携アプリ」で「許可の取り消し」を行うまで有効となります。この合鍵は、アプリの作者だけが知っている合言葉(コンシューマーキー)がなければ機能しません。何が問題?Twitterでは、合鍵が有効になっている場合、同じアプリからの「合鍵を再発行してよ」というリクエストに、確認画面なしで合鍵を再発行するモードが存在します。悪意のある第三者が、アプリの作者になりすまして合鍵の再発行を依頼し、合鍵を手に入れてしまえる可能性があります。いう心配がありましたが、実験の結果oob(暗証番号入力)しか許可されていないことが分かったため、悪意のあるサイトのページ自動転送で合鍵が渡る可能性はないです。(自分で悪意のあるサイトに暗証番号を入力した場合は別で、乗っ取りされてしまいます)悪意のある第三者が合鍵を手に入れてしまうと、あなたの知らないうちにツイートされたり、DMを読まれたりします。合言葉(コンシューマーキー)は変更可能だが......こういう合言葉が流出してしまったときのために、合言葉は変更できるようになっています。今回はスマートフォンアプリですので、スマートフォンアプリの中に埋め込んでいる合言葉を変更する必要があり、アプリマーケットの再審査が必要となります。月別アーカイブはてなブログをはじめよう!mirai-iroさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。