結城浩のはてな日記

はてな認証API / ためしに作ってみました

はてな認証APIが公開されましたので、ためしてみました。

懸念事項

なおやさんところ経由ではてな認証APIの公開について(開発者さま向け)を読んで感じたこと。

• おそらくすぐに「はてな認証APIで○○を作ってみました」的なものが登場するでしょう。おもしろいアプリが登場することを期待。
• ただし、一般ユーザにきちんと認識させないと、悪意のある第三者が一般ユーザのパスワードを奪うアプリを作ってしまう危険性があります。たとえば「はてな認証APIを利用しています」と偽って、「ログイン名とパスワードを入力させるフォーム」を見せるアプリが出た場合、ユーザは誤解しないか。
• それから…解説した図がほしいです。→認証部分のシーケンス図は結城が描きました(このエントリの下の方で公開しています)。

結城さんちのはてな認証APIテスト

追記：2006-04-24 21:09: とりあえず、作ってみました。以下をお試しください(ソースはすぐ下で公開)♪

• 結城さんちのはてなAPIテスト

これは、はてな認証サーバから返された文字列をそのまま表示するだけのアプリです。id:hyukiとid:rubycoさんでうまくいくことを試しました。

追記：2006-04-24 21:49: catfrogさんへ：上の「結城さんちのはてな認証APIテスト」を試してみるとすぐにアプリのイメージは浮かぶと思います。もっとも単純なのは掲示板アプリで、はてなユーザとして認証された人だけは「名前の部分がその人のはてなダイアリーにリンクされている」というようなもの。たとえばはてなダイアリーのコメント欄がまさにそうなってますよね。

追記：2006-04-24 21:59: 一度「結城さんちのはてな認証APIテスト」用に許可すると、はてなのシステムが覚えるみたいですね。もう一度新たな気持ちでやってみたいときには、はてな認証APIのところで許可を取り消す必要があるようです。なるほど。

追記：2006-04-24 22:04: r_iizukaさんへ：URLをクリックしたときには説明用のページにジャンプさせるべきでした。実装次第というよりも、結城が入力するURLを間違えていただけです(^_^; 現在は直してあります。

追記：2006-04-24 22:07: 実装してみて気になった点。認証APIでの「説明文を用意するURL」と「認証のコールバックURL」が無関係でもよいというのはまずいのではないか。というのは、ユーザが「許可を与える」というボタンを押すときに見えているのは説明文のURLだけだから。

はてな認証APIのURLの作り方(make_api_sig.pl)

秘密鍵とapi_keyを入手してからapi_sigを作るには、以下のPerlスクリプト(make_api_sig.pl)が使えます。$secretにあなたの秘密鍵、$api_keyにあなたのapi_keyを入れ、ローカルに動かします。

use strict;
use Digest::MD5 qw(md5_hex);

my $secret = "0123456789abcdef";
my $api_key = "abcdef0123456789abcdef0123456789";
my $api_sig = md5_hex("${secret}api_key${api_key}");

print "secret = $secret\n";
print "api_key = $api_key\n";
print "api_sig = $api_sig\n";
print "URL = http://auth.hatena.ne.jp/auth?api_key=${api_key}&api_sig=${api_sig}\n";

結城さんちのはてな認証APIテストのソース(test.cgi)

追記：2006-04-24 23:27: CGIのソース(test.cgi)を公開します。$secretはあなたの秘密鍵、$api_keyはあなたのapi_key、$help_urlは説明文のURLです。

#!/usr/bin/perl
use strict;
use CGI;
use CGI::Carp qw(fatalsToBrowser);
use Digest::MD5 qw(md5_hex);
use LWP::Simple;

my $q = new CGI;
my $cert = $q->param("cert");
my $secret = "0123456789abcdef";
my $api_key = "abcdef0123456789abcdef0123456789";
my $api_sig = md5_hex("${secret}api_key${api_key}cert${cert}");
my $help_url = "http://www.example.com/about_your_application.html";
unless ($cert) {
    print "Location: $help_url\n\n";
    exit;
}
my $content = get("http://auth.hatena.ne.jp/api/auth.json/?api_key=${api_key}&cert=${cert}&api_sig=${api_sig}");
print
    $q->header,
    $q->start_html('Hatena Auth API Test'),
    $q->start_pre,
    $content,
    $q->end_pre,
    $q->end_html;

はてな認証APIシーケンス図(概略)

追記：2006-04-25 06:15: シーケンス図を描きました(概略のみ)。

• (1) ユーザAは、サービスXに「利用したい」という。
  • たとえばサービスXのどこかのページにアクセスすることを意味します。
• (2) サービスXは、ユーザAに「api_keyとapi_sig1」を渡す。
  • たとえばユーザAにリンクという形で示します。
  • 便宜上、api_sigをapi_sig1とapi_sig2に分けました。両者は違う値になります。
  • api_sig1は前もって計算しておきます(たとえば上で公開しているmake_api_sig.plを使う)。
  • 秘密鍵を使うので、api_keyからapi_sig1を作るのはサービスXと「はてな」しかできません。
• (3) ユーザAは、はてなに「id+password+api_key+api_sig1」を渡す。
  • 通常はユーザAがブラウザでアクセスすることによって渡します。
• (4) はてなは、ユーザAに「cert」を渡す。
  • 実際には(4)と(5)は自動的にリダイレクトされますので、ユーザAは意識しません。
• (5) ユーザAは、サービスXに「cert」を渡す。
  • ここでアクセスするのがコールバックURLです。
  • サービスXはcertは知り得るが、certからpasswordを逆算することはできません（そのようになっていなければなりません）。
• (6) サービスXは、はてなに「api_key+cert+api_sig2」を渡す。
  • api_sig2は毎回計算します(たとえば上で公開しているtest.cgiの中で計算しています)。
  • 秘密鍵を使うので、api_keyからapi_sig2を作るのはサービスXと「はてな」しかできません。
• (7) はてなは、サービスXに認証結果とアイコン情報などを渡す(OKなら)。
• (8) サービスXは、認証後の画面をユーザAに提示する。

※こうやってみると、改めて一方向ハッシュ関数（メッセージダイジェスト）の重要性がよくわかりますね。

※上記のapi_sig1やapi_sig2の作成では秘密鍵を混ぜ込んでメッセージダイジェスト(MD5)を利用しているので、メッセージ認証コードの一種を作っていることになる。一方向ハッシュ関数（メッセージダイジェスト）やメッセージ認証コードについては『暗号技術入門 ―― 秘密の国のアリス』がわかりやすいですよ、と自著の宣伝:-)。

CGIまたはモジュールの実装リンク集

• Perl
  • http://search.cpan.org/~naoya/Hatena-API-Auth/
  • http://d.hatena.ne.jp/hyuki/20060424#hatenaapi
  • Kwiki::HatenaAuth http://search.cpan.org/~yappo/Kwiki-HatenaAuth/
• Ruby
  • http://shakenbu.org/yanagi/d/20060424.html#p01
  • http://subtech.g.hatena.ne.jp/secondlife/20060424/1145882341
  • http://d.hatena.ne.jp/secondlife/20060425/1145929396
  • http://d.hatena.ne.jp/Gimite/20060425/1145938989
  • http://elpeo.jp/diary/20060426.html#p01
• Python
  • http://d.hatena.ne.jp/faerie/20060425
• PHP
  • http://suzuki.tdiary.net/20060424.html#p03
  • http://d.hatena.ne.jp/a_php_ext/20060425/1145945710
• Gauche
  • http://hiratch.net/blog/archives/2006/04/000111.html
• Java
  • http://d.hatena.ne.jp/hiuchida/20060425#1145969793
• 他のシーケンス図
  • http://d.hatena.ne.jp/nekoruri/20060426/hatena_auth
• 現時点で判明の認証APIアプリ
  • http://d.hatena.ne.jp/nekonami/20060505/api
• はてな認証APIを使ったサービスで、とりあえず形になっているものを教えて下さい
  • http://q.hatena.ne.jp/1146798264

ツイートする

Permalink | コメント(0) | トラックバック(0)