jwt

今回もWeb開発に関する記事です。 前回はデザイン改善とSlackとの連携機能の実装を行いました。 developer-bpeldi2oerkd8.hatenablog.comここでは、ロゴの作成とSlack連携登録・編集機能を作ったため、 今回はいよいよJWT認証を導入したAPIの実装に移ります。 構成 JWTの発行 JWTの認証 APIのテスト botの実装の変更と動作確認 構成 構成は以下のようになっています。 手順としては、 /api/v1/login にアクセスし、lattendanceにJWTをリクエスト lattendance上でJWTを発行し、JSONでJWTを返す /api/…

こんにちは、サーバーサイドエンジニアのiwamu(@k_iwamu)です。 CloudFrontからS3のプライベートなコンテンツへのアクセス制御はどのように管理されているでしょうか。 アクセス制御の主要な方法の1つとしては、CloudFrontの署名付きURLを作成し、一時的に権限を与える方法が挙げられるかと思います。 しかし、Lambda@edgeを用いれば、アクセス制御をプログラムでもっと柔軟に、かつCloudFront+Lambda@edgeの特性上レイテンシも少なく実装することができます。 今回は、CloudFrontは署名付きURLを使用せず、Lambda@edgeとJWTを使って…

サーバー側はAPI実装に専念し、APIではトークンの検証を行います。 Azure AD B2CをPHPと使う (2) SPAから送られてきたトークンを検証する - noopableの日記 (hatenablog.jp) という記事を先日書きましたが、現在のところJWTの検証が中心課題となります。 総合雑感 認証用のサービスとしても、提供されているSDKの品質でもAuth0が先行している感じですね。 個人的には、firebase/jwtがよいかなと思っています。 JWT検証の仕組みなど まずは、こちらの記事がわかりやすいです。 Get Started with JSON Web Tokens -…

こんにちは、ISC 1年 IPFactory 所属の morioka12 です。 この記事は IPFactory Advent Calendar 2020 の10日目の分になります。 IPFactory という技術サークルについては、こちらを参照ください。 本記事の最後に記載されている余談でも IPFactory の詳細を紹介しています。 はてなブログに投稿しました #はてなブログIPFactory Advent Calendar 2020 の10日目の記事を書きました#JWT #securityセキュリティ視点からの JWT 入門 - blog of morioka12https://t.c…

はじめに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 本稿では、ログイン機能をもつWebアプリケーションにおける実装上の注意を、マイページ機能から派生する機能のセキュリティ観点から記載していきます。特に、XSS（Cross-Site Scripting）やSQLインジェクションのような典型的な脆弱性と比較して語られることの少ない「仕様の脆弱性」にフォーカスしていきます。 これから述べる実装上の注意点は、実際にはマイページ機能であるかどうかに関係なく注意するべきです。 しかし、開発者の視点に立つと「これこれの機能にはどのようなセキュリティ観点があるか」と…

すぐに使える無料のDrupal用統合アプリ v.1 を公開しました。投稿にオフィスファイルを挿入したり、Mediaモジュールでドキュメントの編集やコラボレーションができます。詳細はこの記事をご覧ください。

初学者様向けのJavaScriptでWebストレージを使用する上でのセキュリティ(安全性)などの基本的な知識を解説致します。 プロジェクト構築の過程で、権限認証のトークン、ユーザー情報、埋め込みポイントの数、スキン情報、顧客が構成した言語タイプなどの情報をローカルに保存する必要がある状況に遭遇することがよくあります。 一時的に保存して、不要なリクエストやブラウザの冗長な操作を避け、お客様の利便性を高めます。 その際に、データベースの複雑さを増すことなく、HTMLで何かを成し遂げたい場合があります。 クライアントによってローカルにデータを保存する新しい方法を提供します。 それはWebストレージと…

弊社採用のLINE WORKSなのですが、今までAPI1.0を利用していたのですが、廃止予定が迫ってきたのでAPI 2.0を触りはじめました。 developers.worksmobile.com LINE WORKS API 2.0のリリースに伴い、LINE WORKS API 1.0は2023年4月30日をもって提供を終了いたします。 提供の終了前であっても、サービスの仕様変更等によりLINE WORKS API 1.0の一部が正常に利用できない場合があります。できるだけ早いLINE WORKS API 2.0への移行をご検討ください。 とのこと。 弊社はテック企業ではないので、マシンの環…

こんにちは。 メディアサービス開発部バックエンド開発グループのフサギコ(髙﨑)です。 Ruby on Railsによるバックエンドの実装運用と、AWSによるサービスインフラの設計構築を中心とした、いわゆるテックリードのような立ち位置で働いています。 本記事では株式会社一迅社さまの公式漫画連載サイトであり、ブックウォーカーが開発保守運用を担当している一迅プラスのサービスインフラの概要についてご紹介したいと思います。 もしよければ、前記事のニコニコ漫画のインフラ構成についてならびに読書メーターのインフラ構成についてもご覧ください。 一迅プラスについて 一迅プラスは株式会社一迅社さまが運営する公式漫…

おはようございます。ritouです。 前回の記事に引き続き、FedCM入門です。 ritou.hatenablog.com 何の話か 6/21(火) 19時から、OpenIDファウンデーション・ジャパン主催のイベントがあります。 openid.connpass.com 明日じゃん。 これに先立って、Federated Credential Management API(FedCM) について 非公式 の入門記事を書いています。 今回は、FedCMの現状の実装について解説します。 ID連携の課題とFedCMのアプローチ 現状のFedCM実装解説 <- 今回はこれ FedCM vs OIDC 仕様…

はじめに 認証基盤といえば手軽に使えるAuth0が好きですが、会社の状況によっては使えないことがあると思います。 NextAuthを使いつつ、色々なIdPを試してみようと思いますが、今回はナレッジが少なそうなAzureAD B2Cを試してみようと思います。 まずはいつもの yarn create next-app --typescript をします。 プロジェクトのディレクトリに移動し、 yarn add -D next-auth します。 Azure AD B2Cの設定 docs.microsoft.com docs.microsoft.com docs.microsoft.com をもとに…

前回の記事では、ONLYOFFICEを使って、ドキュメントの閲覧・編集をあらゆるWebアプリに導入する方法をご紹介しました。 今回は、強力なドキュメント共同編集機能をユーザーに提供することに焦点を当てます。共同編集の仕組みについて簡単に説明し、既存の統合アプリのコードサンプルをご提供いたます。

こんにちは、開発チームの冨田です。 今日はSign in with Appleにおける、サーバー側でのリフレッシュトークンの取得と、トークンの無効化処理について書きます。 これは2022年6月から適応される新しいガイドラインにて、アカウント削除機能に対する要件が新しく定義され、それに対応するためのものです。

Dino Run 恐竜で遊ぶゲームが起動する。 フラグが右下にあるようなので移動しよう。 盤面がそれほど大きくないこともあり、フラグマスに到達でき、表示されたフラグが答え Grafana Grafana v8.3.0 (914fcedb72)が使用されている 調べるとLFI脆弱性がある https://www.exploit-db.com/exploits/50581 PoCはそのまま動かさず、PoCを見ながら手動でポチポチしていたら以下でフラグが手に入った。 GET /public/plugins/state-timeline/../../../../../../../../tmp/flag…

Hello there, ('ω')ノ 管理者アクセスへのパスワードリセットを。 脆弱性： アカウントの乗っ取り 認証バイパス パスワードリセットの欠陥 記事： https://medium.com/techiepedia/password-reset-to-admin-access-3b2a649bdc3 APIの上でWebGUIを使用するWebアプリケーションをテストしているときに。 Authorizationヘッダに設定されたJWTトークンで承認されたAPIへの呼び出しに。 注目して。 パスワードのリセットをリクエストすると。 パスワードを更新するためのフォームへのリンクが電子メールで送…

この大会は2022/6/4 9:00(JST)～2022/6/7 9:00(JST)に開催されました。 今回もチームで参戦。結果は3850点で559チーム中47位でした。 自分で解けた問題をWriteupとして書いておきます。 Discord (misc 25) Discordに入り、#announcementsチャネルのトピックを見ると、フラグが書いてあった。 bcactf{0bL1g4T0Ry_d15C0rD_ch4Ll_5jGsnoJn} Intro 2 Pwn (binex 50) マイナスの個数でハムスターを購入し、手持ちを増やし、フラグを購入する。 $ nc bin.bcactf.…