1. OAuth認証再考からの
OpenID Connect
@nov

2. Nov Matake
OpenID Foundation Japan
Evangelist 初号機
OAuth.jp
Idcon
Rubyist
fb_graph, rack-oauth2, openid_connect etc.

3. 「○○ ID でログイン」

4. ユーザー登録めんどくさい

5. 複数サイトで共通のパスワード

6. 「○○ ID でログイン」

7. OpenID / OAuth

8. http://janrain.com/blog/social-login-trends-across-the-web-for-q3-2013/

10. OAuth 認証
… って言うな …

11. 定義: OAuth 認証
外部サービスが提供する OAuth 1.0/2.0
ベースの “Proprietary” な Profile API を
使ってユーザー認証を行うこと。

13. Proprietary

17. GET /me のところを差し替え
ると他の ID Provider も使える

18. THE

19. OAuth 認証の落とし穴

22. GET /me
User Info
:

23. Weak Point
GET /me
User Info
:

24. Weak Point
Token Replace
GET /me
User Info
:

25. Weak Point
Token Replace
GET /me
Different User Data
User Info
:

26. 4者目がいる時は注意 !!
GET /me
User Info
:

27. 見ず知らずの他アプリ向けの
Tokenを受けいれてはならない

28. GET /me
User Info
Another Proprietary
GET /app
App ID

29. 4 API Request
毎ログインごとに
GET /oauth/authorize
POST /oauth/token
GET /app
GET /me

30. ♥
OpenID Connect
OAuth 2.0 + Standardised Identity Layer
#MA7 Mashup Caravan & Meetup in Kyoto

32. ID Token
User Info API

33. ID Token
認証イベントのアサーション (JSON Web Token)
iss – Issuer
sub – Subject, End-user Identifier
aud – Audience, Client ID
iat - issued at
exp - expiry

35. 誰が (issuer = IdP)
誰を (subject = end-user)
誰のために (audience = client)
認証したのか

36. ID Token Verification
Verify Signature (RSA-SHA256 etc.)
Verify Claims
iss => Expected IdP ?
aud => Own Client ID ?
iat => Within X mins ?
exp => Future ?
Get “sub”

37. ID Token
User Info API

38. ID Token
ID Token さえあれば認証可能
User Info API

39. UserInfo API
OAuth 2.0 対応の API Endpoint
レスポンスフォーマット標準化
ID 連携に必要なプロフィールデータは割と似てる
User ID, 氏名, ニックネーム, 生年月日, 住所 etc.
登録時だけ利用 ?

41. Discovery &
Dynamic Registration

42. User Centric means Dynamic

43. developers.facebook.com でアプリ登録
client_id & client_secret をアプリに埋め込む
必要な API Endpoint とレスポンスフォーマットも API
Document 読んで把握

44. developers.facebook.com でアプリ登録
client_id & client_secret をアプリに埋め込む
全部自動化
必要な API Endpoint とレスポンスフォーマットも API
Document 読んで把握

45. Discovery
WebFinger (RFC 7033)
GET /.well-known/webfinger?resource=***
OpenID Connect をサポートしてるかどうか
OP Config
GET /.well-known/openid-configuration
OpenID Connect の各 endpoint 等

46. Dynamic Registration
Client Registration Endpoint (Discoverable)
Standardised Client Metadata
redirect_uris, response_types, grant_types,
application_type, client_name, logo_uri etc.

48. Harder Things?
slideshare.net/nat_sakimura/open-idspecificationsworkupdatetokyo2011

49. twitter.com/nov
slideshare.net/matake
github.com/nov
openid-foundation-japan.github.com