認証認可のメカニズム（概論）

Transcript

1. 認証認可のメカニズム
   （概論）
   onodera
   

   View Slide

2. 認証 認可
   

   View Slide

3. 認証 認可
   Authorization (AuthZ)
   Authentication (AuthN)
   

   View Slide

4. 認証 認可
   Authorization (AuthZ)
   Authentication (AuthN)
   相手が誰（何）であるかを確認すること
   特定の属性に対して、リソースアクセスの権限
   を与えること
   

   View Slide

5. 認証 認可
   Authorization (AuthZ)
   Authentication (AuthN)
   相手が誰（何）であるかを確認すること
   特定の属性に対して、リソースアクセスの権限
   を与えること
   401 Unauthorized - 認証の失敗
   -The request requires user authentication.-
   (RFC 2616)
   403 Forbidden - - 認可の不足
   -The server understood the request.-
   (RFC 2616)
   

   View Slide

6. 認証 認可
   Authorization (AuthZ)
   Authentication (AuthN)
   相手が誰（何）であるかを確認すること
   特定の属性に対して、リソースアクセスの権限
   を与えること
   ＜関心事＞
   誰であるか
   ＜関心事＞
   どういう人であるか
   401 Unauthorized - 認証の失敗
   -The request requires user authentication.-
   (RFC 2616)
   403 Forbidden - - 認可の不足
   -The server understood the request.-
   (RFC 2616)
   

   View Slide

7. 認証 認可
   ・身分証明証による「本人確認」 ・コンビニでお酒を買うとき身分証を提示
   の例 の例
   ・生体認証
   ・iPhoneのFaceID
   ・学生割引を受けるために、学生証を提示
   ・駅で切符を買って電車に乗る
   

   View Slide

8. 認証 認可
   ・身分証明証による「本人確認」 ・コンビニでお酒を買うとき身分証を提示
   の例 の例
   ・生体認証
   ・iPhoneのFaceID
   ・学生割引を受けるために、学生証を提示
   ・駅で切符を買って電車に乗る
   ・認証に基づかない認可
   

   View Slide

9. 認証 認可
   ・身分証明証による「本人確認」 ・コンビニでお酒を買うとき身分証を提示
   の例 の例
   ・生体認証
   ・iPhoneのFaceID
   ・学生割引を受けるために、学生証を提示
   ・駅で切符を買って電車に乗る
   ・認証に基づかない認可
   

   View Slide

10. 認証 認可
    ・身分証明証による「本人確認」 ・コンビニでお酒を買うとき身分証を提示
    の例 の例
    ・生体認証
    ・iPhoneのFaceID
    ・学生割引を受けるために、学生証を提示
    ・駅で切符を買って電車に乗る
    運転免許
    ・認証に基づく認可
    ・認証に基づかない認可
    

    View Slide

11. 認可のためのフレームワーク（概論）
    

    View Slide

12. 認可のためのフレームワーク（概論）
    

    View Slide

13. 認可のためのフレームワーク（概論）
    

    View Slide

14. 認可のためのフレームワーク（概論）
    

    View Slide

15. 認可のためのフレームワーク （OAuth）
    FYI: RFC 6749 - The OAuth 2.0 Authorization Framework 日本語訳
    https://tex2e.github.io/rfc-translater/html/rfc6749.html
    

    View Slide

16. トークンのタイプ （OAuth）
    アクセストークン
    

    View Slide

17. トークンのタイプ （OAuth）
    アクセストークン と リフレッシュトークン
    

    View Slide

18. トークンの形式 - JSON Web Token
    JWT （JSON Web Token）のメリット FYI: Introduction to JSON Web Tokens
    https://jwt.io/introduction/
    ・Tokenに含まれる電子署名により改ざんを防止できる
    ・URL Safe（URLに含むことができる文字だけで構成されているから、HTTPリクエストでの
    取り扱いが楽）
    ・実装が容易で比較的セキュア
    JWT の構造
    ・base64urlencode(header) + "." + base64urlencode(payload) + "." + base64urlencode(digitalsignature(header + payload))
    

    View Slide

19. ご清聴ありがとうございました
    

    View Slide