Tweet
Tweet

Slide 1

Slide 1 text

Everyone Now Understands AuthZ/AuthN and Encryption Perfectly and I'm Gonna Lose My Job sylph01 @ Kyoto.rb Meetup Kaigi on Rails 2024 Recap, 2024/11/26 1

Slide 2

Slide 2 text

だれ やせいのプログラマ。認証認可とか暗号と かできます けどKaigi on Rails を経てもうみんなで きるよって話をします RubyKaigi 2025 のローカルオーガナイザー をしています 愛媛県松山市に住んでいます 画像はWeb サイトより 2

Slide 3

Slide 3 text

3

Slide 4

Slide 4 text

背景 Kaigi on Rails 2021 で "Build and Learn Rails Authentication" というトークをしました ログイン・ログアウト、クッキーから の自動再ログイン、パスワードリセッ ト、ロックアウト etc. の自作を通して 認証の動作原理を学ぶ、という内容で す 4

Slide 5

Slide 5 text

Rails API モードのためのシンプルで効 果的なCSRF 対策 (@corocn) 「なんかとりあえずしーえすあーるえふとーくんとかいうのを発行 しておけばいいんでしょ」っていう状態を脱することができる内容 CSRF って何？→「ぼくはまちちゃん！」で検索だ！ ( 一般的には) 悪意のあるサイトが被攻撃者の認証済みセッショ ンを利用してリクエストを実行できてしまうこと セッションCookie が自動的に送られてしまうことを利用 5

Slide 6

Slide 6 text

Rails API モードのためのシンプルで効 果的なCSRF 対策 (@corocn) API モードにおいてCSRF トークンを受け渡しするのは極めてしんど い なので Web 標準を使って 対策しよう ("Standardization is King") Origin 検証をしよう SameSite 属性を適切に設定しよう 6

Slide 7

Slide 7 text

OmniAuth から学ぶOAuth 2.0 (@ykpythemind) 要するに3 年前に話さなかった部分の話。 7

Slide 8

Slide 8 text

Page 9 - https:/ /speakerdeck.com/ykpythemind/omniauthkaraxue-buoauth2-dot-0-kaigi-on-rails-2024?slide=9 8

Slide 9

Slide 9 text

Page 17 - https:/ /speakerdeck.com/sylph01/build-and-learn-rails-authentication?slide=17 9

Slide 10

Slide 10 text

なげえよ Page 17 - https:/ /speakerdeck.com/sylph01/build-and-learn-rails-authentication?slide=17 10

Slide 11

Slide 11 text

Page 56 - https:/ /speakerdeck.com/ykpythemind/omniauthkaraxue-buoauth2-dot-0-kaigi-on-rails-2024?slide=56 11

Slide 12

Slide 12 text

このネタ入れてきたの最高 Kaigi on Rails 2020 のときにDNS の話で「浸透」の話入れてきた のと同じ香りがしてよい Page 56 - https:/ /speakerdeck.com/ykpythemind/omniauthkaraxue-buoauth2-dot-0-kaigi-on-rails-2024?slide=56 12

Slide 13

Slide 13 text

大事なデータを守りたい！ActiveRecord Encryption と、より安全かつ検索可能な暗号化手法の実装例の 紹介 (@free_world21) 「あくてぃぶれこーどえんくりぷしょんってのがあるから暗号化は 楽勝！ｗ」という状態を脱することができる内容 「レコードごとに異なる暗号鍵を使う」っていうのがActiveRecord Encryption ではできない、のでattr_encrypted gem でそれを実現する カラムごとに違う鍵を使う、っていうのはできるように見える 13

Slide 14

Slide 14 text

大事なデータを守りたい！ActiveRecord Encryption と、より安全かつ検索可能な暗号化手法の実装例の 紹介 (@free_world21) 決定論的暗号化を使うと検索が可能になる 同じ平文に対して必ず同じ暗号文が得られる 当たり前では？ → 初期化ベクタがランダマイズされてるとそ の限りではない なので決定論的暗号化は多少insecure 「検索可能暗号」っていう技術はあるけど一般での実用化はま だ遠そう 14

Slide 15

Slide 15 text

https:/ /words.filippo.io/the-ecb-penguin/ "The ECB Penguin" 15

Slide 16

Slide 16 text

大事なデータを守りたい！ActiveRecord Encryption と、より安全かつ検索可能な暗号化手法の実装例の 紹介 (@free_world21) あと暗号化全般に関して、 「鍵管理は人類には早すぎるよね」っていう 結論になりがち。とてもわかる 16

Slide 17

Slide 17 text

Identifying User Identity (@moro) これは後でluccafort さんが話すので私からは「えがった… （語彙力） 」で とどめておきます 17

Slide 18

Slide 18 text

まとめ 全人類が認証認可と暗号化を完全理解してしまった 2024 の発表と2021 のスライドを合わせて読むとカバーしてないと ころもカバーできてさらに完全な理解が得られてしまう（宣伝） s01 氏、失職不可避 18