Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
そのAPIはセキュアですか?
Search
RyuSA
January 20, 2021
Technology
2
760
そのAPIはセキュアですか?
Financial Grade な API のセキュリティ
#webapilt
RyuSA
January 20, 2021
Tweet
Share
More Decks by RyuSA
See All by RyuSA
Java屋だってOperatorが作りたい!
ryusa
1
470
Visual Studio Codeとコンテナでいい感じのRe:View執筆環境
ryusa
1
1.3k
JavaScriptと歩くポリシーエンジン jsPolicy
ryusa
1
500
TextAlive App APIと夢見る新しいUX
ryusa
1
310
Gitlab Operatorと夢見るGitlab自動化の旅
ryusa
2
890
AccessPoint Operator on Raspberry Pi
ryusa
1
1k
Serviceをたずねて3000行 - Kubernetesコードリーディングの旅 -
ryusa
2
740
「L3以下は魔法で動いている!」と言いながらiptablesとkube-proxyを読んでみた話
ryusa
1
100
「〇〇完全に理解したったww」から始めるエンジニア生活
ryusa
2
4.1k
Other Decks in Technology
See All in Technology
From LibreOffice to « La Suite » : providing civil servants with Free Software sovereign tools
bluehats
0
100
軽いノリで"自動化"に取り組んではいけないという話
tetsuyaooooo
1
630
【㈱アイモバイル】エンジニア向け会社説明資料
imobile
0
470
Amplify Gen 2ではじめる 生成AIアプリ開発入門
tsukuboshi
0
290
テストを楽に書きたい
tomorrowkey
1
220
コード✕AIーソフトウェア開発者のための生成AI実践入門~
yuhattor
4
880
Oracle Base Database Service 技術詳細
oracle4engineer
PRO
5
48k
業務ヒアリングと知識の呪い
tamai_63
0
300
これはPerl? それともRuby? クイズ〜〜〜〜〜!!!- Perl or Ruby Quiz
moznion
3
2k
Do you know “Environment Variables” ?
akimiya
0
100
LINEヤフー新卒採用 コーディングテスト解説 実装問題編
lycorp_recruit_jp
1
13k
ドキュメントとの付き合い方を考える
leveragestech
2
160
Featured
See All Featured
We Have a Design System, Now What?
morganepeng
50
7.2k
Robots, Beer and Maslow
schacon
PRO
157
8.2k
Why Our Code Smells
bkeepers
PRO
334
57k
The Invisible Customer
myddelton
119
13k
Designing Experiences People Love
moore
138
23k
Raft: Consensus for Rubyists
vanstee
136
6.6k
Fireside Chat
paigeccino
32
3k
Being A Developer After 40
akosma
84
590k
Put a Button on it: Removing Barriers to Going Fast.
kastner
58
3.5k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
327
21k
Clear Off the Table
cherdarchuk
91
320k
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
eileencodes
30
1.7k
Transcript
そのAPIはセキュアですか? Financial Grade な API のセキュリティ RyuSA
RyuSA Financial Service Engineer Java & SpringBoot / Typescript &
React Docker / Kubernetes : RyuSA : ryusa_eng
全国銀行協会より オープンAPI ≠ OpenAPI (Swagger) なんだぜ、ググラビリティがあかん >
たぶんこんな世界になる……?
※注 あくまでも登壇者の妄想です < サービスしてちょ まいどー > < Aくんの口座情報教えてー あの……焼肉屋さんが…… >
< 口座情報教えていいですよー < はいどうぞ
知ってる! これ、OAuth2.0で実装できる!
落ち着け、OAuth2.0はシルバーバレットにあらず
• OAuth2.0はリソース制御のための「フレームワーク」 • OAuth2.0で認可を実装した ≠ セキュアなAPI • SNSの認可に要求されるセキュリティレベル ≠ 銀行や証券の認可に要求されるセキュリティレベル
• 近年はオープンAPIも叫ばれており、金融向けのセキュアな認可の整備が急がれている • 一方で「セキュアな認証認可」をどこまでやるべきかのガイドラインが必要 そして究極のセキュリティ「APIを公開しない」が生まれる 認可に困ったらOAuth2.0に頼ろうとしてない?
Financial Grade API 略して”FAPI” 読み方は「ふぁぴ」だって、かわいいね >
• FinTechサービスにOAuthプロファイルを導入するためのガイドライン • Part1/Part2/Part3の3部作で構成されており「ReadOnly API」「Read&Write API」 などについてそれぞれ実装すべき項目が記載されている • 金融に限らず、高いセキュリティが要求される認可システムの管理者・実装者は参照す べきドキュメント
• チェックリスト方式になっている • 実装すべきこと、設定すべきことが一覧化 • たまに「実装すべきでない」ことも書いてある • CIS Benchmarkのような感じ FAPIは”OAuth2.0実装のガイドライン”
• Part1 (Read Only) • 認可サーバは LoA 2 相当のユーザ認証を実装しなければならない •
ClientはResource Ownerとのセッション中はredirect_uriを保存し、認可レスポン スを受け取った際のredirect_uriと比較しなければならない(5.2.3) • Native Appはカスタムスキーマによるリダイレクトを実装してはいけない(7.5) • HTTPSによるリダイレクトを利用しましょう • Part2 (Read & Write) • 認可サーバは LoA 3 相当のユーザ認証を実装しなければならない • ClientはHolder-of-Key Tokenと実装しなければならない • OAuth 2.0 Token Binding か mTLSかで実装しましょう 具体例
• オープンAPI という世界とその認可のガイドラインFAPI • みなさんの身近に迫ってきています • 「認可システムを作る / 設計する」ということがあれば、FAPIを覗いてみては? •
「あ、この設定した方がいいかも」等の思わぬ発見があると思います • セキュリティレベルをビジネスKPIに沿って決定 • 焼肉食べたい • コロナで外出・外食がめっきり減ってしまって、正直口元が少しさびしい…… まとめ