OAuth PKCE のバックアップ(No.1) - マイクロソフト系技術情報 Wiki

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
対策
仕様の概要
参考
- 仕様
- その他

↑

概要 †

認可コード横取り攻撃 (authorization code interception attack) への対策

（Authorization Codeグラント種別により発行された）
認可コードをクライアントアプリケーションが受け取る際、
悪意のあるアプリケーションがその認可コードを横取りする攻撃に対抗する仕様。

主に、ネイティブアプリが、外部ブラウザを使用してOAuth 2.0認証要求を発行する場合、
Authorization Codeを使用し、redirect_uriにカスタムURIスキームを使用してcodeを取得する、という方式があるが、
- カスタムURIスキームの上書き攻撃によって、このが傍受されることがある。
- また、client_idや、client_secretも漏洩してしまう可能性がある。

↑

対策 †

コード交換のための証明鍵（PKCE、 "pixy"と発音）を使用して脅威を軽減する。
プロビジョニングされたアプリケーションのバイナリ・ファイル中のclient_secretについては、
機密性が考慮されていないため、client_secretを必要としない方式になっている。

↑

仕様の概要 †

Abstract Protocol Flow

                                                +-------------------+
                                                |   Authz Server    |
      +--------+                                | +---------------+ |
      |        |--(A)- Authorization Request ---->|               | |
      |        |       + t(code_verifier), t_m  | | Authorization | |
      |        |                                | |    Endpoint   | |
      |        |<-(B)---- Authorization Code -----|               | |
      |        |                                | +---------------+ |
      | Client |                                |                   |
      |        |                                | +---------------+ |
      |        |--(C)-- Access Token Request ---->|               | |
      |        |          + code_verifier       | |    Token      | |
      |        |                                | |   Endpoint    | |
      |        |<-(D)------ Access Token ---------|               | |
      +--------+                                | +---------------+ |
                                                +-------------------+

各エンドポイントで受け取るパラメタ

認可エンドポイント

#	パラメタ	要否	説明
1	code_challenge	必須	Code Verifier を元に計算された Code Challenge の値
2	code_challenge_method	任意	Code Challenge の計算に用いるメソッド。plain (デフォルト) もしくは S256。

Tokenエンドポイント
# パラメタ要否説明
1 code_verifier 必須 Code Challenge の元となった Code Verifier の値

#	パラメタ	要否	説明
1	code_verifier	必須	Code Challenge の元となった Code Verifier の値

↑

参考 †

↑

仕様 †

RFC 7636 - Proof Key for Code Exchange by OAuth Public Clients
https://tools.ietf.org/html/rfc7636

↑

その他 †

RFC7636として発行されたOAuth PKCEとは - r-weblife
http://d.hatena.ne.jp/ritou/20151018/1445181974
PKCE: 認可コード横取り攻撃対策のために OAuth サーバーとクライアントが実装すべきこと - Qiita
https://qiita.com/TakahikoKawasaki/items/00f333c72ed96c4da659
OAuth for Native Apps | GREE Engineers' Blog
http://labs.gree.jp/blog/2015/12/14831/
- 解決策1-2: OAuth PKCE 拡張を利用する

Tags: :認証基盤, :クレームベース認証, :OAuth