ritou

すきっちゅーの！
ぱすきーっちゅーの！
好きになっちゃダメっつーの？
すきっちゅーの！
ぱすきっちゅーの！
パスワードとかいらんちゅーのchu!

顔だ！指紋だ！という貴方
面と向かってそれ言えます？

ritou

OpenID Connect Session Management Demo

Spec

• Supported :
• http://openid.bitbucket.org/openid-connect-session-1_0.html
• Not Supported yet :
• discovery of OP iframe URL and logout URL

URLs

ritou

Cookie Syncの調査メモ

RTB周りで使われているというCookie Syncについて興味がわいたので調べてみる。

http://www.scaleout.jp/26992/

DMP-DSP間

Quoraから。

ritou

# preparation
## OpenID Connect library(use only http client)
$ pear install openpear/Akita_OpenIDConnect-alpha
## RSA Crypt and X.509 handling library
$ pear channel-discover phpseclib.sourceforge.net
$ pear install phpseclib/Crypt_RSA
$ pear install phpseclib/File_X509

# PHP Source
$ cat signatureverification.php

ritou

$ cat test.php
<?php

function base64_urlencode($str){
    $enc = base64_encode($str);
    $enc = rtrim($enc,"=");
    $enc = strtr($enc,"+/","-_");
    return $enc;
}

ritou

1. HTTP Client module

  defmodule Your.HttpClient do
    @behaviour Scratcher.HttpClient
    def request(method, url, body, headers, http_opts) do

      # use hackney, httpoison, httpotion...

 {:ok, %{status_code: 200, body: "..."}}

ritou

iex(1)> Application.ensure_all_started(:hackney)
{:ok,
 [:unicode_util_compat, :idna, :mimerl, :certifi, :syntax_tools, :parse_trans,
  :ssl_verify_fun, :metrics, :hackney]}
  
iex(2)> :hackney.request(:get, "https://example.com", [], "", [:with_body])
{:ok, 200,
 [
   {"Accept-Ranges", "bytes"},

ritou

iex(1)> JOSE.crypto_fallback(true)
:ok
iex(2)> JOSE.JWK.generate_key({:okp, :Ed25519})
%JOSE.JWK{
  fields: %{},
  keys: :undefined,
  kty: {:jose_jwk_kty_okp_ed25519,
   <<162, 30, 40, 233, 122, 159, 105, 49, 218, 101, 29, 205, 178, 236, 20, 132,
     14, 29, 119, 147, 44, 162, 49, 141, 96, 128, 117, 109, 21, 56, 64, 160, 4,

ritou

$ curl -i "https://same-site-cookie-tester.gigalixirapp.com/set_cookie"
HTTP/2 302 
server: nginx/1.17.7
date: Mon, 24 Aug 2020 01:36:18 GMT
content-type: text/html; charset=utf-8
content-length: 67
cache-control: max-age=0, private, must-revalidate
cross-origin-window-policy: deny
location: /

ritou

OAuth 2.0のプロトコルでソーシャルログイン的なことを実現するための独自Profile案

何の話か

• モバイルアプリのバックエンドサーバーがOAuth 2.0のEndpointを持ってて、Access Tokenを発行してアプリのセッション代わりに使う
• バックエンドサーバーがOAuth Server、モバイルアプリがOAuth Client
• モバイルアプリがソーシャルログインやりたい
• SNSからすると(モバイルアプリ + バックエンドサーバー)全体がOAuth Client
• SNSから受け取るものは、AuthZ CodeとかAccess TokenとかID Tokenとかけっこうバラバラ
• バックエンドサーバーとしてはそれらを受けとって、Access Tokenを返す、汎用的なToken Endpointのgrant_typeが欲しい