OAuthの解説の「信頼関係」という単語

10.07.23, 16:47

ゼロから学ぶOAuth
第1回 OAuthとは?―OAuthの概念とOAuthでできること
(gihyo.jp、2009年3月9日、真武信和)
から引用すると、
OAuthは,以下の特徴を持つ「認可情報の委譲」のための仕様です。

・あらかじめ信頼関係を構築したサービス間で
・ユーザの同意のもとに
・セキュアにユーザの権限を受け渡しする
この「信頼関係」とは、Service Provider業者とConsumer業者の間の信頼関係ではなくて、SPのサーバとConsumerのサーバの間での信頼関係を意味しているのでしょうか。


第2回から引用すると
このアプリは,デフォルトの状態ではsmart.fmとGoogleの2つのOAuth Service Providerに対応しています。もちろんどちらも利用できますが,GoogleでのOAuth Consumer登録にはドメイン認証などが必要なので,ここではsmart.fmでConsumer登録を行います。smart.fmのConsumer登録はsmart.fm OAuth Client Applicationsから行えます。
とあって、厳しくてドメイン認証という感じだし、厳しくなければsmart.fmでのConsumer Key取得も一瞬と読めます。
1時間でツイッターサービスを作ろう!(KRAY、func09、2010年07月23日)という記事でも同様に一瞬でConsumer Keyが発行されているように見えました。
(実際のところは知りませんが「読めました」。)

自分で使うだけのための登録であればもちろん問題はないでしょう。
でも、不特定多数のUserが、知らないサービスを使う時、これが安全であるかどうかはConsumerになっているから大丈夫とはいえないようです。
つまりそのサービスを「信頼」するための情報源が別途必要。

その意味で
・あらかじめ信頼関係を構築したサービス間で
の文は、一般利用者向けの解説には使って欲しくないと感じました。
(デベロッパ向けでは…微妙?)
追伸:
今の流れだと悪意の業者は、きっと「OAuthだから安全」って言いながら、複数のアプリでユーザの許可を集め、人数が集まったところでさっと動くのではないでしょうか。
それを踏まえて善意の業者の人たちには誤解のない文言で自らのアプリ等の宣伝をして欲しいわけです。

たとえばICチップ入り電子マネーでセキュアだからといってそれが常に安全ということにはなりませんよね。レシートの確認は必須。それと同じことです。


参考:
ITProの用語解説より引用。
OAuthとは、あらかじめ信頼関係を構築した
サービス間で、ユーザーの同意のもとに
ユーザーの権限を受け渡しするための仕組みです!
筆者は違うけれど、全く同じでした。

追記:
大切なメールだけをフィルタリングして、Twitterなどで通知してくれるAwayFind(TechCrunch Japan、2010年7月23日)も参考するリンクとして追記しておきます。
posted by itochan / コンピュータ  
trackbacks: 0 , comments: 0
トラックバック (0)
このエントリーへのトラックバックURL :::
http://blog.ptlabo.net/tb.php?id=10070028
トラックバックはありません.
コメント (0)
コメントはありません.
コメント投稿
投稿者 :::

コメント(タグは使用できません) :::

url / e-mail(表示されます) :::