OAuth Part III : Security Architecture のガイド

Beginner’s Guide to OAuth  Part III : Security Architecture
By Eran Hammer-Lahav
Friday October 3, 2008

ここの訳は、しません。
理由は、残念ながら、時間がないためです。

ここにか借りていることは、暗号アルゴリズムが確かであり、
それがどんなものか説明しています。

かなり高度な暗号プロトコルの話であり、
一般の技術者にはあまり関係がありません。

IPsecやSSL/TLSの実装をしたことがある人や
それらのRFCを読みこなせる人向けの内容です。

概要をごく簡単に

Beyond Basic

 httpのベーシック認証を超えたものでありますという意味
 HTTPSを使うほうがいいねともいっていますが、必須ではないようです。


Direct & Delegated Access

 直接または代理アクセスの関係です
 つまり、3-legged scenario というか
 Service Provider, Consumer, and User の三者が絡むのです。

Credentials

 信任状です

Signature and Hash

 digital signatures デジタル署名技術を利用しています
  hash algorithm  SHA-1 を利用して
  shared secret による、 HMAC-SHA-1 を利用しています
  デモも見せてくれます。
 
Secrets Limitations
  RSA-SHA1 method を利用しています。
  この方法は、私の知る限りですが、
  IPsec IKEの鍵交換のひとつの方法として有名です。
  つまり、実績と信頼のおける方法です。

Timestamp and Nonce
  タイムスタンプとNONCE(乱数の一種)を
  利用しています。
  いろいろなセキュリティ攻撃を防御するためです。
 
Signature Methods
  略です。
 
Signature Base String
  略です。