OAuth とは？

OAuth (Open Authorization) は、ユーザーの認証情報を共有することなくアプリケーションやWebサイトが別のサービスのリソースに安全にアクセスすることを可能にするオープンスタンダードの認可フレームワークです。

OAuth の仕組み

アプリケーションやサービスに OAuth を効果的に実装するためには、OAuth のワークフローを理解することが不可欠です。OAuth は一見複雑に思えるかもしれませんが、細かいステップに分けることで理解しやすくなります。この構造化されたプロセスの各段階を通じてセキュリティを強化し、保護されたリソースへのアクセス許可をコントロールすることが可能になります。

以下は OAuth の仕組みです。 

1. 開始 : クライアントは、ログインボタンまたは同様のインターフェイス要素を通じてリソース所有者に認可を求めます。

2. 認可リクエスト : クライアントはリソース所有者を認可サーバーにリダイレクトし、そこでログイン情報が入力されます。

3. 認証 : リソース所有者は認証情報を提供し、認可サーバーによって認証されます。

4. 認可グラント : サーバーはクライアントを検証した後、リソースの使用許可を意味する認可グラントをクライアントに発行します。

5. アクセストークンのリクエスト : ユーザーは認可コードグラントをサーバーに送信し、適切な認可を確立するためにアクセストークンを要求します。 

6. トークンの発行 : 認可グラントを受け取ると、認可サーバーはそれを検証し、アクセストークンを発行します。

7. リソースへのアクセス : アクセストークンを使用することで、クライアントはサーバーから保護されたリソースを安全に表示して使用できるようになります。 

8. トークンの検証 : サーバーは、要求されたリソースへのアクセスを許可する前に、トークンの有効性を検証する必要があります。 

9. リフレッシュプロセス : アクセストークンの有効期限が切れた場合、プロセス全体を実行することなく、フレッシュトークンと呼ばれる新しいアクセストークンを取得できます。

10. 無効化 : 必要に応じてアクセストークンとリフレッシュトークンを無効化し、アクセス権限を削除することができます。

OAuth と OAuth 2.0

2007年に OAuth がリリースされてから Web アプリケーションは急速に進化し、すぐに同プロトコルは若干、時代遅れに感じられるようになりました。そこで既存のプロトコルでは解決できなかった問題を改善・解決するために OAuth 2.0 がリリースされました。2つのバージョンの違いを理解することは、ユースケースに最適なバージョンを選択する上で非常に重要です。

2つのバージョンの比較 

OAuth とシングルサインオン (SSO)

OAuth は、SSO 機能のサポート、セキュリティと利便性の向上、ID 管理の安全な基盤の提供において非常に重要です。OAuth は主に認可プロトコルとして機能しますが、SSO との統合により、ユーザーは1セットの認証情報のみで複数のアプリケーションと対話できるようになります。

OAuth シングルサインオンの仕組み

• SSO における OAuth の役割 : OAuth は、SSO がプラットフォームアクセスを管理する上で欠かせない認可フレームワークを提供します。 

• ID プロバイダーとの統合 : このプロトコルは ID プロバイダー (IdP) と連携してユーザーの詳細を確認し、さまざまなサービス間で認証を管理します。 

• フェデレーションプロトコル : 包括的な ID 管理ソリューションを作成するために OAuth を SAML や OpenID Connect などのプロトコルと組み合わせて使用されることがよくあります。

• ユーザーエクスペリエンスにおけるメリット : OAuth ベースの SSO によって、ユーザーは繰り返しログインすることなく複数のサービスにすばやくアクセスできるようになり、利便性が向上します。

• セキュリティ上のメリット : OAuth によって認証を一元化することでアクセス制御を簡素化し、セキュリティを強化できます。

• エンタープライズアプリケーション : OAuth プロトコルにより、組織は特定のセキュリティニーズを満たす SSO ソリューションを実装できます。 

• モバイルおよび Web 統合 : OAuth は適応性に優れているため、さまざまなデバイスやプラットフォームで一貫した SSO エクスペリエンスを実現できます。

• 課題および考慮すべきポイント : OAuth ベースの SSO を実装することにより、さまざまな ID プロバイダーの統合やトークンストレージの保護などの課題が生じる可能性があります。

OAuth を実装するためのベストプラクティス10選

OAuth を正しく実装するには、ベストプラクティスに従い、セキュリティに細心の注意を払う必要があります。OAuth を適切に実行することで、ユーザーデータの安全性を確保し、企業と顧客の間の信頼を維持できます。 

以下は推奨される重要なベストプラクティスの一部です。

1. セキュアな通信を使用する

リダイレクト URI を含むすべての OAuth 通信に必ず HTTPS を使用します。HTTPS によってトラフィックを暗号化することで、改ざんや盗聴者による認証情報やトークンの傍受を防ぐことができます。厳格なトランスポートセキュリティ ポリシーを設定し、この保護層を強化します。

2. 適切なトークンストレージを実装する

クライアント側のコードがアクセスできる URL や Cookie、またはローカルストレージにベアラートークンを埋め込むことは避けてください。代わりに、適切な暗号化、アクセス制御、有効期限ポリシーを使用してトークンをサーバー側に保存し、侵害された場合の悪用を防ぎます。

3. すべての入力を検証する

SQL インジェクションやクロスサイトスクリプティング (XSS) などの攻撃から防御するため、サーバー側ですべての入力値を徹底的に検証します。検証されていない入力は、データ侵害やアカウント乗っ取りにつながる可能性があります。

4. 有効期限の短いアクセストークンを使用する

露出を制限するために、更新メカニズムと有効期限を備えたアクセストークンを設計します。セキュリティのニーズとユーザーの設定に基づいて、トークンの更新と無効化に関する明確なポリシーを定義します。 

5. PKCE を実装する

PKCE (Proof Key for Code Exchange) によって、攻撃者ではなく自社のアプリケーションのみが認可コードをトークンと交換できるようにすることで、OAuth フローにセキュリティレイヤーを追加できます。パブリッククライアントに対して PKCE をデフォルトで有効にします。

6. クライアントシークレットを保護する

クライアントシークレットを環境変数として、またはハッシュ化して保存してアクセスを制限し、定期的にローテーションして漏洩のリスクを軽減します。

7. 堅牢なエラー処理を実装する

エラー応答で機密情報が露出するのを回避します。攻撃者が潜在的な脆弱性を把握するのを防ぐため、ユーザーに一般的なメッセージを返し、エラーの詳細をサーバー側でログに記録します。

8. 定期的にセキュリティ監査を実施する

侵入テストとコード監査を定期的に実施し、OAuth のあらゆる問題をプロアクティブに検出する必要があります。安全でないストレージ、不十分な入力検証、低いトークンの強度、不適切な SSL の使用などの脆弱性をチェックし、セキュリティギャップを特定して解消します。

9. 常に最新の状態に維持する

脆弱性が発見された場合、パッチが適用された最新バージョンに OAuth ライブラリと実装を更新します。OAuth の実装を最新かつ安全な状態に保つため、プログラミング言語とフレームワークのセキュリティ更新フィードに登録します。 

10. ユーザーの同意と透明性

アプリケーションがアクセスできるデータとその理由をユーザーに伝えます。ユーザーのプライバシーを尊重し、信頼を維持するため、必要な情報のみを要求し、きめ細かい許可オプションを提供します。

Fastly で OAuth セキュリティを強化

OAuth は、ユーザー認証情報のセキュリティを維持しながら、安全な委任アクセスを可能にする、最新 Web セキュリティの重要なコンポーネントです。サイバー脅威が絶えず進化し続ける中、機密性の高いユーザーデータを保護するために企業は OAuth の実装を検討する必要があります。 

最先端の Fastly エッジクラウドプラットフォームは企業の既存の認証フレームワークと統合し、OAuth のセキュリティを強化します。このような統合のしやすさにより、Fastly はパフォーマンスを維持しながら追加の保護レイヤーを提供できます。 

以下は Fastly によって得られる機能とメリットの一部です。

• リアルタイムのトラフィックコントロール : Fastly のエッジプラットフォームは、OAuth トークンの使用状況を監視し、トラフィックフローを正確にコントロールすることで、トークンの再利用や盗難などの脅威を防ぎます。 

• Web アプリケーションファイアウォール (WAF) の統合 : Fastly の Next-Gen WAF は、エッジで疑わしいトラフィックや既知の脆弱性を狙った攻撃をブロックし、OAuth API を保護します。

• DDoS 対策 : Fastly は悪意のあるトラフィックがサーバーに到達する前に吸収し、OAuth エンドポイントを DDoS 攻撃から保護します。 

• コンテンツ配信ネットワーク (CDN) のパフォーマンス : Fastly はグローバル CDN を使用しているため、機密性の低いデータをキャッシュして OAuth の認証リクエストを高速化できます。

• TLS 終端 : Fastly は TLS によるエンドツーエンドの暗号化をサポートし、送信中に OAuth トークンの安全性が維持されることを保証します。

• カスタムエッジロジック : Fastly の VCL (Varnish Configuration Language) を使用し、トークンの有効期限や更新のコントロールなど、より厳格な OAuth のトークンポリシーを作成して実装できます。

Fastly の Next-Gen WAF が組織の Web セキュリティを強化できる理由について詳しくは、Fastly のWebサイトをご覧ください。