LINEのような永続ログインシステムの仕組みについて

Question

LINEスマホアプリのようなログイン機能を実装したいと思っています。

ログイン機能について調べた結果、アクセストークンとリフレッシュトークンの仕組みについて理解しました。

LINEでは、初回に一度ログインするとその後長期利用していなくてもログイン状態は維持されたままです。リフレッシュトークンには有効期限が必要とありましたが、LINEの動作はリフレッシュトークンの有効期限がないような動作をしています。これは、どのような仕組みによって行われているものなのでしょうか。(リフレッシュトークンに有効期限があれば、長期間利用しないとログインは外れるはずであるのに、そうではない)

初心者ですが、よろしくお願いいたします。用語のミスがございましたら、申し訳ありません。sw

Answer 1

詳しくないですけど、「永続的なログイン」というものが実在するとは思えないです。サーバ側はログイン状態のクライアントについての管理が必要だからです。

多分、自動ログインが内部的に行われているとかだと思います。

Comments

[itoko114]

お早い回答ありがとうございます。自動ログインしている場合は、サーバのみならずアプリ側にも何かしらの認証情報(一意の番号+デバイスidのようなものなど)を永久的に保存(アプリを終了しても消えない保存)しているということなのでしょうか。こうでしたら、アプリのデータが抜かれる危険性を考えると、セキュアではないのかな、と思っており、疑問が残っています。お忙しい中申し訳ありません。

[HogeAnimalLover]

LINEの場合は存じませんが、一般的にはそのような仕様にすると思います。もちろん、不揮発性情報の保有に起因するセキュリティ上のリスク（懸念事項）は発生します。が、これはコンピュータ利用における回避不可能なリスクの一部（これを容認しないならばコンピュータ利用を諦めるしかない）と私は考えます。繰り返しますが、私はこの技術に詳しいわけではなく、リスクマネジメントについての一般論として回答しています。

Answer 2

永続的なログインに関しては少し前に話題になりましたね。

2019年7月9日のtwitterセキュリティクラスタ-7payからアプリの認証の話へ

で、ログアウトの必要性に関しての記事もありました。

徳丸浩の日記-ログアウト機能の目的と実現方法

古いですが、上記記事の補完という意味で非常に示唆に富んだ記事だと思います。
あと、「ログアウト機能のない認証方式=永続的なログインシステム」に関しても記述がありますｗ

LINEの動作はリフレッシュトークンの有効期限がないような動作をしています。

Social API 他いくつかの API のリフレッシュトークンは10日の有効期限があるようです。アプリは違うんですかね？たまたま見つけましたので、参考まで。

Answer 3

回答ありがとうございました。自身でも、通信内容を確認して、どのような通信をしているのか解析してみたいと思います。セキュアなアプリを作れるよう、精進いたします。