常連

# state,nonceの保存場所

OAuthやOIDCを調べていてstate,nonceの保存場所について疑問が出てきたので質問させていただきます。

最初にstate,nonceのフォーマットについて調べていたところ、[こちらの「Google nonce max length」という質問の回答](https://stackoverflow.com/questions/69209677/google-nonce-max-length)で下記の回答がありました。(一部抜粋)


> That being said I started digging around in the RFC for OAuth and the only mention I found worth wild would be the following. (My experience with the Google Oauth team says that they like to follow the RFC guidelines as they are accepted industry standard.)
> > 15.5.2. Nonce Implementation Notes The nonce parameter value needs to include per-session state and be unguessable to attackers. One method to achieve this for Web Server Clients is to store a cryptographically random value as an HttpOnly session cookie and use a cryptographic hash of the value as the nonce parameter. In that case, the nonce in the returned ID Token is compared to the hash of the session cookie to detect ID Token replay by third parties. A related method applicable to JavaScript Clients is to store the cryptographically random value in HTML5 local storage and use a cryptographic hash of this value.
>
> The fact that they suggest storing it in a session cookie would then lead to the max limit being at the very least the max size of a session cookie which would give us something like this.
> ![](https://i.stack.imgur.com/57TD6.png)

上記回答ではRFCの資料で`session cookie`で保存することを提案しているので制限がセッションクッキーの最大サイズになると書いてあります。画像は各ブラウザのクッキーの最大サイズなのでセッションクッキーとは別物だと思います。

セッションクッキーはブラウザ側のクッキーにセッションのIDのみを保存して値はサーバー側にセッション変数として保存するもとだと解釈しています。([セッション Cookie の概念](https://www.ibm.com/docs/ja/sva/9.0.2?topic=cookies-session-concepts))

その解釈で進めるとstate,nonceはセッション変数としてデータベースもしくはキャッシュ(Redisなど)に保存されるので回答の画像にあるブラウザのクッキーの最大サイズに依存しないと思います。

それともクッキーにセッションのIDと共にstate,nonceも入れてブラウザが保持するのでブラウザのクッキーの最大サイズに依存するのでしょうか？


state,nonceの保存場所

認証付きSPAを作ろうと考えている初心者です。
知識・技術が浅く、見当違いなことを言っているかもしれませんが教えて下さい。
今ReactでSPAを作成しています。
そして、このSPAに誰でもアクセスできるようにするのではなく、アカウントを持っているユーザだけがアクセスできるようにしたいと考えています。つまりログイン画面を設けたいと思っています。

ただ認証周りの知識が疎いため、Azure ADを用いて認証しようと考えています。
そして調べていたら、MicroSoftの公式ドキュメントにSPAとAzureADを用いたサンプルがありました。
ただ、このサンプルはGraph APIのアクセストークンを取得し、ADのユーザデータを取りに行く、といったものでした。
このアクセストークンを取る、というステップをSPAへのアクセストークンを取得する、にしたいのですが、その場合、SPAを保護するAPIを独自に選定する必要があるのでしょうか。AzureADへのアクセスはGraphAPIで保護されていると思うのですが、SPAはどうしたらいいのかわかりません。初歩的なことですが、教えて下さい。


SPAの認証方法について教えて下さい

### 前提・実現したいこと
はじめまして。
Keycloakにて認証/認可を実施するPythonのRESTful APIの作成をしています。
APIの使用用途としては他APIからのリクエストやブラウザからのAjax通信によるリクエストを受けての使用を想定しています。

### 発生している問題
現在Keycloakのクライアントを作成しているのですが、
クライアントの「アクセスタイプ(Access Type)」を「confidential」に設定した際の項目
**「有効なリダイレクトURI(valid redirect uris)」**に何のURIを設定すれば良いのかが分からず行き詰っています。

項目の？マークをマウスオーバーすると

> ログインまたはログイン成功後にブラウザーがリダイレクト可能とする、有効なURIパターンを設定します。

とメッセージが表示されますが、他APIからの利用も想定しているため、「ブラウザがリダイレクト」という点がイマイチ想像できていません。

クライアント・プロトコルは「openid-connect」を設定し、
認証/認可は以下のフローをイメージしています。

①．AシステムがREST APIへリクエストを実施
②．REST APIがKeycloakのエンドポイントにアクセス
③. Keycloakが認証/認可を実施、結果をREST APIへ返却
④. 認証/認可結果後のレスポンス情報をAシステムへ返却

①Aシステム　→　②REST API　→　③Keycloak →　④REST API →　Aシステム



何分SSO関連についての知識が乏しいため、足りない説明、前提設定等あるかもしれませんが、
どなたかご教授いただければ幸いです。

【Keycloak】REST APIでKeycloakを使用する際の「有効なリダイレクトURI(valid redirect uris)」には何を設定すれば良い？

### 質問内容

OpenID Connectの「IDトークン」について、発行方法や検証方法は調べて分かったのですが、利用方法が分からないため、これについてお伺いしたいです。

### 調査した事

#### 3つのエンドポイント
3つのエンドポイントが存在し、それぞれ以下の役割をしています。
（インプリシットフローなどいくつか認証フローがありますが、ここでは以下のみ説明します。）
- 【認可エンドポイント】：RPから認証リクエストを受け、認可コードを返却する
- 【トークンエンドポイント】：RPから認可コード＆属性情報を受け、IDトークン＆アクセストークンを返却する
- 【ユーザ情報エンドポイント】：RPからユーザ情報取得リクエストを受け、ユーザ情報を返却する


#### IDトークンの検証

3つのエンドポイントから取得した情報により、RPサーバには以下の情報が存在します。
- IDトークン
- アクセストークン
- ユーザ情報

このうち「IDトークン」についてはRPサーバ側で検証をする必要があります。
（検証方法については今回関係ないので割愛します）

#### いざログイン

例えば、AさんがGoogleアカウントを使ってTeratailにログインしたい場合で考えます。
1. AさんがTeratailのログイン画面から「Googleでログイン」を押下
2. Googleの認証画面が表示されるため、ID/PWを入力
3. リダイレクト画面が表示される(画面上は何も表示されない)
4. Teratailのトップ画面に遷移する

この時の動きとして、**「2で認証成功した後、TeratailにAさんのユーザ情報が返却され、Teratailは自身のDBからAさんのユーザ情報を取得し、ユーザ情報が存在すれば認証OKとする」**という動きになると推測しているのですが、合っていますでしょうか？

そうなるとIDトークンはいざログインする際には使わない事になるため、検証後に捨てる事になるかと思うのですが合っていますでしょうか？

### 参考文献
Authleteで提供されているシーケンス図
[https://www.authlete.com/resources/templates/sequence-diagrams/](https://www.authlete.com/resources/templates/sequence-diagrams/)

TakahikoKawasakiさんのQiita記事
[https://qiita.com/TakahikoKawasaki](https://qiita.com/TakahikoKawasaki)

IPAのアクセス制御についての文書
[https://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/104.html](https://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/104.html)

OpenID Connectの「IDトークン」の使い道について

### 前提・実現したいこと

Azure Active Directoryにて認証するWebアプリケーションを開発しています。

Microsoftのドキュメントのサンプル通りに作成したのですが、
（サンプル：[https://docs.microsoft.com/ja-jp/azure/active-directory/develop/tutorial-v2-asp-webapp](https://docs.microsoft.com/ja-jp/azure/active-directory/develop/tutorial-v2-asp-webapp)）

Startup.csへの下記コード

Notifications = new OpenIdConnectAuthenticationNotifications
{
    AuthenticationFailed = OnAuthenticationFailed
}

の発生するタイミングがわかりません。
失敗した認証要求を処理用だというのは分かっているのですが、
サインイン時、パスワードを間違えてもこのイベントは発生しませんし、クライアントIDを間違えても発生しません。

実際にはどういうタイミングで発生するんでしょうか？

### 補足情報（FW/ツールのバージョンなど）

AzurreAD認証
Owin
OpenIdConnect
C#
Asp.net

OpenIdConnectAuthenticationNotificationsのAuthenticationFailed発生する条件

タイトルの内容についてなのですが実装では無くユーザとしての質問です。

質問内容は以下の2点です。
・ソーシャルログインで使用している技術はユーザ側でわかるのか？(OAuth or OpenID or OpenID connect)
・ワンパスワード管理は理に適っているのか？


食べログ/google/yahoo/mixi/pixiv/ニコニコ動画/twitter/facebook/ドミノピザ....etc
色々なサービスが混在しパスワードを管理するのも一苦労です。
なのでワンパスワードのみの管理で済むソーシャルログインと言うのでまとめてしまいたいと思っています。

しかし調べてみるとソーシャルログインにも大別して OAuth と OpenID の二つがあるらしい。
特徴として
OpenID は紹介状の様なもの、OAuth は認証として合鍵を渡すようなものとして使われ
同じ認証でも全く異なるものだと言う事は理解しました。

少なくともOAuthを使ったソーシャルログインはしたくないのですが、これはユーザからみてどちらの技術を使っているというのは分かるものなんでしょうか？
またワンパスワードはやってて問題ないものなんでしょうか？(サービスが簡単に終ると入れなくなるって言うのは分かるのでfacebook/twitter/google/yahooのいずれかを使おうと思っています)

ソーシャルログインで使用されている技術について(OAuth/OpenID)

当方、ユーザーからの要望で、
認証または認可サービスを適用してくださいとのことで、
OAuthやOpenID Connectを実装しようと考えており、開発期間などを算出しております。

認証認可は規格であるため、それに準じて実装を考えておりますが、
クライアントより使用料がかかる？と言われたので調べてみました。

私の認識では、標準の規格に乗っ取って実装するとしか考えていなかったので、
料金がかかる認識がなく、調べてもでてこないため、質問させていただきました。


私の認識が違っていたらご指摘ください。

OAuthやOpenID connect実装時に使用料？がかかりますか。

OpenID Connectには、nonceとstateがありますが、nonceがあればstateは不要なように思えます。
stateはcsrf対策、nonceはリプレイアタック対策用途である旨の記載がopenid-connect-core-1_0に記載ありますが、nonceがあればcsrf対策もできるのではないでしょうか？

以下記事を読むと、stateの仕組みが先にあり、あとからnonceの仕組みを追加したように読み取れます。何か過去の事情等が背景にあるのでしょうか？

　http://oauth.jp/blog/2016/07/27/https-full-url-leaks/