PKCE の履歴(No.4)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• PKCE へ行く。
  • 1 (2021-11-14 (日) 21:02:29)
  • 2 (2021-11-15 (月) 12:43:40)
  • 3 (2022-10-08 (土) 15:48:54)
  • 4 (2023-03-25 (土) 16:10:52)

PKCE†

名称†

• Proof Key for Code Exchange by OAuth Public Clients
• ピクシー

概要†

• RFC7636
  • OAuthの拡張仕様
• 認可コード横取り攻撃対策
• パブリッククライアント（主にスマホアプリ）でOAuth を利用する場合の脆弱性を防ぐ仕組み
  • 攻撃者は認可レスポンスのリダイレクト先（リダイレクトエンドポイント）で待機して認可コードを窃取する
  • 攻撃者によるトークンリクエストに対してアクセストークンを発行することを防ぐ

攻撃手法†

1. 攻撃者が用意した不正なスマホアプリを誤ってインストールさせる
2. 正規のスマホアプリからの認可リクエストに対する認可サーバからの認可レスポンスを不正アプリが受信して、認可コードを不正に入手する
   • 認可レスポンスがブラウザ経由でアプリに連携される際に、ブラウザは送り先のアプリをカスタムスキームとクライアントIDで判別する
   • 不正アプリは正規のアプリと同じカスタムスキームとクライアントIDを利用することで横取りが成立してしまうことがある

PKCE の仕組み（攻撃の対策方法）†

使うもの†

• 検証コードとチャレンジコードを使う
• 検証コード
  • ランダムな文字列

• チャレンジコード
  • 検証コードを元に生成する
    • plain(検証コードそのまま)
    • S256(Base64-URL(SHA-256(検証コード)))

フロー†

1. スマホアプリが認可サーバに送る認可リクエストにチャレンジコードを追加する
2. 認可サーバはチャレンジコードを保存する
3. スマホアプリが認可サーバに送るトークンリクエストに検証コードを追加する
4. 認可サーバは検証コードを検証する
   1. 検証コードからチャレンジコードを生成する
   2. 生成したチャレンジコードと保存していたチャレンジコードが一致しているか確認する

関連用語†

• OAuth
• OAuth2.0
• FAPI