Bounce Tracking ProtectionにおけるFederationへの課題と最新動向 #openid #technight

4.6K Views

August 21, 20

#openid #technight #BTP #Bounce Tracking Protection #Federation #OpenID Connect #プライバシー

スライド概要

OpenID TechNight vol.17での発表内容です。
Bounce Tracking ProtectionにおけるFederationに関する課題と最新動向をまとめました。

Yahoo!デベロッパーネットワーク

@ydnjp

スライド一覧

2023年10月からSpeaker Deckに移行しました。最新情報はこちらをご覧ください。 https://speakerdeck.com/lycorptech_jp

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

（ダウンロード不可）

関連スライド

深層学習による自然言語処理入門: word2vecからBERT, GPT-3まで

Yahoo!デベロッパーネットワーク 160.6K

ゼロから始める転移学習

Yahoo!デベロッパーネットワーク 85.6K

ヤフーにおける WebAuthn と Passkey の UX の紹介と考察 #idcon #fidcon

idcon fidcon

Yahoo!デベロッパーネットワーク 72.7K

OpenID Connectとネイティブアプリを取り巻く仕様と動向 Yahoo! JAPANの取り組み #openid #openid_tokyo

openid openid_tokyo

Yahoo!デベロッパーネットワーク 57.5K

運用業務とスクラムは本当に組み合わせにくいのか︖運用業務が大半を占めるプロダクト開発での試行錯誤

devsumi

Yahoo!デベロッパーネットワーク 34.8K

ヤフーのオンプレ機械学習基盤AIPFについて #ml_kubernetes

ml_kubernetes

Yahoo!デベロッパーネットワーク 28.9K

各ページのテキスト

https://twitter.com/kazuki229_dev

https://github.com/privacycg/proposals/issues/6

10.

⽤語説明 BT BTP Bounce Tracking・Redirect Tracking・Redirection-based Tracking Bounce Tracking Protection same-site eTLD+1が同じドメインを持つWebサイト cross-site eTLD+1が異なるドメインを持つWebサイト IdP RP Identity Provider・OpenID Provider・Authorization Server Relying Party・Client Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 10

11.

12.

13.

14.

15.

16.

17.

18.

19.

BTとは商品レビューサイト example.com tracker-1.test トラッカーサイト … 商品販売サイト tracker-n.test example.co.jp example.com https://github.com/privacycg/meetings/blob/master/2020/telcons/04-23-bouncetracking-minutes.md Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 19

https://github.com/privacycg/meetings/blob/master/2020/telcons/04-23-bouncetracking-minutes.md

20.

21.

22.

https://github.com/WebKit/webkit

23.

WebKitにおけるBTPの実装 BT判定⽅法ブラウザがcross-siteへのリダイレクトを検出リダイレクト先のドメインが11以上となったサイトをBTと判定 BTへの対応トラッカーのドメインに発⾏されている全てのCookieのSameSite属性をStrictに強制変更 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 23

24.

CookieのSameSite属性 cross-siteのリクエスト時にどういう条件でCookieを送信するか None いかなる場合もCookieを送信 Lax トップレベルナビゲーションでかつGETのリクエストのみ Cookieを送信 Strict いかなる場合もCookieを送信しない (リダイレクト時にCookieを送信しない) Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 24

25.

26.

27.

28.

WebKitのBTP実装まとめ Safari Technology Previewの実験的機能として提供 BT判定⽅法ブラウザがcross-siteへのリダイレクトを検出リダイレクト先のドメインが11以上となったサイトをBTと判定 BTへの対応トラッカーのドメインに発⾏されている全てのCookieのSameSite属性をStrictに強制変更 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 28

29.

30.

31.

32.

33.

34.

35.

36.

Federation中のRPのCookie利⽤箇所ユーザーブラウザ RP IdP ログイン開始認証リクエスト Cookieに紐づけて保存した認証・同意 stateとnonceを検証認証・同意画⾯ state 認証レスポンスログイン完了 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. トークンリクエスト・レスポンス nonce 36

37.

Federation中のRPへの影響ユーザーブラウザ RP IdP ログイン開始 CookieのSameSite属性がStrictの場合 RPのCookieは送信されないため stateとnonceの検証に失敗する認証・同意認証リクエスト認証・同意画⾯ state 認証レスポンスログイン完了 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. トークンリクエスト・レスポンス nonce 37

38.

39.

40.

BTPによるFederationの影響まとめ Federation中のリダイレクトはBT判定される可能性あり BT判定されることによる影響 RPがBT判定されるとRPによるstateやnonceの検証が失敗 IdPがBT判定されるとIdPでの認証スキップが不可能となりUXの低下 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 40

41.

42.

https://github.com/privacycg/meetings/blob/master/2020/telcons/04-23-bouncetracking-minutes.md

43.

44.

45.

https://github.com/privacycg/is-logged-in

46.

https://github.com/privacycg/is-logged-in

47.

isLoggedInとは課題事実上Webサイトにデフォルトでログイン状態である現在の状態がプライバシー的に問題 Webサイトにユーザーがログインしている場合にのみ Webサイトによるブラウザの特定の機能を開放したい解決⽅法ブラウザがWebサイトへのログイン状態を認識するためのAPIを提供 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 47

48.

[beta]

isLoggedInの機能
ログイン
navigator.setLoggedIn(
username: non-whitespace string of limited length,
credentialTokenType: “httpStateToken” OR “legacyAuthCookie”,
optionalParams { }
) –> Promise<void>

ログアウト
navigator.setLoggedOut(optionalUsername) –> Promise<void>

ログイン判定
navigator.isLoggedIn() –> Promise<void>
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

48

49.

setLoggedIn時のアビューズ対策案 • WebAuthnやパスワードマネージャーの使⽤を要求 • ユーザーにプロンプトを表⽰ • URLバーにログイン状態を表⽰する • ログインの数⽇後に「このサイトでログインし続けるか︖」 • ユーザーとWebサイトの直接のやりとりを要求 Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 49

50.

[beta]

isLoggedInのFederation機能
Federation開始
navigator.initiateLoggedInFederated(
destination: secure
) –> Promise<void>

Federationによるログイン
navigator.setLoggedInFederated(
loginProvider: secure origin,
username,
credentialTokenType,
optionalParams { }
) –> Promise<void>
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

50

51.

[beta]

isLoggedInのFederation機能
Federation開始
navigator.initiateLoggedInFederated(
destination: secure
) –> Promise<void>

「Login with X」ボタンを押した際にIdPが実⾏

Federationによるログイン

navigator.setLoggedInFederated(
loginProvider: secure origin,
username,
credentialTokenType,
optionalParams { }
) –> Promise<void>
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

51

52.

[beta]

isLoggedInのFederation機能
Federation開始
navigator.initiateLoggedInFederated(
destination: secure
) –> Promise<void>

Federationによるログイン
navigator.setLoggedInFederated(
loginProvider: secure origin,
username,
credentialTokenType,
RPが連携したIdPを指定して実⾏
optionalParams { }
) –> Promise<void>
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

52

53.

[beta]

isLoggedInのFederation機能
Federation開始
navigator.initiateLoggedInFederated(
destination: secure
) –> Promise<void>

BTとFederationの
Federationによるログイン
分類が可能︖
navigator.setLoggedInFederated(
loginProvider: secure origin,
username,
credentialTokenType,
optionalParams { }
) –> Promise<void>

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

53

54.

55.

56.

https://github.com/WICG/WebID

57.

https://github.com/WICG/WebID

58.

59.

WebIDにおけるID連携フローユーザー RP ブラウザ IdP Sign in navigator.credentials.get() .well-known/webid リクエストレスポンス同意画⾯表⽰ RPへのID Token リクエスト同意 RPへのID Token レスポンス https://wicg.github.io/WebID/design.html Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. RPへのID Token レスポンス 59

https://wicg.github.io/WebID/design.html

60.

WebIDにおけるID連携フローユーザー RP ブラウザ IdP Sign in navigator.credentials.get() .well-known/webid リクエスト RPがIdPのID Tokenを要求レスポンス let {idToken} = await同意画⾯表⽰ navigator.credentials.get( provider: ‘https://accounts.example.com’, RPへのID Token }) リクエスト同意 RPへのID Token レスポンス https://wicg.github.io/WebID/design.html Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. RPへのID Token レスポンス 60

https://wicg.github.io/WebID/design.html

61.

https://wicg.github.io/WebID/design.html

62.

https://wicg.github.io/WebID/design.html

63.

WebIDにおけるID連携フローユーザー RP ブラウザ IdP ブラウザはIdPが発⾏したID TokenをRPに返却 Sign in navigator.credentials.get() .well-known/webid navigator.credentials.get( リクエスト let {idToken} = await provider: ‘https://accounts.example.com’, }) レスポンス同意画⾯表⽰ RPへのID Token リクエスト同意 RPへのID Token レスポンス https://wicg.github.io/WebID/design.html Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. RPへのID Token レスポンス 63

https://wicg.github.io/WebID/design.html

64.

WebIDにおけるID連携フローユーザー RP ブラウザ IdP ブラウザはIdPが発⾏したID TokenをRPに返却 Sign in navigator.credentials.get() .well-known/webid navigator.credentials.get( リクエスト let {idToken} = await provider: ‘https://accounts.example.com’, }) レスポンス同意画⾯表⽰ RPへのID Token リクエスト同意 BTとFederationの分類が可能︖ RPへのID Token レスポンス https://wicg.github.io/WebID/design.html Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. RPへのID Token レスポンス 64

https://wicg.github.io/WebID/design.html

65.

BTとFederationの分類問題のまとめ BTとFederationの分類問題は認識され議論中 isLoggedIn initiateLoggedInFederatedを利⽤すると分類できるかも︖ WebID navigator.credential.get()を利⽤すると分類できるかも︖ Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 65

66.

全体まとめ WebKitがBTPの実装と標準化を推進 WebKitのBTP実装はFederationへ影響あり FederationとBTの分類問題は議論されており isLoggedInやWebIDによって解決する可能性引き続き各社ブラウザベンダの動向と W3Cの標準化議論をキャッチアップ Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved. 66