Google Developers Japan: Google Sign-in のセキュリティとユーザーエクスペリエンスを改善する

Local blog for Japanese speaking developers

Google Sign-in のセキュリティとユーザーエクスペリエンスを改善する

2016年6月7日火曜日

code { background-color: transparent }[この記事は Isabella Chen、ソフトウェアエンジニアによる Android Developers Blog の記事 "Improving the Security and User Experience of your Google Sign In Implementation" を元に翻訳・加筆したものです。詳しくは元記事をご覧ください。]Sign-In API認証認可認証認可Firebase 認証アプリを確実に保護する

メールまたはユーザー ID 置換攻撃 Android で Google を使ってサインインした後に、電子メールやユーザー ID をクレデンシャルとしてプレーンテキストのままバックエンドサーバーに送信するアプリがあります。こういったサーバーエンドポイントでは、悪意のある攻撃者が電子メールやユーザー ID を推測してリクエストを偽造し、ユーザーのアカウントに簡単にアクセスできてしまいます。

図 1. メール / ユーザー ID 置換攻撃
多くのデベロッパーが、Plus.API の getAccountName や getId 使ってこのアンチパターンを実装しています。

問題のある実装例、コピー禁止

アクセストークン置換攻撃 Android で Google を使ってサインインした後に、多くのアプリは GoogleAuthUtil.getToken を介して取得したアクセストークンを、アプリのバックエンドサーバーにアイデンティティアサーションとして送信します。アクセストークンは Bearer トークンであり、バックエンドサーバーはトークンが自身に対して発行されたかどうかを簡単には確認できません。悪意のある攻撃者は、ユーザーを誘導して別のアプリケーションにサインインさせて、別のアクセストークンを使ってバックエンドへのリクエストを偽造することができてしまいます。

図 2. アクセストークン置換攻撃
次の例のように、多くのデベロッパーは、GoogleAuthUtil を使ってこのアンチパターンを実装し、アクセストークンを取得してこれをサーバーに送信して認証を行っています。

問題のある実装例、コピー禁止

解決策

アプリに上記のアンチパターンを構築した多くのデベロッパーは、ユーザーのプロファイルを得るために、デバッグのみの tokenInfo（www.googleapis.com/oauth2/v3/tokeninfo）を単純に呼び出しているか、不必要に G+（www.googleapis.com/plus/v1/people/me）エンドポイントを呼び出しています。これらのアプリは、代わりに Google が推奨する ID トークンフロー（このブログ記事で説明）を実装する必要があります。移行ガイドを確認して、安全で効率的なパターンに移行してください。

サーバーでドライブなどのその他の Google サービスへのアクセスが必要な場合、サーバー認証コードフローを使用する必要があります。このブログ記事も参考になります。参考までに、サーバー認証コードフローを使用して ID トークンも取得できます。これから、追加のネットワーク呼び出しを行わずに、ユーザー ID / メール / 名前 / プロファイル URL を取得できます。移行ガイドを参照してください。

アプリのユーザーエクスペリエンスとパフォーマンスの改善不必要なパーミッションをリクエストし、冗長なユーザーエクスペリエンスを表示する

図 3. GET_ACCOUNTS 実行時パーミッションおよび冗長なユーザーエクスペリエンス解決策Auth.GOOGLE_SIGN_IN_API詳細はこちらから

図 4. 新しい合理化された 1 タップサインインエクスペリエンスバックエンド用に GoogleAuthUtil から ID トークンを取得するSign-In API誤ったパターン、コピー禁止

Auth.GOOGLE_SIGN_IN_API解決策 Auth.GOOGLE_SIGN_IN_APIID トークンフローこのブログ記事移行ガイドバックエンド用に GoogleAuthUtil から認証コードを取得する

誤ったパターン、コピー禁止

図 5. 認証コードに GoogleAuthUtil.getToken を使用した場合に再訪ユーザーに表示される紛らわしい同意ダイアログ解決策Auth.GOOGLE_SIGN_IN_APIサーバー認証コードフローこのブログ記事移行ガイド常に GoogleAuthUtil.getToken を使う必要がありますか？Auth.GOOGLE_SIGN_IN_APIAndroid 用 Google APIdependencies { compile 'com.google.android.gms:play-services-auth:9.0.0' }Eiji Kitamura - Developer Relations Team

ラベル

ブログアーカイブ

2019
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2018
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2017
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2016
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2015
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2

2014
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2013
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2012
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2011
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2010
- 12
- 11

Feed

"プロダクトに関するご意見はプロダクトフォーラムにお願いします"

Google Japan

Google Japan Blog
Google ウェブマスター向け公式ブログ
Google Apps アップデートブログ

Products

Android Blog
Chrome Blog
Lat Long Blog

Developers

Google Developers
Google Developers Japan YouTube
Google Developers Japan Forum

Google
Privacy
Terms