Auth屋

■ はじめに
本書は Auth 屋の「雰囲気 OAuth シリーズ」第三弾であり、OAuth と OpenID Connect への攻撃と対策についての本です。攻撃全般ではなく、攻撃対象として一番狙われる「リダイレクト 部分への攻撃」に特化した内容になっています。リダイレクト部分への攻撃の仕組 みと、state、nonce をはじめとした対策についての仕組みを理解すれば、雰囲気 OAuth使い を脱したと言えるでしょう。

■ 想定読者
• OAuth・OIDC について用語、概念、仕組みはだいたい理解してる(Auth 屋 の前著は読んだ!)
• state、nonce、PKCE、c_hash、at_hashは聞いたことはある。理解はして ない。
• クライアント、リライング・パーティとしてアプリを作るかもしれない

■ 本書の狙い
本書の狙いは、読者がこの本を読み終わった後「下記の攻撃を防ぐためにクライア ント、リライング・パーティとしてなすべきこと」を理解できていることです。

攻撃
• クロスサイトリクエストフォージェリ • リプレイ攻撃
• 認可コード横取り攻撃
• コードインジェクション
• トークンインジェクション
対策
• state
• nonce
• PKCE
• c_hash
• at_hash
■ 本書の特徴
• OAuth・OIDC の各フローのやり取りを一つずつ追いながら解説することで、 容易に攻撃と対策の仕組みがわかる
• 攻撃と対策をビジュアルで理解できる
• 本文 100 ページ程度なので 1 日で読める


OAuth・OIDCへの攻撃と対策を整理して理解できる本（リダイレクトへの攻撃編 [2023年改訂版]

雰囲気OAuthシリーズ第1弾！認可のプロトコルOAuth2.0の仕様を理解するための本です。
■ 対象読者
「ぜんぜんわからない。俺たちは雰囲気で OAuth をやっている。」
この本はそんなエンジニアを対象としています。
具体的には以下の質問に答えられないエンジニアです。

• スコープとは何ですか？
• 認可コードは何が行われた証ですか?
• Webアプリケーションではどのフローを使うべきですか？

■ この本を読むメリット
• OAuth2.0 に関わる概念を整理して理解できます
• 具体的なソフトウェアプロジェクトの構成要素を OAuth2.0 のロールにマッピングできるようになります
• 自分のソフトウェアプロジェクトで利用すべきフローを判断できるようになります
• 利用したい API の OAuth 関連資料や OAuth2.0 の標準仕様を読みこなすための地図が頭の中にできます

■ この本の特徴
• Google Photo API を使った画像編集アプリの例を頻繁に出すことで具体的にイメージしやすい説明を試みています
• Web の記事に比べると必要事項が網羅されているので、あちこち調べ回る必要はありません
• 専門的な本ほど詳細には立ち入らないので、スラスラ読めます
• curlとブラウザだけで実際にアクセストークンを取得する流れを手を動かしながら学べます
本の評判: https://togetter.com/li/1477483

雰囲気でOAuth2.0を使っているエンジニアがOAuth2.0を整理して、手を動かしながら学べる本[2023年改訂版]

認可のプロトコルであるOAuth2.0と認証の関係を理解するための本です。OpenID Connectの入門書でもあります。

■ 2024年版として以下の項目を追加しました。
4.6 OpenID Configuration」
コラム: OpenID Connect は OAuth の拡張だ が、OAuth ができてから仕様策定が始 まったわけではない」
「4.3.4 ペ イロード」、「4.4 UserInfo エンドポイン ト」、「4.5.3 インプリシットフロー」に ID トークンにプロフィール情報が含まれる 場合についての解説

■ 想定読者
以下のいずれかに当てはまるエンジニア
• OAuthと認証の関係を理解したい
• 「SNSアカウントでログイン」の仕組みを知りたい
• OpenID Connectを理解したい

■ この本を読むメリット
「OAuth は認可のプロトコルなのになぜ OAuth"認証"という言葉が使われているのか」
「OAuth 認証と『OAuth を認証に使えるように拡張した OpenID Connect』は何が違うのか」

この本はこの問に自信をもって答えられるようになります。
この本を読めば、以下のそれぞれでOAuth、OAuth認証、OpenID Connectのうち
何が使われているのかを理解できます。

• サードパーティアプリで Google Photo の画像をダウンロードする場合
• サードパーティアプリに Facebookアカウント でログインする場合
• サードパーティアプリに Googleアカウント でログインする場合
• サードパーティアプリに Googleアカウント でログインして Google Photo から画像をダウンロードする場合

■ この本の特徴
• OpenID Connectの流れをcurlとブラウザで手を動かしながら学べるチュートリアル付き
• 厳密性より、最もオーソドックスな一例を理解できることをめざしています
• 本文は100ページを超えていますが、図が多いのでサクサク読めます

本の評判: https://togetter.com/li/1477483

[2024年改訂版] OAuth、OAuth 認証、OpenID Connect の違いを整理して理解 できる本

くろまめ屋

本の詳細は https://konkatsublog.jp/mapr/婚活本の紹介/ にて公開しています。

エンジニアという肩書の30歳男性会社員が、仕事で獲得したスキルを婚活に適用し、 計画、実行、結果を知見としてまとめた婚活本という名のプロジェクト報告書として「婚活を支えた技術」という本を公開しま
した。

「婚活を支えた技術」では、結婚相談所で活動する前に何を考え、どのように活動し、出会った61人がどうであったか、妻は、他の出会った方々とどう違ったのか、婚活のふりかえりなど様々な知見が、 120ページにわたり詰め込んでいます。

「婚活を支えた技術」を読んだエンジニアの友人2人が、結婚相談所で活動し、結婚しました。

「婚活を支えた技術」での知見が、 結婚相談所で活動していくなかで非常に役立ったと2人から言われ、 「非常に役に立った」だけで済ませるのではなく、 2人が本から得た内容から、何を思い、何を考え、どの
ように行動したのか、 知りたいなと思い、2人の婚活模様を取材しまとめたものが、こちらの本になります。

妻に「エンジニアの友人2人の婚活模様を取材して本にするんだ」と伝えたところ「なんで私には取材しないのだ」と言われたことから、私の妻の婚活模様も取材した内容もあり、結果として男女の視点での婚活模
様を知ることができる本として仕上がりました。

婚活し、成婚退会し、結婚した男性または女性のどちらかが、婚活後の情報を発信しているものが、よく見掛けるコンテンツではないでしょうか。当事者同士の視点で書かれている婚活模様は、なかなかお目にかかれない貴重な情報だと思っています。

私が「婚活を支えた技術」に書いた「ふりかえり」と取材から 見えてきた「こんな人は婚活にて選ばれないのではないか」という共通点や、エンジニアの友人、妻が、何を大事にし、どう行動したのか、 「婚活を支えた技術」の知見をエンジニアの友人という第三者に適用した事例をこの本から読み取ることができます。

この本から「婚活を支えた技術」の知見をどのように自身に適用できそうかのヒントを得てください。

もしエンジニアが「婚活を支えた技術」を読んだら

本の詳細は https://konkatsublog.jp/mapr/婚活本の紹介/ にて公開しています。

エンジニアという肩書の30歳、男性会社員(私)が、仕事で獲得したスキルを婚活に適用し、 計画、実行、得られた結果と知見をまとめた婚活本という名のプロジェクト報告書です。

結婚相談所で活動する前に何を考え、どのように活動し、出会った61人がどうであったか、 妻は、他の出会った方々とどう違ったのか、婚活のふりかえりなど様々な知見を 100 ページ以上にわたり詰め込んでいます。

このような本の形になる前に友人や知り合いを集め、100枚以上のスライドを作成し、 鍋をつつきながら3時間半ほどプレゼンをしてみたところ、 巷の情報ではなく、当事者としての視点で、婚活の生々しさや消耗していく臨場感をうまく伝えられたらしく大盛況に終わりました。 その場に参加していた友人のエンジニア2人人が、私と同じ結婚相談所に登録し、結婚までいきつくという実績まで解除し、 2人とも私の知見の詰まったプレゼンやコンサルが活動していくなかで非常に役立ったと言ってくれたことで、 それだけ言ってもらえるような内容なのであれば、もっと多くの方に知ってもらってもよいのではないかと考えました。

半年間の結婚相談所での活動の中で、61人の相手と会い、 結婚相談所の担当者からは活動期間中に会っている数としては他の追随を許さないほど「ぶっちぎりで一番」だと言われました。 「結婚した」だけを切り取られて「おめでとう」という一言で片付けられるには、61人との出会いは濃すぎました。 「半年で61人に会う」を実現するためには戦略が必要になってきます。 「おめでとう」という言葉は欲しくなく、 私が
どのような戦略を考え、どう行動していったのかに目を向けてもらいたかったというのが、 友人や知り合いに向け自身の婚活をプレゼンテーションしたモチベーションの源泉となっています。

私は、婚活をしたのではなく、1つのプロジェクトを達成したと考えています。 インフラエンジニアという肩書で会社員をやってきたなかで、いくつものプロジェクトを経験してきました。 プロジェクトでは、何
を目的とし、ゴールをどこに置き、そのために何を積み上げる必要があるのか、誰が対応するのかをはっきりさせ取り組んでいるはずです。 がむしゃらに目の前にあることをこなしていくだけでは、しだいに疲弊
していくということは、皆さんも経験から身に染みているのではないかと思います。

私のまわりでも「エンジニアの婚活がうまくいっていない」という話をよく耳にします。 私の耳にも入るということは、 いたるところで起きている状況なのではないかと思っています。

エンジニアという肩書で会社員をやっている30歳男性が、 婚活というプロジェクトにどう立ち向かったのか共有することで、 本気で結婚を意識したあなたに、エンジニアの友人2人のように、 結婚、その先の未来を掴み取っていただけたらと思い、一冊の本として公開しました。

婚活を支えた技術

脆弱性診断研究会

Web アプリケーションの脆弱性診断において世界中で使用されているふたつのツール「ZAP」と「Burp Suite」の機能を比較しながら、脆弱性診断の進め方や具体的な手法の基礎を学ぶことを目的としています。

【既刊】徹底比較研究_ZAP_vs_Burp_Suite_vol.1+vol.2

CA Tech Lounge

1章：情報の学習とは何か？関数設計の観点から見る機械学習 
2章：ざっくりと紹介する拡散モデル 
3章：ゼロから知るリザバーコンピューティング 
4章：Go言語によるLINE BotとChatGPT連携ガイド 
 
株式会社サイバーエージェントが運営する技術スペース&コミュニティ「CA Tech Lounge」のメンバーにより企画・執筆されました！ 

CA Tech Lounge Note

TeamJ

## 内容
- リンクや GIF 動画も含められる、SVG を用いたスクリーンショットのアイデアの紹介
- SVG Screenshot の開発記
    - 日々のドッグフーディングで改良を重ねる、趣味開発のモチベーションをお届け！
- DPI を考慮して画像を表示する Custom Element を作る
- XSLT 変換で SVG 画像を生成する
    - XML で表現するウェブページのスクリーンショットの提案
- PNG画像のバイナリを読んで解像度情報を特定する
- Chromium のコードを読んで、画像の NaturalSize の導出過程を追う

## キーワード
SVG、PNG、ウェブサイトのスクリーンショット、XML、XSLT、Custom Elements

---

初出イベント: 技書博2
**技書博に初参加してはじめて書いた本です。第10回を記念して再登場 🌸**

探究 SVGとスクリーンショット

ZAPで脆弱性診断をはじめるための情報を簡易的にまとめました。

本書は既存の同人誌「OWASP ZAPではじめるウェブアプリケーション脆弱性診断」の改訂版です。
使用しているZAPのバージョンは更新されていますが、内容はほぼ一緒なので、上記の同人誌をお持ちの方には本書は不要です。

ZAPではじめる脆弱性診断

ぽんぽこ開発

A-FrameとAR.jsではじめるWebARの本です。
業務の中でA-Frameの暴威にさらされ、無事にプロジェクトは完
遂したものの、「知見を汝の内に塩漬けにしてはならぬ」とお告
げが聞こえたので同人誌にしてみました。
数行のコードでVRを初めて、様々な方法でARとしてオブジェクトを表示することを紹介しています。

サンプル
https://alt9800.github.io/A-Frame-Sample/

A-FrameとAR.jsで始めるWebAR

OpenStreetMapで立体的な建物を書くための紹介パンフレットです。
WebGLベースでの地図の3次元表現について記述しています！
同人誌にお金出さなくていいので、まずは[F4Map](https://demo.f4map.com/#lat=35.6583783&lon=139.7458063&zoom=17)や[Plateau](https://plateauview.mlit.go.jp/)で遊んでほしいです！
デジタルツインをやっていこうな🦾

OSM-3D FANBOOK

フトンカブーレ

1月の地震で大きな被害を受けた「能登半島」。能登半島にある水族館「のとじま水族館」は現在も休園中です。
本書は、そんな能登を応援したいと思って作った写真集。のとじま水族館を中心に、いしかわ動物園（すでに営業中）や金沢兼六園（こちらも営業中）などの見所を集めています。

BOOKS頒布物一覧