OAuth認証のセキュリティ

どうやら，OAuth認証はアクセストークンを盗まれると，攻撃者が自由にAPIを弄れるようになるとどっかのエントリを見て悩んでる（エントリ失念）．共有リポジトリでは個人情報を制御するようなことは他人にはできないようにさせるつもりだけれども，そんなことを言われてしまうといささか心配になってくる．

アクセストークンが盗まれてどうにかなってしまう問題について，シーケンス図を見た限りは，どのサービスがアクセストークンを発行要請したのか判別できないところにあるんじゃないかなと思う．つまり，サービス側と認証局（他に呼び方が思いつかないので）が一対一になるようなアクセストークンの発行方法が必要になる．

例えば，従来のOAuth認証は普通にアクセストークンを返してるだけだけれども，このアクセストークンをサービスと認証局の共通鍵で暗号化するとか．こうすることで，ユーザが許可しないサービスでアクセストークンを悪用されることを防ぐことができるんじゃないかって内心思ってる．

また，そもそも共通鍵を持たせるから危ないかもしれないから，サービスに対してもアクセストークン発行するのはどうかとか思ってる．

ただ，未だにOAuth認証を正確に説明できるほど理解はしていないので，そういうもんだったら恥ずかしい．というか，セキュリティの専門家がいて，そこらへんを安全に実装してくれると，こんな小さなことで頭を悩ませて調べまくることも少ないんだけれども．

最近は色々と水面下でやっているため書けることが少ない．共有リポジトリのセキュリティが明らかにザルだったので最近はそっちをなんとかしようとしてる．

ただ，こういう事情なので開いた時間にMaya弄ったり．