2010年08月04日

OAuth への道 ―― OAuth の危険性

この記事を書こうとしているとき、Twitter 界隈では、"OAuth の危険性・悪用" に関連した話題がささやかれている。
そこで、本当に、OAuth は危険なのかということについて書いてみることにする。

今、OAuth の危険性として話題になっているのは、いくつかの側面がある。
何かが、危険であるとか、安全であるとかを話題にするとき、「どういう面が危険とされているのか?」という切り分けは重要である。

【機能的な側面】

OAuth は、もととも、「当人が通常の操作を行うところを、代行する」ために準備された機能である。Titter の場合、通常の動作とは、Web 上でログインした後、タイムラインを読んだり、ポストを行ったり、それこそ、ダイレクトメールを読んだり書いたりというそういう操作を意味する。

これ以外の操作は、すべて、「代行されたもの」だと考えて良い。
たとえば、Twitter のクライアントを使用するのも、「代行されたもの」である。
とすれば、OAuth を承認することで、「代行可能な操作」は、クライアントで実行可能な全操作であり、言い換えれば、ユーザーが実行可能なほとんどすべての操作ということになる。
当然、ダイレクトメールの送受信、お気に入りの設定なども可能である。

しかも、これらの機能を「自動的に」実行可能な点に注意しなければならない。
ポストすべきメッセージはキーボードから入力し、読むべきメッセージは画面に表示されるというケースが多いと思われる。
けれど、何も、メッセージはユーザー自身がキーボードから入力しなくても、クライアントなり、第三者サービスが、勝手に生成して送信することもできる。
読み込まれたタイムラインは、表示しないまま、どこかにデータとして送信することもできる。

さらにいえば、「公開されていない」メッセージも、自分がフォローしている場合には「読める」というのも注意しておきたい。
多くのクライアントでは、公開されていないメッセージは、ReTweet できないようになっているが、これも、「公開されていない」という目印を認識して、対応しているに過ぎない。
「公開されていない」メッセージであっても、読むことができる以上、(技術的には)送信できるわけである。

【危険性が周知されていないという危険性】

さて、上述したのは、多くの場合において、「大げさ」ではある。
確かに技術的に可能ではある(しかも、OAuth 認証に対応しているアプリケーションとしては、技術的には難しいものではない)
ただ、それは、「メールソフトの作者は、(技術的には)ユーザーのメールを自由に読むことができる」というのと、同じ指摘であるに過ぎない。

特に、いわゆる Web メールで、「他のメールサーバーのメールも読めるような設定が可能です」という場合、(技術的には)ユーザーのメールを自由に読むことができて、なおかつ、ユーザーはそれに気づかないというのも、そんなに難しいものではない。

ただし、メールソフトに関しては、この説明で多くの人が「確かに、技術的にはそうなのだろう」と納得はできると思う。
メールソフトとして、メールの読み書きをしているのだから、そのメールをたとえば、谷転送したりすることは技術的には可能だというのは、十分想像できることである。

ところが、Twitter の場合、もう少し別の側面が存在する。

たとえば、「あなたのアカウントのタイムラインの発言を、適当に混ぜ合わせて、一日に一回あなたのアカウントからポストします」という、ちょっとお手軽なアプリケーションがあったとしよう。
おそらく、Twitterで、OAuth の認証が求められる。

「あなたのタイムライン、ぐちゃぐちゃまとめますサービス」が、認証を求めています。
・許可する ・拒否する。

ここで、このサービス(多分Bot)が、タイムラインを読んで、適当な言葉を混ぜ合わせて、それをポストするだけの機能だったら、そんなに難しいことを考えずに、許可しても良いだろうと思う。
しかし、このBotもまた、「技術的には」あらゆる操作が可能なのだ。

だから、許可すべきではない……とはいわない。
いわないが、少なくとも、このサービスがそこそこ使われているか? 少なくとも現時点では、問題を起こしてないか? そして、何かあったときに、改めて拒否するにはどうしたらいいか、そういうところまでを、確認した上で、許可するのが良いのではないだろうか?

OAuth の認証は、見かけ上、「かくかくしかじかのサービスを許可するか」という質問に見える。
しかしながら、実際は、「こういうことを言っているサービスがあるが、このサービスを信用して、あなたのアクセス権を譲渡しても良いか?」と尋ねているのである。

時間である。
続きは、また、近いうちに……。(オイ)
posted by 麻野なぎ at 12:44| Comment(0) | TrackBack(0) | Twitter と Bot の周辺
この記事へのコメント
コメントを書く
お名前:

メールアドレス:

ホームページアドレス:

コメント:

この記事へのトラックバックURL
http://blog.sakura.ne.jp/tb/39973329

この記事へのトラックバック