プログラマーきて

[0001 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:49:41.015 ID:QlvcAMv3r]

デスクトップアプリケーション内で何かしらの認証情報を保存したいときってどこに保存するべき？

[0002 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:50:20.076 ID:LhpcHuNg0]

アマでもいい？

[0003 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:50:34.601 ID:QlvcAMv3r]

>>2
アマでもいい
どこに保存する？

[0004 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:50:40.257 ID:App51Qbn0]

C￥:ピクチャ

[0005 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:50:54.940 ID:LhpcHuNg0]

>>3
アマだしわからん

[0006 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:51:05.681 ID:QlvcAMv3r]

>>4
平文じゃだめじゃん

[0007 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:51:12.032 ID:QlvcAMv3r]

>>5
うーん

[0008 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:51:21.763 ID:ic4bjdoE0]

ユーザー固有の場所ならどこでもいいんじゃね

[0009 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:52:04.527 ID:QlvcAMv3r]

>>8
それだとセキュリティ的に良くないでしょ

[0010 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:53:06.244 ID:QlvcAMv3r]

ごめん自己解決した

[0011 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:53:42.794 ID:8uA7bCC2a]

適当に暗号化してファイルに置いておけば？

[0012 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:53:46.346 ID:LhpcHuNg0]

だろ？感謝しろよな

[0013 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:54:35.871 ID:AvwjQNd/r]

IDとパスワードを保存するな
トークンを保存しろ
そして保存するならセキュリティ的にどこに置いても変わらん

[0014 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:55:21.742 ID:QlvcAMv3r]

macとlinuxはkeyring
WinｈCredential Storeっていう仕組みがあるらしいのでそこに保存するっぽい

[0015 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:56:04.799 ID:QlvcAMv3r]

>>13
セッション切れの度にユーザにユーザ情報入力させるのはちょっとな

[0016 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:56:25.601 ID:SyR3fffG0]

認証などパスワードから生成するユニークなハッシュ値が同じであれば良いんだからパスワード自体を残す必要は一切ない

[0017 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:56:49.424 ID:93ivkWde0]

C：\お宝_20220811

[0018 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:58:11.417 ID:AvwjQNd/r]

>>15
アクセストークンとリフレッシュトークンとか調べてみ
どのアプリもリフレッシュトークンが切れたら入力し直しにしてるよ

[0019 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 14:58:28.309 ID:QlvcAMv3r]

>>16
でも結局ログイン先のサービスと再度セッションを確立するにはユーザがパスワード入力する必要があるよね
今回のケースだとハッシュ値で保存したとしてあまり意味がない

[0020 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:00:06.004 ID:js+L0ca9a]

自分で管理するなら暗号化してデータと一緒に保存しとけ

[0021 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:00:07.790 ID:QlvcAMv3r]

>>18
ログイン先のサービスにリフレッシュトークンがない
レガシーでAPIも提供されてない

[0022 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:02:28.848 ID:AvwjQNd/r]

>>21
なら危険だからやめたほうが良いんじゃないかなぁ
ユーザーのクレデンシャル流出させる気？
どうしてもやりたいなら自己責任で、俺は「ここに置けば安全」なんて無責任なこと言えない

[0023 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:03:09.243 ID:QlvcAMv3r]

>>22
ユーザの情報を保存する先としてキーリングという仕組みがあるのでそこへ保存することになった

[0024 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:06:10.013 ID:AvAODQW3M]

C:\Users\takashi\darkness_labo\apps\ninsho_demo\index.html
これ開発者ツールで見てみ
参考にしていいぞ

[0025 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:07:15.834 ID:QlvcAMv3r]

>>24
はい

[0026 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:07:50.021 ID:AvwjQNd/r]

>>23
いや、他サービスのIDとパスワードを入力させるなという事

[0027 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:08:46.213 ID:QlvcAMv3r]

>>26
そうだね

[0028 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:17:22.680 ID:QlvcAMv3r]

仕組み的にはサードパーティのパスワード管理ソフトとおなじだしセキュリティの問題はキーリングに依存するじゃん
ChromeやFirefoxのパスワード共有機能も同じような仕組みだし
WebだとXSSの可能性も出てくるしリフレッシュトークンをCookieやLocalstorageから盗難される事もある

デスクトップアプリケーションの場合パッケージ自体の侵害や対象のソフトウェアの侵害がない限り盗難リスクは低くないか

たとえリモートアクセスされてもキーリングはロックされてるわけだし

[0029 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:18:45.961 ID:QlvcAMv3r]

なりすましで傍受される可能性はあるか

[0030 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:22:04.376 ID:QlvcAMv3r]

先に一旦アクセス先のIPを貰って整合性の確認してからの認証である程度防げそう

[0031 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:30:10.489 ID:MJ3qqWkyM]

nodeならkeytarみたいなのかな
そんな独自実装で認証作らんでも

[0032 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:31:24.554 ID:QlvcAMv3r]

>>31
独自実装じゃないよ
ただただポストしてキーを貰うだけ
キーはローカルに保存せずすぐ使う
キーリングはかなり単純っぽい

[0033 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:32:32.911 ID:QlvcAMv3r]

ごめんkeytarっぽいので合ってる

[0034 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:37:18.506 ID:PpylpjTIM]

作るアプリによって
リスクの大きさが違うから評価しにくそう

[0035 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:37:32.906 ID:4sQnlBBD0]

俺たちが使うこと無ければ自由にやってくれ
でセキュリティインシデント起きても知らんがなだけど
まぁ>>15のトークン保持とかが普通だよなぁ

[0036 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:38:46.129 ID:QlvcAMv3r]

そんなでかいアプリじゃない

[0037 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:39:20.797 ID:QlvcAMv3r]

トークンは1度きりしか使えない

[0038 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:43:19.522 ID:8QGF9IRrr]

１度きりしか使えないトークンってなんだよ

[0039 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:44:09.112 ID:QlvcAMv3r]

>>38
俺が聞きたい
常にリフレッシュトークンを貰っているような感じ

[0040 以下、5ちゃんねるからVIPがお送りします 2022/08/11(木) 15:45:37.195 ID:QlvcAMv3r]

ログイン機能はしばらくオプショナルにしておく