松尾です。 > OAuth実装どうもありがとうございます。OAuthについて一つ提案というか相談 > なのですが、consumer keyをtwittering-mode自体に埋め込まずにOAuthを行う > 方法として、request token取得までを代替わりするCGIをtwmode.sf.netに設置 > するというのはどうでしょう? OAuthのプロセスを完全にはまだ理解できていな > いので、間違ったことを言っているかもしれませんが。
この方法でconsumer secretを隠すには全てのリクエストをそのCGI 経由で行う必要があるので負荷の意味で難しそうです。 OAuthでは一般のリクエスト時にも署名を付ける必要があるのですが このときに使う鍵がconsumer secretとaccess token secretを単純に &でつないだ文字列なので(http://oauth.net/core/1.0a/#anchor15) 署名をローカルで行う限り、ローカル側でconsumer secretを持って いなければいけません。(少なくともメモリ上には) twittering-mode.elにconsumer secretを入れないとしても、どこかから 取得する必要はあるのでこれを完全に秘密にするのは難しいと思います。 consumer keyとconsumer secretだけCGIから取得すれば一応 twittering-mode.elには載せないですみますがHTTPでアクセスすれば 取得できる状況では全く秘密でもなんでもないでしょうし…。 配布側でconsumer情報を制御できるという意味ではこちらの方が (Twitterにとって)望ましいのかもしれませんが、悪用が防げないのに 「制御できる」ともいえないですよね…。 どうしたものでしょうか。 P.S. 実際のところ、access tokenに関してconsumer secretも使って認証を 受けているのに、リクエスト時の署名にさらにconsumer secretを直接 使う設計自体が面倒臭さの原因になってるような気がします。 consumer secretとaccess token secretで作られるhashと、 access token secretの組み合わせで鍵を作っても問題なさそうに 思うんですが…。 (いかにも思い付きそうなことなのでどこかに穴があるのかな) --- 松尾 直志 <t...@mymail.twin.jp> ------------------------------------------------------------------------------ _______________________________________________ twmode-users mailing list twmode-users@lists.sourceforge.net https://lists.sourceforge.net/lists/listinfo/twmode-users
