OpenID TechNight vol.17 まとめ

kura @kura_lab

SameSite属性をつけるとCross SiteのリクエストでCookieを付与するか制限できる。Noneは制限なし。LaxとStrictは制限あり。LaxはTop LevelのNavigationであること、Safe HTTP Methodであること（GETなど） #openid #technight

samiii @samiii_xyz

novさん： StrageAccessAPIを使えば可能になるがユーザインタラクションなしでは基本的に不可 #openid #technight

kura @kura_lab

Laxの場合、iframeではCookieがついてこない。POSTの場合は影響が大きかったので2分以内は付与されるがいつ仕様変更になるかはわからない #openid #technight

samiii @samiii_xyz

novさん： 3つめ 7日間インタラクションのないドメインのデータは全削除（Tracker判定にかかわらず） #openid #technight

kura @kura_lab

SameSite=Noneを明示的に指定すれば制限は回避可能。ただしSecrure属性（HTTPS）の場合という条件つき #openid #technight

samiii @samiii_xyz

novさん： SameSite=Lax はChromの仕様 #openid #technight

makicamel @makicamel

SameSite=Lax as default 影響が大きかったので POST では現状 Set-Cookie して 2 分以内は付与されている #openid #technight

@pzt @pzt

2分以内の緩和策は「Chrome will make an exception for cookies set without a SameSite attribute less than 2 minutes ago.」の話。とはいえ、いつ無くなるか分からない。 chromestatus.com/feature/508814… #openid #technight

kura @kura_lab

SafariではIdPとRP間をGETで遷移すると影響を受ける #openid #technight

kura @kura_lab

特定のブラウザーで複数のRPと連携する場合、そのIdPはTracker認定される可能性がある #openid #technight

nhosoya @nhosoya

Tracker認定されるかどうかの明確な基準が気になる #openid #technight

samiii @samiii_xyz

novさん： IdPとRP間をgetでやり取りすると、IdPがTracker認定される可能性がある。 （IdP：複数のRPとやり取りがされる） → 30日間インタラクションがないと全データ消される #openid #technight

@pzt @pzt

SafariのITPはあまり理解してなかった。30日とか7日とかややこしいな…。 #openid #technight

kura @kura_lab

Tracker認定されると、30日間インタラクションがないと全データが消える。強制ログアウトするような挙動になる。7日間アクセスなければデータが消えるため、SPAなRPは強制ログアウトされるような挙動になる #openid #technight

samiii @samiii_xyz

novさん： →強制ログアウトさせられる #openid #technight

kura @kura_lab

IdPとRP間をPOSTで遷移するとCookieがつかない #openid #technight

makicamel @makicamel

OpenIDConnectはレスポンスもGETだから影響ない？ => 複数の RP と連携するブラウザ上では Tracker 認定されてログイン情報が削除され 30 日 or 7 日間で強制ログアウトされる #openid #technight

samiii @samiii_xyz

novさん： postで遷移すると、Cookieが付与されない可能性がある。 #openid #technight

samiii @samiii_xyz

novさん： 認証リクエストがpostの場合。 IdPへのリクエストにCookieがつかない。 IdPログイン済みの場合でも毎回ログイン画面出される挙動になる。 #openid #technight

kura @kura_lab

OpenID Connectの認証リクエストはGETだけでなくPOSTを用いる場合がある。POSTを用いる場合、IdPへのCookieが付与されなくなる #openid #technight

nerocrux @nerocrux

出遅れたけど今日の一限目は session management の話かな…? #openid #technight

samiii @samiii_xyz

novさん： 認証レスポンスがpostの場合。 SPへのリクエストにCookieがつかない。 ログイン後の遷移先をセッションに入れてたりするので、トップページにしか戻らなくなる。 CSRF対応で設定しているstateとかが取れなくなる。ログインできなくなったりも。 #openid #technight

kura @kura_lab

SAMLは認証レスポンスがPOSTのためログイン後の遷移先がわからないなどの影響が出る #openid #technight

makicamel @makicamel

SAMLの場合レスポンスがPOSTなのでログイン後に利用したかった値をセッションに入れていたらCookieが利用できないので利用できない #openid #technight

samiii @samiii_xyz

novさん： 続いてiframeについて。 #openid #technight