Twilio と Web アプリ 連携におけるセキュリティ

2016/02/27 TwilioJP-UG大阪＆AWScean合同勉強会

Transcript

1. ɹ@shin1x1 2016/02/27 TwilioJP-UG大阪＆AWScean合同勉強会 5XJMJP
   ͱ
   8FC
   ΞϓϦ
 ࿈ܞʹ͓͚ΔηΩϡϦςΟ
2. https://github.com/shin1x1/twilio-api-security-demo
3. 5XJMJPͱ8FCΞϓϦͷ࿈ܞ
4. αϯϓϧΞϓϦέʔγϣϯ D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY w
   ձһ޲͚ϙΠϯτ؅ཧγεςϜ
   w
   ి࿩Λ͔͚ΔͱݱࡏͷϙΠϯτ͕ฉ͚Δ
   w
   ి࿩൪߸Ͱೝূ
5. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ి࿩Λ͔͚Δ 図 図 - twilio 図 図 - twilio Twilio Webαʔό ձһ YYYYYYYY
6. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ి࿩൪߸͕ૹΒΕΔ 図 図 - twilio 図 図 - twilio )551ϦΫΤετ
 'SPN
   YYYYYYYY
   ʢൃ৴ݩి࿩൪߸ʣ
7. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ձһೝূ 図 図 - twilio 図 図 - twilio YYYYYY
   Ͱ
   %#
   Λࢀরͯ͠
   ձһΛಛఆ͢Δ
8. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ৘ใΛ9.-Ͱฦ͢ 図 図 - twilio 図 図 - twilio 5XJ.-ʢ9.-ʣΛฦ͢
9. D
   
   .BTBTIJ
   4IJOCBSB
   !TIJOY ৘ใΛ5XJ.-Ͱฦ͢ 図 図 - twilio 図 図 - twilio 5XJ.-ʢ9.-ʣΛฦ͢  YNM
   WFSTJPO
   FODPEJOH65' 
   3FTQPOTF
   
   
   
   
   4BZ
   WPJDFXPNBO
   MBOHVBHFKB+1

   
   
   
   
   
   
   
   ླ໦͞ΜͷϙΠϯτ͸
   
   ϙΠϯτͰ͢ɻ
   
   
   
   4BZ
   3FTQPOTF
10. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY Ի੠Λྲྀ͢ 図 図 - twilio 図 図 - twilio Ի੠࠶ੜ
11. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY σϞ
12. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ى͜Γ͏Δ໰୊
13. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY )551ͷੈք 図 図 - twilio 図 図 - twilio Twilio Webαʔό ձһ
14. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 - twilio ి࿩൪߸Λ 1045
15. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 - twilio 5XJ.-Λ औಘ
16. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ِ૷ϦΫΤετ 図 図 - twilio 図 図 - twilio Twilio Webαʔό ձһ 
    DVSM
    E
    'SPN#

    
    
    
    
    
    
    
    
    
    
    
    
    
    IUUQTFYBNQMFDPNBQJDBMMJOH
     YNM
    WFSTJPO
    FODPEJOH65' 
    3FTQPOTF
    
    
    
    
    4BZ
    WPJDFXPNBO
    MBOHVBHFKB+1

    
    
    
    
    
    
    
    ాத͞ΜͷϙΠϯτ͸
    
    ϙΠϯτͰ͢ɻ
    
    
    
    4BZ
    3FTQPOTF
17. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 5XJMJP
    ΛِͬͨϦΫΤετ wِ૷ͨ͠ϦΫΤετΛ8FCΞϓϦʹૹ৴
    w৘ใऔಘɺૢ࡞ͳͲͷෆਖ਼ར༻ͷՄೳੑ
18. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY ରࡦ
19. ِ૷ϦΫΤετରࡦ D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ܦ࿏ͷ҉߸Խ
    
    ௨৴ݩΛ੍ݶ
    
    ϦΫΤετΛݕূ
20. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ܦ࿏ͷ҉߸Խ w
    )5514
    Λར༻͢Δ
    w
    ࣗݾॺ໊ͷূ໌ॻ͸
    /(
    w
    5-4
    Λར༻ʢ44-W
    ͸ɺഇࢭ༧ఆʣ
21. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 8FCΞϓϦέʔγϣϯͷΤϯυϙΠϯτ IUUQT
    ʹ͢Δ
22. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ௨৴ݩΛ੍ݶ w
    )551
    #BTJDೝূ
    
    %JHFTUೝূ
    w
    ϢʔβɺύεϫʔυΛ
    63-
    ʹؚΊΔ
    w
    IUUQTVTFSQBTT!FYBNQMFDPN
23. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY *1ΞυϨεʹΑΔ੍ݶ͸ʁ https://www.twilio.com/help/faq/twilio-basics/which-ip-addresses-will-twilios-requests-come- from w
    5XJMJP
    ͷૹ৴ݩ
    *1
    ΞυϨε͸ඇެ։
    w
    ୅ΘΓʹϦΫΤετͷݕূΛߦ͏
    w
    Ͳ͏ͯ͠΋ඞཁͳΒ૬ஊ
24. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY 
    ϦΫΤετͷݕূ ɾ5XJMJP
    ͔ΒͷϦΫΤετͰ͋Δ͜ͱΛ֬ೝ
    w
    ଥ౰Ͱ͋Ε͹ॲཧΛ࣮ߦ
    w
    ͦ͏Ͱͳ͚Ε͹ॲཧΛதஅʢΤϥʔʣ
25. D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY )."$4)"ॺ໊ʹΑΔݕূ ɾ
    95XJMJP4JHOBUVSFϔομ
    w
    ॴఆͷΞϧΰϦζϜͰॺ໊Λࢉग़
    w
    ্هɺ̎ͭΛൺֱͯ͠߹க͢Ε͹
    PL
26. 95XJMJP4JHOBUVSFϔομ 95XJMJP4JHOBUVSF
    TOEGBQB2 N11;6MO-L)X
    
27. ॺ໊ࢉग़ ɾ63-
    
    IUUQTFYBNQMFDPNDBMMJOH
    ɾ1045ύϥϝʔλʢΩʔͰιʔτʣ

    
    
    ,FZWBMVF
    
    
    
    ,FZWBMVF
    
    
    
    'SPN  IUUQTFYBNQMFDPNDBMMJOH
 'SPN ,FZWBMVF,FZWBMVF
28. ॺ໊ࢉग़ ɾ"VUI5PLFOΛΩʔʹͯ͠ɺ)."$4)"ॺ໊
    ɾCBTFͰΤϯίʔυ TOEGBQB2 N11;6MO-L)X IUUQTFYBNQMFDPNDBMMJOH
 ,FZWBMVF,FZWBMVF'SPN 
29. ॺ໊͕Ұக͢Δ͔ ੜ੒ͨ͠ॺ໊
    
    
    
    
    
    
    
    
    
    TOEGBQB2 N11;6MO-L)X 95XJMJP4JHOBUVSF
    TOEGBQB2 N11;6MO-L)X
    ߹க͢ΔͷͰɺ5XJMJP͔ΒͷϦΫΤετͱΈͳ͢
    
30. UXJMJPTEL
    ʹΑΔݕূ $validator = new Services_Twilio_RequestValidator($authToken);
 
 // ϔομ͔Βॺ໊औಘ $signature = $request->header('X-Twilio-Signature');
 
 // URL औಘ Request::setTrustedProxies([$request->getClientIp()]);
 $url = $request->getUri();
 
 // POST ύϥϝʔλऔಘ $postParameters = $request->input();
 
 // ॺ໊ݕূ if (!$validator->validate($signature, $url, $postParameters)) {
 // OK
 } else {
 // NG
 }
31. ·ͱΊ D
    
    .BTBTIJ
    4IJOCBSB
    !TIJOY w5XJMJP
    ͱ
    8FC
    ΞϓϦέʔγϣϯ͸
 )551 4
    Ͱ࿈ܞ
    wِ૷ϦΫΤετ͕ૹ৴͞ΕΔ͜ͱΛҙࣝ
    w5XJMJP
    ެࣜυΩϡϝϯτΛࢀߟʹ
    https://jp.twilio.com/docs/api/security