Describes OAuth of Kadecot

1. 株式会社ソニーコンピュータサイエンス研究所
Kadecot アプリ認証
大和田 茂 （萌家電パパ）
株式会社ソニーコンピュータサイエンス研究所

2. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
概要
• AndroidアプリKadecot (http://kadecot.net)
でWebアプリを起動する際に出現する
Webアプリ認証の仕組みについて解説します。
ECHONET Lite家電機器やセンサー、ソニー製機器、
Hue、IRKitなどをブラウザからJavaScriptで制御可能
Google PlayからダウンロードしAndroidで動作
オープンソースの無料ソフトウェア
標準提供以外のプロトコルも、プラグインとして外部から
追加可能
基本機能
● 接続機器一覧取得
● 機器へのコマンド送信
● 機器の状態取得
● 機器の変化通知
APIサーバー
Kadecot
（カデコ）

3. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
Kadecotのアカウント
• Kadecotをインストール後初めて起動すると、チュートリアル
の後にKadecotのアカウントの設定を求められます。
• この設定は、ユーザーの宅内情報や操作性を怪しいサイト
に不用意に渡さないためにとても重要です。
使用許諾 チュートリアル アカウント設定

4. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
Kadecotのアカウントとは？
• Kadecotのアプリ内（とあなたの脳内）にのみ
しか存在してはいけない情報で、新たな
Webアプリからの接続リクエストが来た時に、
あなたが逐次許可を出す時に入力する情報で
す。
• NameもPasswordも個性的なものにしてください。

5. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
Webアプリから接続があるとこうなります

6. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
この部分を注意深く確認してください
自分が設定した
Kadecotの名前に
なっているか？
アクセスを試みている
Webサイト。相手ごとに
異なります。（直前に
アクセスしていたサイトか？）
要求されているのは
許せるレベルの権限か？
（左側の「＋」を押して確認）
KadecotのIPアドレス:31413からはじまっているか？
（絶対ではありませんが、”192.168”または”172.16”～”172.31”または”10.”から始まって
いれば大丈夫なことが多いので、難しければ最低限それだけでも確認してください）

7. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
確認後にパスワードを入力します
安全そうなら、ここに
インストール時に設定した
パスワードを入力。

8. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
何をやっているのか？
• あるサイトAが初めてKadecotにアクセスしようとすると、接続は一度切断されま
す。（もちろんその時点で、サイトAはKadecotのIPアドレスを知っています。もしあらかじめサイトAが
IPアドレスを聞いて来たら教えておく必要があるかもしれません）
• サイトAはKadecotへのアクセスのための鍵（トークン）をもらうために、一旦
Kadecotの認証ページ（前スライドの画像）を開きます。このページはサイトAから
提供されるものではなく、Kadecot内にあるものです。
• ユーザーはKadecotに対して自分がKadecotのアカウントを知っていることを伝え
るためにパスワードを入力します。
• パスワードが正しければ、KadecotはサイトAのための鍵を生成し、URLの末尾に
#... という形で鍵となる文字列をつけてサイトAを開きます。パスワードは伝わり
ません。
• サイトAは鍵情報を使い、再度Kadecotにアクセスします。サイトAは鍵情報をど
こか（通常はブラウザ内）に保存してしまうかもしれませんが、それ自体は悪質な
行為ではありません。

9. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
注意①
• 認証はドメイン単位で行うので、同一のドメイ
ンで複数のアプリが動作している場合に、そ
れらを区別することはできません。例えば
http://some.site.com/App1/
http://some.site.com/App2/
– の片方を認証するともう片方もその鍵でアクセス
できるようになってしまいます。
– 権限も同じになります。

10. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
注意②
• トークンは通常、localStorageと呼ばれるブラウザ内の記憶
領域に保存されます。
• 従って、ブラウザAで認証が完了したとしても、ブラウザBで
アクセスしたときに再度認証を要求されることがあります。
• この時、ブラウザBにはブラウザA向けに発行されたものと
は違うトークンが発行され、ブラウザA向けのトークンは無
効になります。
• 従って、ブラウザAから（旧トークンを使って）再度アクセス
しようとしてもうまくいかず、再度認証を要求されることがあ
ります。
※これはKadecotの将来バージョンで変更する可能性が
あります。

11. 株式会社ソニーコンピュータサイエンス研究所 株式会社ソニーコンピュータサイエンス研究所
最も重要な注意③
• この方式は、通常のブラウザからのアクセスであれば
ある程度の防護能力を持っていますが、ネイティブア
プリと組み合わせて攻撃を受けると脆弱な部分があ
ることがわかっています。
• もちろんそれ以外に想定されていない状況も多々あ
ると考えられるので、この方式をとったことでセキュア
だと思わないでください。
• 怪しいアクセスの可能性を感じたら、Kadecotを一度
アンインストールして再インストールしてください（上書
きでは情報が引き継がれるのでだめです）

12. 株式会社ソニーコンピュータサイエンス研究所
Thank you
http://kadecot.net/ http://moekaden.com/
@kadecot_dev @moekaden