このページは Cloud Translation API によって翻訳されました。

ループバック IP アドレスフローの移行ガイド

概要

2022 年 2 月 16 日に、より安全な OAuth フローを使用して Google OAuth のインタラクションをより安全にする計画を発表しました。このガイドでは、ループバック IP アドレスフローからサポートされている代替手段に移行するために必要な変更と手順について説明します。

これは、Google の OAuth 2.0 認可エンドポイントとのやり取りの際に発生するフィッシングやアプリのなりすまし攻撃に対する保護対策です。

ループバック IP アドレスフローとは何ですか？

ループバック IP アドレスフローでは、ユーザーが OAuth 同意リクエストを承認した後に認証情報が送信されるリダイレクト URI のホストコンポーネントとして、ループバック IP アドレスまたは localhost を使用できます。このフローは、中間者攻撃に対して脆弱です。一部のオペレーティングシステムで同じループバックインターフェースにアクセスする悪意のあるアプリが、認証サーバーから指定されたリダイレクト URI へのレスポンスを傍受し、認証コードにアクセスする可能性があります。

ループバック IP アドレスフローは、ネイティブ iOS、Android、Chrome の OAuth クライアントタイプでは非推奨になりますが、デスクトップアプリでは引き続きサポートされます。

コンプライアンスの主な日程

2022 年 3 月 14 日 - 新しい OAuth クライアントがループバック IP アドレスフローの使用をブロックされる
2022 年 8 月 1 日 - 準拠していない OAuth リクエストに対して、ユーザー向けの警告メッセージが表示されることがあります。
2022 年 8 月 31 日 - 2022 年 3 月 14 日より前に作成されたネイティブ Android、Chrome アプリ、iOS の OAuth クライアントでループバック IP アドレスフローがブロックされます。
2022 年 10 月 21 日 - 既存のすべてのクライアントがブロックされます（除外されたクライアントを含む）。

準拠していないリクエストに対しては、ユーザー向けのエラーメッセージが表示されます。このメッセージは、アプリがブロックされていることをユーザーに伝え、Google API Console の OAuth 同意画面で登録したサポートメールアドレスを表示します。

移行プロセスを完了するには、次の 2 つの主な手順を完了する必要があります。

影響を受けるかどうかを判断します。
影響を受ける場合は、サポートされている代替手段に移行してください。

影響を受けるかどうかを確認する

OAuth クライアント ID のタイプを確認する

Google Cloud Console の Clients page に移動し、[OAuth 2.0 クライアント ID] セクションで OAuth クライアント ID のタイプを確認します。ウェブアプリケーション、Android、iOS、ユニバーサル Windows プラットフォーム（UWP）、Chrome アプリ、テレビと入力制限のあるデバイス、デスクトップアプリのいずれかになります。

クライアントタイプが Android、Chrome アプリ、iOS で、ループバック IP アドレスフローを使用している場合は、次のステップに進みます。

デスクトップアプリの OAuth クライアントでループバック IP アドレスフローを使用している場合、その OAuth クライアントタイプでの使用は引き続きサポートされるため、この非推奨に関連して何かを行う必要はありません。

アプリがループバック IP アドレスフローを使用しているかどうかを確認する方法

アプリのコードまたは送信ネットワーク呼び出し（アプリが OAuth ライブラリを使用している場合）を調べて、アプリが作成している Google OAuth 認証リクエストがループバックリダイレクト URI 値を使用しているかどうかを確認します。

アプリケーションコードを検査する

Google OAuth 認可エンドポイントを呼び出しているアプリケーションコードのセクションを確認し、redirect_uri パラメータに次のいずれかの値が含まれているかどうかを判断します。

redirect_uri=http://127.0.0.1:<port>（例: redirect_uri=http://127.0.0.1:3000）
redirect_uri=http://[::1]:<port>（例: redirect_uri=http://[::1]:3000）
redirect_uri=http://localhost:<port>（例: redirect_uri=http://localhost:3000）

ループバック IP アドレスリダイレクトフローリクエストのサンプルは次のようになります。

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

注: redirect_uri 値は通常、アプリケーションが実行される環境に基づいて異なるように設定されているため、アプリケーション構成ファイル（.env ファイルなど）も確認する必要があります。

送信ネットワーク通話を検査する

ネットワーク呼び出しを検査する方法は、アプリケーションクライアントのタイプによって異なります。

ウェブアプリケーション - Chrome でネットワークアクティビティを検査する
Android - ネットワークインスペクタでネットワークトラフィックを検査する
Chrome アプリ
- Chrome 拡張機能ページに移動します。
- 拡張機能ページの右上にある [デベロッパーモード] チェックボックスをオンにします。
- モニタリングする拡張機能を選択する
- 拡張機能ページの [ビューを検証] セクションで、[背景ページ] リンクをクリックします。
- デベロッパーツールのポップアップが開き、 [ネットワーク] タブでネットワークトラフィックをモニタリングできます。
iOS - Instruments を使用して HTTP トラフィックを分析する
ユニバーサル Windows プラットフォーム（UWP） - Visual Studio でネットワークトラフィックを検査する
デスクトップアプリ - アプリの開発対象のオペレーティングシステムで利用可能なネットワークキャプチャツールを使用します。

ネットワーク呼び出しを検査する際に、Google OAuth 認可エンドポイントに送信されたリクエストを探し、redirect_uri パラメータに次のいずれかの値が含まれているかどうかを判断します。

redirect_uri=http://127.0.0.1:<port>（例: redirect_uri=http://127.0.0.1:3000）
redirect_uri=http://[::1]:<port>（例: redirect_uri=http://[::1]:3000）
redirect_uri=http://localhost:<port>（例: redirect_uri=http://localhost:3000）

ループバック IP アドレスのリダイレクトフローリクエストのサンプルは次のようになります。

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

サポートされている代替手段に移行する

モバイルクライアント（Android / iOS）

アプリが Android または iOS の OAuth クライアントタイプでループバック IP アドレスフローを使用していると判断した場合は、推奨の SDK（Android、iOS）を使用するように移行する必要があります。

この SDK を使用すると、Google API に簡単にアクセスでき、Google の OAuth 2.0 認証エンドポイントへのすべての呼び出しを処理できます。

以下のドキュメントへのリンクでは、推奨される SDK を使用して、ループバック IP アドレスリダイレクト URI を使用せずに Google API にアクセスする方法について説明しています。

Android で Google API にアクセスする

クライアントサイドアクセス

次の例は、推奨の Google Identity Services Android ライブラリを使用して、Android のクライアント側で Google API にアクセスする方法を示しています。

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder().setRequestedScopes(requestedScopes).build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    // Access already granted, continue with user action
                    saveToDriveAppFolder(authorizationResult);
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

定義したメソッドに authorizationResult を渡し、ユーザーのドライブフォルダにコンテンツを保存します。authorizationResult には、アクセストークンを返す getAccessToken() メソッドがあります。

サーバーサイド（オフライン）アクセス

次の例は、Android のサーバーサイドで Google API にアクセスする方法を示しています。

  List requestedScopes = Arrays.asList(DriveScopes.DRIVE_APPDATA);
    AuthorizationRequest authorizationRequest = AuthorizationRequest.builder()
    .requestOfflineAccess(webClientId)
            .setRequestedScopes(requestedScopes)
            .build();
    Identity.getAuthorizationClient(activity)
            .authorize(authorizationRequest)
            .addOnSuccessListener(
                authorizationResult -> {
                  if (authorizationResult.hasResolution()) {
                    // Access needs to be granted by the user
                    PendingIntent pendingIntent = authorizationResult.getPendingIntent();
                    try {
    startIntentSenderForResult(pendingIntent.getIntentSender(),
    REQUEST_AUTHORIZE, null, 0, 0, 0, null);
                    } catch (IntentSender.SendIntentException e) {
                    Log.e(TAG, "Couldn't start Authorization UI: " + e.getLocalizedMessage());
                    }
                  } else {
                    String authCode = authorizationResult.getServerAuthCode();
                  }
                })
            .addOnFailureListener(e -> Log.e(TAG, "Failed to authorize", e));

authorizationResult には、認証コードを返す getServerAuthCode() メソッドがあります。この認証コードをバックエンドに送信して、アクセストークンと更新トークンを取得できます。

iOS アプリで Google API にアクセスする

クライアントサイドアクセス

次の例は、iOS のクライアントサイドで Google API にアクセスする方法を示しています。

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

アクセストークンを使用して API を呼び出します。これを行うには、REST または gRPC リクエストのヘッダーにアクセストークンを含める（Authorization: Bearer ACCESS_TOKEN）か、 Objective-C for REST の Google API クライアントライブラリでフェッチャー認証子（GTMFetcherAuthorizationProtocol）を使用します。

クライアント側で Google API にアクセスする方法については、クライアントサイドアクセスガイドをご覧ください。クライアントサイドで Google API にアクセスする方法について説明します。

サーバーサイド（オフライン）アクセス

次の例は、iOS クライアントをサポートするためにサーバーサイドで Google API にアクセスする方法を示しています。

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

サーバーサイドから Google API にアクセスする方法については、サーバーサイドアクセスガイドをご覧ください。

Chrome アプリクライアント

アプリが Chrome アプリクライアントでループバック IP アドレスフローを使用していると判断した場合は、 Chrome Identity API を使用するように移行する必要があります。

次の例は、ループバック IP アドレスリダイレクト URI を使用せずにすべてのユーザー連絡先を取得する方法を示しています。

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Chrome Identity API を使用してユーザーを認証し、Google エンドポイントを呼び出す方法について詳しくは、 Chrome Identity API ガイドをご覧ください。

ループバック IP アドレス フローの移行ガイド コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

概要

ループバック IP アドレス フローとは何ですか？

コンプライアンスの主な日程

影響を受けるかどうかを確認する

OAuth クライアント ID のタイプを確認する

アプリがループバック IP アドレス フローを使用しているかどうかを確認する方法

アプリケーション コードを検査する

送信ネットワーク通話を検査する

サポートされている代替手段に移行する

モバイル クライアント（Android / iOS）

Android で Google API にアクセスする

クライアントサイド アクセス

サーバーサイド（オフライン）アクセス

iOS アプリで Google API にアクセスする

クライアントサイド アクセス

サーバーサイド（オフライン）アクセス

Chrome アプリ クライアント

ループバック IP アドレスフローの移行ガイド

ループバック IP アドレスフローとは何ですか？

アプリがループバック IP アドレスフローを使用しているかどうかを確認する方法

アプリケーションコードを検査する

モバイルクライアント（Android / iOS）

クライアントサイドアクセス

クライアントサイドアクセス

Chrome アプリクライアント