LINE API総復習シリーズ第２弾、LINEログイン編でお話しした資料です。LINEログインの概要とOAuth2.0/OpenID Connectについて解説しています。 https://linedevelopercommunity.connpass.com/event/248669/

1. LINEログイン総復習
2022/6/17
富⼠榮 尚寛
@phr_eidentity

2. ⾃⼰紹介
+役割
+ OpenIDファウンデーション・ジャパン代表理事
+ ⽶国OpenID Foundation eKYC and Identity Assurance WG, co-chair
+書き物など
+ Blog︓IdM実験室（https://idmlab.eidentity.jp）
+ 監訳 : クラウド時代の認証基盤 Azure Active Directory 完全解説
+ 共著 : クラウド環境におけるアイデンティティ管理ガイドライン
+その他活動
+ ⽇本ネットワークセキュリティ協会アイデンティティ管理WG
+ Microsoft MVP for Enterprise Mobility（Jan 2010 -）
+ LINE API Expert （Feb 2018 -）
+ Auth0 Ambassador（Sep 2018 -）
#linedc

3. Agenda
+LINEログインとは︖
+主な機能
+LINEログインとOAuth2.0/OpenID Connect
+最新Update
#linedc

4. LINEログインとは︖
- 公式ドキュメントより -
LINEログインは、LINEアカウントを使ったソーシャルログインサービスです。LINE
ログインをあなたのウェブサイトやアプリに組み込むことで、ユーザーが会員登録や
ログインをする時に、次のような利便性の向上が⾒込めます。
+ 会員登録する際に、あらかじめLINEに登録されているプロフィール情報が⾃動で⼊
⼒されるので、ユーザーの⼊⼒の⼿間を省ける
+ サイトごとのメールアドレスとパスワードを覚えなくても、「LINEログイン」ボタ
ンで簡単にログインできる
LINEログインは、ウェブアプリ（ウェブサイト）、iOSアプリ、Androidアプリ、ま
たはUnityゲームに組み込むことができます。
https://developers.line.biz/ja/docs/line-login/overview/
#linedc

5. LINEログインを組み込んだサイト例
#linedc

6. LINEログインの位置付け
LINEプラットフォームの構造
+プロバイダー︓
+アプリを提供する個⼈または組織
+チャネル︓
+プロバイダーの中に作成
+アプリとLINEプラットフォームを接続するための通信路
+LINEログイン、Messaging API、LINEミニアプリなどの種別
#linedc

7. 主な機能
+LINEアカウントでログインする
+プロフィール情報を取得する
+公式アカウントを友だち追加する様に促す
+公式アカウントとの友だち関係を取得する
#linedc

8. LINEアカウントでログインする
+メールアドレス＋パスワードでログイン
+QRコードでログイン（PCブラウザのみ）
#linedc

9. その他のログイン⽅法
+シングルサインオン
+⾃動ログイン
#linedc

10. プロフィール情報を取得する
+ユーザーID
+ユーザーの表⽰名
+プロフィール画像のURL
+ステータスメッセージ
+ユーザーのメールアドレス
#linedc

11. 公式アカウントを友だち追加する様に促す
#linedc

12. 公式アカウントとの友だち関係を取得する
+friendFlag
+True:ユーザーがLINE公式アカウントを友だち追加済みで、ブロッ
クしていない。
+False: それ以外の場合。
#linedc

13. アプリへの組み込み
+Webアプリへの組み込み
+OAuth2.0とOpenID Connect
+ネイティブアプリへの組み込み
+LINE SDK for iOS Swift
+LINE SDK for iOS Objective-C
+LINE SDK for Android
+LINE SDK for Unity
+LINE SDK for Flutter
#linedc

14. LINEログインとOAuth2.0/OpenID Connect
OAuth2.0/OpenID Connectを理解するとLINEログインの中⾝が理解
できる
#linedc

15. LINEログインとは︖（再掲）
OpenID Connect/OAuthに対応したIdentity Provider
#linedc

16. OpenID Connectとは︖
+OpenID Connect 1.0 は, OAuth 2.0 プロトコルの上にシ
ンプルなアイデンティティレイヤーを付与したものである.
このプロトコルは Client が Authorization Server の認証
結果に基づいて End-User のアイデンティティを検証可能
にする. また同時に End-User の必要最低限のプロフィール
情報を, 相互運⽤可能かつ RESTful な形で取得することも
可能にする.
※ http://openid-foundation-japan.github.io/openid-connect-core-1_0.ja.html
#linedc

17. OAuth2.0（RFC 6749）とは︖
+OAuth 2.0 は, サードパーティーアプリケーションによる
HTTPサービスへの限定的なアクセスを可能にする認可フ
レームワークである.
※ http://openid-foundation-japan.github.io/rfc6749.ja.html
#linedc

18. +サードパーティアプリケーション︓OAuthクライアント
+HTTPサービス︓リソースサーバ
+限定的なアクセス︓スコープ
+可能にする（サービス）︓認可サーバ
OAuthクライアント
（Webアプリ、スマホアプリなど）
リソースサーバ
（API、サービス）
認可サーバ
（OAuthサーバ）
利⽤者
（リソースオーナー）
スコープに基づき許可
（認可）
認可に基づき
アクセストークンを発⾏
アクセストークンを
提⽰してアクセス
リソースを所有
#linedc

19. 典型的な使われ⽅
+カレンダーアプリとGoogle Calendarの連携
カレンダーアプリ
Google Calendar
API
Google Account
利⽤者
（リソースオーナー）
カレンダーアプリに対して
アイテムの読み出しを許可
認可に基づき
アクセストークンを発⾏
アクセストークンを
提⽰してアクセス
リソースを所有
#linedc

20. OAuth2.0と認証
+アクセス許可を⾏う前にログインする為、アクセストークンを認証の
結果得られたものとして扱ってしまう
カレンダーアプリ
Google Calendar
API
Google Account
利⽤者
（リソースオーナー）
カレンダーアプリに対して
アイテムの読み出しを許可
認可に基づき
アクセストークンを発⾏
アクセストークンを
提⽰してアクセス
リソースを所有
ログイン（認証）
#linedc

21. OAuth2.0と認証
+殆どのサービスがプロファイル取得APIを⽤意しており、アクセス
トークンでID情報の取得が可能。アクセストークン提⽰者＝リソース
オーナーとみなしてしまう
カレンダーアプリ
Google Account
API
Google Account
利⽤者
（リソースオーナー）
カレンダーアプリに対して
アイテムの読み出しを許可
認可に基づき
アクセストークンを発⾏
アクセストークンを
提⽰してアクセス
リソースを所有
ID情報の取得が可能
#linedc

22. OAuth2.0と認証
+アクセストークンは電⾞の切符（誰が持ってきてもOK）
+認可サーバはアクセストークンの有効性検証は出来るが、持
参⼈＝発⾏時に認証した⼈かどうかは検証できない
+Authorization HeaderにBearer xxxxとして指定
+Bearer（ベアラ）＝持参⼈。持ってきた⼈に利⽤を許可す
る、ということ
※ https://idmlab.eidentity.jp/2013/09/bearer-token.html
#linedc

23. 認証に使うには
=OpenID Connectがやっていること
+認証セッションで発⾏されるトークン（id_token）の利⽤
+アクセストークンの様に別APIのコールに利⽤しない
+認証に紐づくアイデンティティ情報を表現
+プロトコルフローはOAuth2.0に準じる（scope=openidを指定）
+加えて、属性情報の取得⽅式の標準化（userInfo）
+アクセストークンを使った属性の取得
+OAuth2.0のフローに則って属性情報を扱う⽅式の標準化
#linedc

24. ものすごく単純化すると
+OAuth2.0 = access_tokenを発⾏するための仕組み
+アプリがAPIにアクセスすることを許可するトークン
+認可のためのフレームワークと⾔われる所以
+OpenID Connect = OAuth2.0 + id_tokenを発⾏するた
めの仕組み
+ユーザのアイデンティティを表すトークン
+認証結果の表現/ID連携のための仕組みと⾔われる所以
#linedc

25. ⽐べてみる
項⽬ OAuth OpenID Connect
認可リクエストの
パラメータ
scope 任意 必須（openid）
redirect_uri 任意 必須
nonce - 任意
セキュリティ対策
（code置き換えへの対策）
PKCE
（codeとセッション紐づけ）
nonce
（codeとid_tokenの紐づけ）
トークンの種類 access_token
（発⾏対象者の情報なし）
id_token
（発⾏対象者の情報あり）
プロファイル取得⽅法 標準化対象外 userInfoエンドポイント
キモは「scope=openid」と「id_token」と「userInfoエンドポイント」
#linedc

26. id_token詳細
+JWT（JSON Web Token）形式
※ http://openid-foundation-japan.github.io/draft-ietf-oauth-json-web-token-
11.ja.html
+内部構造
+ヘッダ︓署名や暗号化形式など
+ペイロード︓クレーム（属性）セット、暗号化する場合も
+シグニチャ︓デジタル署名
+Base64Urlエンコードし、”.”で各パートを連結する
+eyJhb̶snip--iJ9.eyJpc3̶snip--pwIn0.gC4ub--snip--yBm0
#linedc

27. id_token詳細
Claim Type Value Notes
iss https://access.line.me JWTの発⾏者（issuer）を表す識別⼦
sub U9f1cac4f164ef3f5c02c92d
0067a11a1
JWTの主体（subject）を表す識別⼦
LINEの場合はuserId
aud 1516319320 JWTの発⾏先（audience）を表す識別⼦
LINEの場合はclient_id
exp 1552324580 JWTの有効期限（UNIX Time）
iat 1552320980 JWTの発⾏時刻（UNIX Time）
nonce 51501f6a-9a12-4d42-ad72-
0d36e44df96f
リクエスト時に設定したnonceの値
リクエストと発⾏されたid_tokenの中の値がマッチ
するかどうかを検査し置き換え攻撃を検知する
name Naohiro Fujie 名前。LINEの場合は表⽰名
picture https://profile.line-
scdn.net/0m0--snip-- xxx
プロファイル写真のURL
email naohiro.fujie@eidentity.jp メールアドレス
#linedc

28. フロー
（code flow）
LINEの場合のエンドポイント
+ Authorization Endpoint
+ https://access.line.me/oauth2/v2.1/auth
orize
+ Token Endpoint
+ https://api.line.me/oauth2/v2.1/token
+ UserInfo Endpoint
+ https://api.line.me/oauth2/v2.1/userinfo
#linedc

29. LINEログイン再び
SDKを使うケースが多いとは思いますが、
内部ではこんなことが⾏われています
#linedc

30. LINEアカウントでログインする
+認証要求（アプリ→LINEプラットフォーム）
+https://access.line.me/oauth2/v2.1/authorize? →認可EP
+ response_type=code& →認可コードフローを使う
+ client_id=1234567890& →チャネル（アプリとLINEプラットフォーム
を接続するための通信路）ID
+ redirect_uri=https%3A%2F%2Fexample.com%2Fcb& →アプリCB
+ state=12345abcde& →CSRF対策
+ scope=profile%20openid%20email& →次ページ
+ openid＝OpenID Connect、profile=UserInfoへアクセスするためのアクセ
ストークンも要求、email＝id_tokenにemailを⼊れる（要承認）
+ nonce=09876xyz →トークン置き換え対策
#linedc

31. scope指定とできること
#linedc

32. その他特殊パラメータ群
+Bot_prompt:
+ 同⼀プロバイダ内に追加したMessaging APIチャネル（公式アカウント）との
リンク＝友だち追加を促す⽅法を決定する（normal/aggressive）
+initial_amr_display
+ 初期表⽰するログイン⽅式（lineqrでQRコードログイン）
+switch_amr
+ ログイン⽅式の切り替えの有効/無効
+disable_auto_login/disable_ios_auto_login
+ ⾃動ログインを無効にする
#linedc

33. LINEアカウントでログインする
+認可コードを受け取る（LINEプラットフォーム→アプリ）
+https://example.com/cb? →指定したredirect_uri
+ code=abcd1234& →トークンと交換するための認可コード
+ state=12345abcde& →認証要求時に指定したstate（リクエストセッ
ションとの紐付けをアプリ側で検証する）
+ friendship_status_changed=true →公式アカウントとの友だち状態の
変化の有無（LINE固有のパラメータ）
#linedc

34. LINEアカウントでログインする
+トークン要求（アプリ→LINEプラットフォーム）
+curl -v -X POST https://api.line.me/oauth2/v2.1/token
+ -H 'Content-Type: application/x-www-form-urlencodedʼ
+ -d ʻgrant_type=authorization_codeʼ →認可コードフロー
+ -d ʻcode=abcd1234ʼ →受け取った認可コード
+ --data-urlencode 'redirect_uri=https://example.com/cbʼ
+ -d ʻclient_id=1234567890ʼ →チャネルID
+ -d ʻclient_secret=1234567890abcdefghij1234567890abʻ →チャネ
ルシークレット（LINEプラットフォームはチャネルIDとシークレットでア
プリを認証）
#linedc

35. LINEアカウントでログインする
+アクセストークン、id_tokenを受け取る
+{
+ "access_token": "bNl4YEFPI/hjFWhTqexp4MuEw5YPs...",
+ "expires_in": 2592000,
+ "id_token": "eyJhbGciOiJIUzI1NiJ9...",
+ "refresh_token": "Aa1FdeggRhTnPNNpxr8p",
+ "scope": "profile",
+ "token_type": "Bearer"
+}
LINE APIへのアクセスに
利⽤するトークン
認証されたLINEアカウン
トを⽰すIDトークン
検証OKなら認証OK
#linedc

36. プロフィール情報を取得する
+Id_tokenから取得（JWTのdecode）
+userInfoから取得
+アクセストークンをヘッダにつけてAPI実⾏
+curl -v -X GET https://api.line.me/oauth2/v2.1/userinfo
+ -H 'Authorization: Bearer {access token}ʼ
+{
+ ”sub":"U4af4980629...",
+ ”name":"Brown",
+ "picture":"https://profile.line-scdn.net/abcdefghijklmn"
+}
#linedc

37. こぼれ話︓ユーザーID（識別⼦）
+プロバイダー内で共通の値
+同⼀事業者のサービスの間では共通の識別⼦
+別事業者へは同じユーザでも識別⼦は別の値となる
+いわゆる仮名（Pairwise Pseudonym Identifier/PPID）
+プライバシーへの配慮
+複数の事業者の結託、情報漏洩時の影響範囲の限定
+ 事業者A︓LINE IDと紐づけて⽒名を登録（⽣年⽉⽇は知らない）
+ 事業者B︓LINE IDと紐づけて⽣年⽉⽇を登録（⽒名は知らない）
+事業者Bからデータ漏洩があった場合に事業者Bで同じLINE IDで
の機械的な名寄せにより事業者Aで⽒名＋⽣年⽉⽇が判明
#linedc

38. 公式アカウントを友だち追加するよう促す
+認証要求時のパラメータとしてbot_promptを指定（再掲）
+ もちろん事前にLINEログインのチャネル内で同⼀プロバイダー内の公式アカウ
ントとのリンク設定をしておく必要はある
#linedc

39. 公式アカウントとの友だち関係を取得する
+アクセストークンをつけてAPIコール
+curl -v -X GET https://api.line.me/friendship/v1/status
+ -H 'Authorization: Bearer {access token}ʼ
+{
+ "friendFlag": true
+}
#linedc

40. 最新Update
#linedc

41. LINE Login アップデート
+こちらを追いかけてみる（とりあえず最近の分）
+https://developers.line.biz/ja/news/tags/line-login/
⽇付 アップデート 内容
2022/6/3 UserInfoエンドポイントの
追加
従来のprofileエンドポイントに加えuserInfoエンドポイントを追
加
2022/6/1 コンソールでの「地域」表
記の変更
地域→サービスを提供する地域に表記を変更
2022/4/26 2要素認証スイッチ機能導
⼊に伴うv2.1の推奨
クライアントでの2要素認証スイッチに対応しているv2.1を利⽤
することを推奨（v2.0まででは利⽤不可）
2022/4/11 LINEログインのセキュリ
ティチェックリスト公開
LINEログイン実装者に向けたセキュリティチェックリストの公開
2022/3/24 チャネル権限の同意画⾯の
デザイン変更
所在地・地域の表⽰（改正個⼈情報保護法対策）
#linedc

42. まとめ
+LINE ログイン、使いこなすと超便利なアプリが作れます
+⽇々情報がアップデートされてます
+安全にアプリ実装をするために必要な仕様にも対応して⾏っ
ていますので、キャッチアップしていきましょう
+2要素認証対応バージョンへの推奨などセキュリティ上の情
報やチェックリストも公開されているので確認していきま
しょう︕
#linedc