Big Sky :: Pownce SupportにAtomPP/WSSEのPasswordDigestの作り方が間違ってるんじゃないか？とメールしても返事が返って来ない件

2007/07/13

Pownce SupportにAtomPP/WSSEのPasswordDigestの作り方が間違ってるんじゃないか？とメールしても返事が返って来ない件

Pownceをはじめました。ファイルを共有出来る所が特徴で、Twitterのいい対抗馬になるのでは？と思ってます。
Pownce Desktopというアプリケーションも付いてますので、一般ユーザにも取っ掛かり安いかもしれません。ただ、現状マルチバイト文字が入力できないので、全て英語(ぽいもの)で書かないとコミュニケーション出来ません。
もしよかったら気軽にAddしてみて下さい。

ところで...
Pownce Desktopの通信をパケットキャプチャした所、どうやらAPIは存在するようで、専用のURIも存在します。ただまだ非公開の為、変更される事もあれば、今後公開される予定もないかもしれません。
興味本位でWSSEヘッダを作成し、GETを投げて見ましたがHTTP/403。色々試しましたがやはりHTTP/403。どうやらWSSEヘッダの作り方が通常と異なるようです。
通常ならばWSSEヘッダは

base64(sha1(nonce + now + password))

となるべきなのですが、WSSEヘッダからNonceをbase64decodeした値と、Created、自分のpasswordを使ってPasswordDigestを作成してもPownce Desktopが作成したPasswordDigestと同じものにならないんです。
で、どうやらNonceを作るアルゴリズムが通常と異なるんじゃないかとPownce Supportにメールしました。
が、現状返ってきてません。WSSEでよくあるのが、仕様をはきちがえてpasswordをmd5したものを使って

base64(sha1(nonce + now + md5(password)))

と扱ったり(某○メーバブログ)、意図してNonceのランダム文字列に特殊なキーを使ったりします。
ただ、後者の特殊キーを使った場合でも、上記のようにsha1後の値は複合出来ますので、やはり今回の件はPownce側で特殊なアルゴリズムを使っているとしか考えられません。

せっかくPownceAPI.pyを作ろうと思ってたのに...
これで返事返ってきてAPI動いて、もしかしたら、API経由ならマルチバイト行けたりして...

Posted at 12:27 in web::pownce | WriteBacks (4) | Edit
Tagged as: API, Pownce, WSSE
Bookmarks:

| この記事へのリンク

WriteBacks

Pownce どうなんだー

あんま関係ないですが，WSSE を利用する場合，サービス提供側は cleartext password を保持しておかないと認証できないってことですかね．むー．

ちなみに，アプリを使ったら一瞬だけ日本語が表示されたという証言もあります．

なんとなく
1. 入力された情報をクライアント側にそのまま表示．
2. 更にサーバから (日本語が化けた状態で) 受信して上書き．
みたいなオチのような気もしますが．

Posted by kosugi at 2007/07/13 (Fri) 13:45:48

何らかの意図で自分たち以外にはAPIを使わせたくないから特殊なのにしてる、というのはないですかねー。mixiのパケットにWSSEの文字を見たとき、まっさきにその心配をしました。

Posted by ku at 2007/07/13 (Fri) 14:32:38

Re: Pownce どうなんだー

＞サービス提供側は cleartext password を保持しておかないと...
仕様さえ間違ってなければ、クリアテキストで無くてもいいはずですし、クライアントアプリはいくらでも誕生し得ると思うのですが...もしかしたら意図的かもしれませんね。

＞1. 入力された情報をクライアント側にそのまま表示．
＞2. 更にサーバから (日本語が化けた状態で) 受信して上書き．
あぁ...最終入力だけクライアントからの入力を追加してしまうタイプのアプリですね。最近のTwitter/WEBもそのせいで、順番がメタメタに見えます。

Posted by mattn at 2007/07/14 (Sat) 22:43:28