rabbit-slide-znz-devise-two-factor-from-4-to-5 2024.8.24.0

checksums.yaml

@@ -0,0 +1,7 @@
+---
+SHA256:
+  metadata.gz: db984cb347bdc1cd17552dc6c76380a67b5b44d82ead2eb59de5599d4eefc43c
+  data.tar.gz: 7854cafdcb19c84c66166ca74f7e21070f19a18f45f62641bf6a116cefc0f5d7
+SHA512:
+  metadata.gz: c44ee511b78cd862eaf0b3a30368f5f98a4e8b444b764911887427b81923fb14fda55ae894eb941e070a7291695ea43b0eb98d96392ff2f36db8af1a219ab2ca
+  data.tar.gz: 8d41fb0f81f17c5ee49d30a955ba6cb99f68c2018c99d2fef4bc469d9f7059d747bfe5575f2c878a2b8e6b32fd5a24383acb8e0b9dc625ea6361c54edda82da6

data/.rabbit

@@ -0,0 +1,2 @@
+--size 800,600
+devise-two-factor-from-4-to-5.md

data/README.md

@@ -0,0 +1,23 @@
+# devise-two-factorを4.xから5.xに上げた話
+
+[大阪Ruby会議04](https://regional.rubykaigi.org/osaka04/)のスポンサーLTの発表資料です。
+
+## 作者向け
+
+### 表示
+
+    rake
+
+### 公開
+
+    rake publish
+
+## 閲覧者向け
+
+### インストール
+
+    gem install rabbit-slide-znz-devise-two-factor-from-4-to-5
+
+### 表示
+
+    rabbit rabbit-slide-znz-devise-two-factor-from-4-to-5.gem

data/Rakefile

@@ -0,0 +1,17 @@
+require "rabbit/task/slide"
+
+# Edit ./config.yaml to customize meta data
+
+spec = nil
+Rabbit::Task::Slide.new do |task|
+  spec = task.spec
+  # spec.files += Dir.glob("doc/**/*.*")
+  # spec.files -= Dir.glob("private/**/*.*")
+  # spec.add_runtime_dependency("rabbit-theme-YOUR-THEME")
+end
+
+desc "Tag #{spec.version}"
+task :tag do
+  sh("git", "tag", "-a", spec.version.to_s, "-m", "Publish #{spec.version}")
+  sh("git", "push", "--tags")
+end

data/config.yaml

@@ -0,0 +1,24 @@
+---
+id: devise-two-factor-from-4-to-5
+base_name: devise-two-factor-from-4-to-5
+tags:
+- ruby
+presentation_date: '2024-08-24'
+presentation_start_time:
+presentation_end_time:
+version: 2024.8.24.0
+licenses: []
+slideshare_id: devise-two-factor-gem-4-x-5-x
+speaker_deck_id: devise-two-factorwo4-dot-xkara5-dot-xnishang-getahua
+vimeo_id:
+youtube_id:
+width: 800
+height: 600
+source_code_uri:
+author:
+  markup_language: :markdown
+  name: Kazuhiro NISHIYAMA
+  email: zn@mbf.nifty.com
+  rubygems_user: znz
+  slideshare_user: znzjp
+  speaker_deck_user: znz

data/devise-two-factor-from-4-to-5.md

@@ -0,0 +1,101 @@
+# devise-two-factorを4.xから5.xに上げた話
+
+author
+:   Kazuhiro NISHIYAMA
+
+institution
+:   株式会社Ruby開発
+
+content-source
+:   大阪Ruby会議04
+
+date
+:   2024-08-24
+
+allotted-time
+:   5m
+
+# self.introduction
+
+- 西山 和広
+- Ruby のコミッター
+- github など: `@znz`
+- 株式会社Ruby開発
+  www.ruby-dev.jp
+
+# devise-two-factor とは?
+
+- devise を TOTP の2要素認証に対応するのに使う gem
+- ユーザごとに以下のデータを保存
+  - 暗号化された OTP シークレット
+    (認証アプリに登録するもの)
+  - 使用済み OTP を区別できる情報
+  - OTP が有効かどうか
+
+# 4.x から 5.x への変更
+
+- 下2個はそのままでいいが OTP シークレットの保存方法が変更
+- (再掲載) ユーザーごとに以下のデータを保存
+  - 暗号化された OTP シークレット
+  - 使用済み OTP を区別できる情報
+  - OTP が有効かどうか
+
+# 4.x から 5.x への変更
+
+- 4 は attr_encrypted gem
+  - `encrypted_otp_secret`, `encrypted_otp_secret_iv`, `encrypted_otp_secret_salt` に Base64 でそれぞれ保存
+- 5 は Rails 7+ 標準の encrypted attribute
+  - 暗号化したものを Base64 して JSON で `otp_secret` 1カラムに保存
+
+# 更新手順
+
+- 4 から 5 は Rails 6 から Rails 7 と同時に上げる必要あり
+  - <https://github.com/devise-two-factor/devise-two-factor/blob/main/UPGRADING.md> に手順あり
+- ほとんど gem は複数の Rails に対応していて独立して更新可能
+  - 今回はそうなっていない
+
+# なぜか? (推測)
+
+- `attr_encrypted` gem と Rails 7 で `#encrypted_attributes` メソッドが衝突する
+- Rails 7 対応の `attr_encrypted` に更新すると二度手間だから一気に移行する手順になっている?
+
+# 問題点
+
+- 実運用環境なら Rails 7 に上げた後に Rails 6 に戻す可能性もあるのでは?
+  - Rails 7 でユーザーの認証アプリと `otp_secret` だけが更新
+    → このまま Rails 6 に戻すと `encrypted_*` が古くて認証失敗
+  - UPGRADING.md には戻す手順はない → 独自対応が必要
+
+# 具体的には
+
+- UPGRADING.md に `legacy_otp_secret` の実装例
+- 公式の手順途中の動作
+  - 読み込み
+    - 新カラムが設定されていれば → `otp_secret`
+    - なければ旧カラムを読む → `legacy_otp_secret`
+  - 書き込み は新しい `otp_secret` のみ
+
+# 独自に書き込み対応
+
+- 新しい `otp_secret` 書き込み時に`legacy_otp_secret` の逆手順で `encrypted_*` に同期
+  - → `legacy_otp_secret` でデコードした結果が `otp_secret` と一致するのを確認して自動テストも追加
+
+# 手動ダウングレードテスト
+
+- 実際に戻してみてテスト → うまく動かないので、さらに調査
+  - → `attr_encrypted` が `salt` に prefix として `_` をつける `encode_salt` オプションがデフォルトで `true`
+- `Base64.decode64` は `_` を無視するので `legacy_otp_secret` は動く
+  - → 同期時に `_` を prepend して解決
+
+# まとめ
+
+- 非互換のダウングレード対応は新バージョンでの互換メソッドの自動テストだけでは不十分
+- 手動でダウングレード確認も必須
+- その他の対応も場合分けして用意
+  - 例: ダウングレード中に `encrypted_*` だけが更新されて `otp_secret` が古くなる → `otp_secret` を nil に戻すタスク
+
+# 宣伝
+
+- 福岡Rubyist会議04 <https://regional.rubykaigi.org/fukuoka04/>
+  - 2024.09.07 Sat. 9:30–18:00
+  - 主催: Fukuoka.rb / 株式会社Ruby開発

metadata

@@ -0,0 +1,62 @@
+--- !ruby/object:Gem::Specification
+name: rabbit-slide-znz-devise-two-factor-from-4-to-5
+version: !ruby/object:Gem::Version
+  version: 2024.8.24.0
+platform: ruby
+authors:
+- Kazuhiro NISHIYAMA
+autorequire:
+bindir: bin
+cert_chain: []
+date: 2024-08-24 00:00:00.000000000 Z
+dependencies:
+- !ruby/object:Gem::Dependency
+  name: rabbit
+  requirement: !ruby/object:Gem::Requirement
+    requirements:
+    - - ">="
+      - !ruby/object:Gem::Version
+        version: 2.0.2
+  type: :runtime
+  prerelease: false
+  version_requirements: !ruby/object:Gem::Requirement
+    requirements:
+    - - ">="
+      - !ruby/object:Gem::Version
+        version: 2.0.2
+description: "[大阪Ruby会議04](https://regional.rubykaigi.org/osaka04/)のスポンサーLTの発表資料です。"
+email:
+- zn@mbf.nifty.com
+executables: []
+extensions: []
+extra_rdoc_files: []
+files:
+- ".rabbit"
+- README.md
+- Rakefile
+- config.yaml
+- devise-two-factor-from-4-to-5.md
+- pdf/devise-two-factor-from-4-to-5-devise-two-factor-from-4-to-5.pdf
+homepage: https://slide.rabbit-shocker.org/authors/znz/devise-two-factor-from-4-to-5/
+licenses: []
+metadata: {}
+post_install_message:
+rdoc_options: []
+require_paths:
+- lib
+required_ruby_version: !ruby/object:Gem::Requirement
+  requirements:
+  - - ">="
+    - !ruby/object:Gem::Version
+      version: '0'
+required_rubygems_version: !ruby/object:Gem::Requirement
+  requirements:
+  - - ">="
+    - !ruby/object:Gem::Version
+      version: '0'
+requirements: []
+rubygems_version: 3.5.11
+signing_key:
+specification_version: 4
+summary: devise-two-factorを4.xから5.xに上げた話
+test_files: []