マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

目次

概要

OAuth 2.0 Threat Model and Security Considerations
Flowに着目した脅威モデルのうち、主に、access_token漏洩にフォーカスした内容。

access_token漏洩

access_tokenは、

  • Fragment identifierでClientに直接返される。
  • これにより、HTTP referer(サーバ側)を介しての漏洩はしない。

攻撃

対策

共通項

共通的な影響

access_tokenの漏洩により、
Resource Ownerの、そのscopeのリソースにアクセス可能になる。

単純な攻撃

Endpointからのaccess_token漏洩

影響

共通的な影響

攻撃

盗聴

対策

SSL/TLSの利用

ブラウザ履歴からのaccess_token漏洩

影響

共通的な影響

攻撃

ブラウザ履歴の参照

対策

  • キャッシュを無効化する。
  • access_token
    • 短い有効期限
    • scopeを小さくする

悪意のあるClientの登録・誘導による盗難

スクリーン・スクレイピング

スクリプトの実装を置換する

影響

共通的な影響

攻撃

  • DNSまたはARPスプーフィング
  • 攻撃者のスクリプトをダウンロードする。
  • access_tokenの盗難・漏洩

対策

  • スクリプトを取得するCDNなどのサーバを認証する。
  • スクリプトの改竄の確認処理を実装する。
  • 1回限りの使用ごとの秘密値の導入などは、
    攻撃者のスクリプトの有効性を低下させる。

access_tokenの置換・注入

CSRFによる攻撃者のaccess_token注入

Authorization codeと同じ。

access_token置換によるOAuthログイン

Authorization codeと同じ。

  • 単なる OAuth 2.0 を認証に使うと、車が通れるほどの
    どでかいセキュリティー・ホールができる | @_Nat Zone
    https://www.sakimura.org/2012/02/1487/
    • 攻撃者の構築したClient(A)は、Access Tokenを収集する。
    • 攻撃者は、 Access Token置き換え攻撃により、Client(B)経由でリソース・アクセスできる。

Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth


トップ   編集 凍結 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS
Last-modified: 2018-12-18 (火) 11:07:18 (90d)