マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

目次

概要

OAuth 2.0 Threat Model and Security ConsiderationsのFlowに着目した脅威モデル。

Authorization code

主に、code漏洩にフォーカスした内容。

Implicit

access_tokenは、

共通項

共通的な影響

access_tokenの漏洩により、
Resource Ownerの、そのscopeのリソースにアクセス可能になる。

攻撃区分での分類

Endpointからのaccess_token漏洩

影響

共通的な影響

攻撃

盗聴

対策

SSL/TLSの利用

ブラウザ履歴からのaccess_token漏洩

影響

共通的な影響

攻撃

ブラウザ履歴の参照

対策

悪意のあるClientを認可してしまう

Implicitではクライアント認証が不可な点を除き、Authorization codeと同じ。

影響

攻撃

対策

スクリプトの実装を置換する

影響

共通的な影響

攻撃

対策

CSRFによる攻撃者のaccess_token注入

攻撃方法・対策は、Authorization codeと同じ。

影響

攻撃

対策

access_token置換によるOAuthログイン

攻撃方法・対策は、Authorization codeと同じ。

影響

攻撃

対策

Resource Owner Password Credentials

OAuth 2.0ではIdPの仕様について言及されていないので、
ここでは唯一、サインイン・プロセスの問題を扱う(ただし非対話)。

共通項

共通的な影響

攻撃区分での分類

ユーザID/パスワードの盗難

影響

共通的な影響

攻撃

悪意のあるクライアントによるユーザID/パスワード盗難

対策

ユーザID/パスワードの盗聴

影響

共通的な影響

攻撃

エンドポイントに対するユーザID/パスワード盗聴

対策

Client側でのパスワードの露見アクシデント

影響

共通的な影響

攻撃

クライアントが十分な保護を提供していない場合、偶発的に起きる。

対策

意図しない不要に大きなscope

影響

悪意のあるClientが、不要に大きなscopeを持ったトークンを取得できる。

攻撃

悪意のあるClientが、不要に大きなscopeを持ったトークンを要求する。

対策

refresh_tokenによる長期的認可の維持

影響

攻撃

対策

ユーザID/パスワードのオンライン推測

影響

単一のユーザー名とパスワードの組み合わせの啓示

攻撃

有効なユーザー名とパスワードの組み合わせを推測

対策

Client Credentials

Resource Owner Password Credentialsで説明したものと同様だが、
ユーザID/パスワードは使用しないため、非対話的問題を突いた攻撃の考慮事項に限定される。

参考

ネットでピックアップされていたもの。

全グラント種別共通

影響

Clientを用いた攻撃が可能になる。

攻撃

対策

Authorization Code, Implicitグラント種別共通

Open Redirect

影響

攻撃者のClientのRedirectエンドポイントに誘導できる。

攻撃

redirect_uriパラメタを用いたOpen Redirectの脆弱性を攻撃

対策

Authorization Serverの甘めの redirect_uri 検証処理に起因するので、
Authorization Serverは、client_id + redirect_uri の事前登録必須 + 完全一致にする。

Authorization Codeグラント種別

codeの置換・注入(CSFR)

影響

攻撃

codeを収集し、置換・注入(CSFR)の攻撃を行う。

対策

Implicitグラント種別

Tokenの置き換え(不正利用)

影響

「OAuth 2.0 の implicit grant flow を認証に使うと、
車が通れる程どてかいセキュリティ・ホールが開く。」らしい。

攻撃

この、セキュリティ・ホールとは、

ザックリ言って、

と言うモノらしい。

対策

access_tokenのJWT化などによって、Resource Server側でもClient検証を行う。


Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth


トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS