「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。

-[[戻る>OAuth 2.0 Threat Model and Security Considerations]]

* 目次 [#ff55f5a3]
#contents

*概要 [#i38da113]
[[OAuth 2.0 Threat Model and Security Considerations]]のFlowに着目した脅威モデル。

* [[Authorization code>OAuth 2.0 Threat Model (Authorization code Flow)]] [#v5721a5d]
主に、code漏洩にフォーカスした内容。

*Implicit [#f86d5264]
access_tokenは、
-Fragment identifierでClientに直接返される。
-HTTP refererを介して漏洩しない。
*[[Implicit>OAuth 2.0 Threat Model (Implicit Flow)]] [#f86d5264]
主に、access_token漏洩にフォーカスした内容。

**共通項 [#x08ab3df]
*[[Resource Owner Password Credentials>OAuth 2.0 Threat Model (Resource Owner Password Credentials Flow)]] [#z7c59f6c]
主に、サインイン・プロセスの問題にフォーカスした内容。

***共通的な影響 [#x57472a2]
access_tokenの漏洩により、~
Resource Ownerの、そのscopeのリソースにアクセス可能になる。

***攻撃区分での分類 [#kee64f7a]
-クライアント
--[[悪意のあるClientを認可してしまう>#iafa8527]]

-DNSまたはARPスプーフィング
--[[スクリプトの実装を置換する>#t8d8d189]]

-codeの置換・注入
--[[CSRFによる攻撃者のaccess_token注入>#z004447e]]
--[[access_token置換によるOAuthログイン>#a94eb141]]

**Endpointからのaccess_token漏洩 [#c77be886]
***影響 [#y00961bc]
[[共通的な影響>#x57472a2]]

***攻撃 [#m77ffac9]
盗聴

***対策 [#r90440c1]
SSL/TLSの利用

**ブラウザ履歴からのaccess_token漏洩 [#of10be77]
***影響 [#y26ff3d4]
[[共通的な影響>#x57472a2]]

***攻撃 [#ae57a875]
ブラウザ履歴の参照

***対策 [#mf2daa3e]
-キャッシュを無効化する。

-code
--短い有効期限
--1回限りの使用制限

**悪意のあるClientを認可してしまう [#iafa8527]
Implicitではクライアント認証が不可な点を除き、[[Authorization code>#j8c50476]]と同じ。

***影響 [#z11b1483]


***攻撃 [#edb73bc0]


***対策 [#b7f83e94]
-redirect_uri検証
-scope
--認可画面の表示(通常の仕様では認可画面非表示)
--若しくは、当該フロー(認可画面非表示)でのscope制限

**スクリプトの実装を置換する [#t8d8d189]
***影響 [#x2ad3d75]
[[共通的な影響>#x57472a2]]

***攻撃 [#w6a08854]
-DNSまたはARPスプーフィング
-攻撃者のスクリプトをダウンロードする。
-access_tokenの盗難・漏洩

***対策 [#ocade264]
-スクリプトを取得するSDNを認証する。
-スクリプトの改竄の確認処理を実装する。

-Introduce one-time, per-use secrets (e.g., "client_secret") values that can only be used by scripts in a small time window once loaded from a server.~
The intention would be to reduce the effectiveness of copying client-side scripts for re-use in an attacker's modified code.

**CSRFによる攻撃者のaccess_token注入 [#z004447e]
攻撃方法・対策は、[[Authorization code>#z08fc60f]]と同じ。

***影響 [#e769022a]
***攻撃 [#tac7e64c]
***対策 [#i129916c]

**access_token置換によるOAuthログイン [#a94eb141]
攻撃方法・対策は、[[Authorization code>#p007b55e]]と同じ。

***影響 [#bc67e7c0]
***攻撃 [#b22f52b3]
***対策 [#r3ec6f36]

*Resource Owner Password Credentials [#z7c59f6c]
[[OAuth]] 2.0ではIdPの仕様について言及されていないので、~
ここでは唯一、サインイン・プロセスの問題を扱う(ただし非対話)。

**共通項 [#t3a417b9]
***共通的な影響 [#dffb5785]
-クライアントにユーザID/パスワードが渡る。
-トークン取り消しが機能しない。
-認可プロセスを制御できない。

***攻撃区分での分類 [#lcf01c6d]

-ユーザID/パスワードの漏洩
--[[ユーザID/パスワードの盗難>#db447962]]
--[[ユーザID/パスワードの盗聴>#g872ebc1]]
--[[ユーザID/パスワードのオンライン推測>#s789d1f8]]
--[[Client側でのパスワードの露見アクシデント>#v557e2e3]]

-非対話的問題を突いた攻撃。
--[[意図しない不要に大きなscope>#w71cb4d0]]
--[[refresh_tokenによる長期的認可の維持>#bafbe5ca]]

**ユーザID/パスワードの盗難 [#db447962]
***影響 [#h002f857]
[[共通的な影響>#dffb5785]]

***攻撃 [#ueae69f1]
悪意のあるクライアントによるユーザID/パスワード盗難

***対策 [#b6dc1303]
-限定的に利用する。
--基本認証から移行する過渡期
--UserAgentがAuthorization Serverに接続できない場合
--ClientとAuthorization Serverが同じ組織に利用されているケース

-ユーザに異なるサービスに同じ~
ユーザID/パスワードを使用しないように促す。

-refresh_tokenとユーザIDの紐付けと検証(?

**ユーザID/パスワードの盗聴 [#g872ebc1]
***影響 [#ubfda847]
[[共通的な影響>#dffb5785]]

***攻撃 [#hf181037]
エンドポイントに対するユーザID/パスワード盗聴

***対策 [#k5d9ffbf]
-SSL/TLSを利用する。
-平文認証を使用しない代替認証を使用する。

**Client側でのパスワードの露見アクシデント [#v557e2e3]

***影響 [#a85d7b1b]
[[共通的な影響>#dffb5785]]

***攻撃 [#ma826c54]
クライアントが十分な保護を提供していない場合、偶発的に起きる。

***対策 [#adb2505d]
-他のフローを使用する。
-ダイジェスト認証を使用
-ログのパスワードを難読化

**意図しない不要に大きなscope [#w71cb4d0]

***影響 [#v8648471]
悪意のあるClientが、不要に大きなscopeを持ったトークンを取得できる。

***攻撃 [#j88ae5de]
悪意のあるClientが、不要に大きなscopeを持ったトークンを要求する。

***対策 [#w094e5b5]
-他の(対話的)フローを使用する。

-scope
--当該(非対話的)フローでのscope制限
--クライアントの信頼性よって緩和
--任意の通知手段によって認可をResource Ownerに通知する。

**refresh_tokenによる長期的認可の維持 [#bafbe5ca]

***影響 [#f5f2399c]
***攻撃 [#xff0ef19]
***対策 [#ze601703]
-他の(対話的)フローを使用する。

-当該フローでrefresh_token
--発行しない。
--クライアントの信頼性よって緩和
--任意の通知手段によってリフレッシュをResource Ownerに通知する。

**ユーザID/パスワードのオンライン推測 [#s789d1f8]

***影響 [#k2df1fdd]
単一のユーザー名とパスワードの組み合わせの啓示

***攻撃 [#p3f485b4]
有効なユーザー名とパスワードの組み合わせを推測

***対策 [#se987155]
-サインイン
--安全なパスワードポリシー設定する。
--ロックアウト、タールピット(一時的ロック)を使用する。
--CAPTCHAを使用する。

-他のフローを使用する。
-クライアント認証を併用する。

*Client Credentials [#ibd7170f]
[[Resource Owner Password Credentials>#z7c59f6c]]で説明したものと同様だが、~
ユーザID/パスワードは使用しないため、非対話的問題を突いた攻撃の考慮事項に限定される。

*参考 [#lc5dc6c9]
ネットでピックアップされていたもの。

**全グラント種別共通 [#c3d7e21e]

***影響 [#lbec317f]
Clientを用いた攻撃が可能になる。
-Clientなりすまし(偽装)
-悪意のあるClientの登録

***攻撃 [#gc415695]
-Clientなりすまし(偽装)
--client_idを盗んで、特定のClientになり済ますことができる。
--これにより、攻撃用のClientを使用した攻撃が可能になる。

-悪意のあるClientの登録
--する場合、悪意のあるClientが登録できる。
--Clientを利用してcodeやtokenを盗むことができる。

***対策 [#cbb19bc5]
-Clientなりすまし(偽装)~
クライアント認証、redirect_uri 検証

-悪意のあるClientの登録~
クライアントの登録機能をサポートしない。

**Authorization Code, Implicitグラント種別共通 [#hffc5d58]
Open Redirect

-参考
--OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp~
http://oauth.jp/blog/2014/05/07/covert-redirect/

***影響 [#jf7b939c]
攻撃者のClientのRedirectエンドポイントに誘導できる。

***攻撃 [#zc5470d3]
redirect_uriパラメタを用いたOpen Redirectの脆弱性を攻撃

***対策 [#y4c27338]
Authorization Serverの甘めの redirect_uri 検証処理に起因するので、~
Authorization Serverは、client_id + redirect_uri の事前登録必須 + 完全一致にする。

**Authorization Codeグラント種別 [#f4d89342]
codeの置換・注入(CSFR)

***影響 [#sc626f21]
-置換~
他人のaccess_tokenを取得できる可能性がある。

-注入(CSFR)~
自分のaccess_tokenで他のユーザが操作を行える。

***攻撃 [#n89ac6b8]
codeを収集し、置換・注入(CSFR)の攻撃を行う。

-置換
--自分のClientを使用して、他人のcodeを収集する。
--他人のcodeを収集して、自分のフロー中に埋め込む(置換)。

-注入(CSFR)
--攻撃対象のClientを使用して、自分のcodeを収集する。
--自分のcodeを収集して、他人のフロー中に埋め込む(注入(CSFR))。

***対策 [#o155e4ee]
-置換~
クライアント認証、redirect_uri 検証に対策を施す。

-注入(CSFR)~
ClientにCSFR対策を施す。
>認可エンドポイントへ遷移する際にstateパラメタを付与する。~
そして、Redirectエンドポイントでstateパラメタをチェックする。

**Implicitグラント種別 [#c9029c4e]
Tokenの置き換え(不正利用)

***影響 [#o2a2f9ae]
「OAuth 2.0 の implicit grant flow を認証に使うと、~
車が通れる程どてかいセキュリティ・ホールが開く。」らしい。

-単なる OAuth 2.0 を認証に使うと、車が通れるほどの~
どでかいセキュリティー・ホールができる | @_Nat Zone~
https://www.sakimura.org/2012/02/1487/

***攻撃 [#v9ede1f6]
この、セキュリティ・ホールとは、

ザックリ言って、

-攻撃者の構築したClient(A)は、[[Access Token>#jb722a87]]を収集する。
-攻撃者は、 [[Access Token>#jb722a87]]置き換え攻撃により、Client(B)経由でリソース・アクセスできる。

と言うモノらしい。

***対策 [#k43f998a]
access_tokenの[[JWT]]化などによって、Resource Server側でもClient検証を行う。

----
Tags: [[:IT国際標準]], [[:認証基盤]], [[:クレームベース認証]], [[:OAuth]]



トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS