「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。

-[[戻る>OAuth 2.0 Threat Model and Security Considerations]]

* 目次 [#ff55f5a3]
#contents

*概要 [#i38da113]
OAuth 2.0 Threat Model and Security ConsiderationsのFlowに着目したセキュリティに関する考慮事項。

* Authorization code [#v5721a5d]
**共通項 [#ve864d0d]
***共通的な影響 [#v20d442b]
-codeを用いたアクセストークン・リクエストが可能になる。~
(access_token, refresh_tokenの開示)

**codeの盗聴または漏洩 [#u5dfaabe]
-ただし、アクセストークン・リクエストには、client_secretも必要。

***クライアントの信頼性 [#ue4d516b]
Authorization codeでは、クライアントにcodeが渡る。~
このクライアントの信頼性は、クライアントのタイプによって異なる。

-Webアプリケーション~
グローバルに一意なネットワークエンドポイント
-ネイティブクライアント~
デバイスローカルリソース(カスタムスキーム)

***攻撃区分での分類 [#tb52f62c]
-パブリック・クライアント
--[[悪意のあるClientを認可してしまう>#j8c50476]]
--[[セッション・ハイジャック>#gb0b1185]]
--[[漏洩した利用者のcode注入>#p8bd5a13]]

-DNSまたはARPスプーフィング
--[[codeフィッシング>#e11c5a29]]
--[[セッション・ハイジャック>#gb0b1185]]

-codeの置換・注入
--[[漏洩した利用者のcode置換>#p8bd5a13]]
--[[CSRFによる攻撃者のcode注入>#z08fc60f]]

-アクセストークンまで取得
--[[漏洩した利用者のcode置換>#p8bd5a13]]
--[[CSRFによる攻撃者のcode注入>#z08fc60f]]
--[[悪意のあるClientを認可してしまう>#j8c50476]]
--[[認証に対するクリックジャッキング>#ifb8644d]]
--[[Resource Owner偽装>#w700a02c]]

-DOSによるサーバ機能のダウン
--[[DOSによるリソース枯渇>#z4d95e73]]
--[[生成codeによるDoS>#e95bc5f9]]

**[[オープンリダイレクタ>OAuth 2.0 Threat Model and Security Considerations (Role)#mb0f0219]] [#l753af85]

**codeの盗聴 [#u5dfaabe]
***影響 [#uea5e361]
-codeを用いたアクセストークン・リクエストが可能になる。~
(access_token, refresh_tokenの開示)
[[共通的な影響>#v20d442b]]

-ただし、client_secretも必要。
***攻撃 [#h7eab0fb]
盗聴

***対策 [#xcaf95ff]
-SSL/TLSの利用
-クライアント認証
-短い有効期限
-1回限りの使用制限

**codeの漏洩 [#u5dfaabe]

***影響 [#uea5e361]
[[共通的な影響>#v20d442b]]

***攻撃 [#h7eab0fb]
-[[オープンリダイレクタ>OAuth 2.0 Threat Model and Security Considerations#mb0f0219]]
(記録から)漏洩

-HTTP referer~
認可エンドポイント → Redirectエンドポイントへのリダイレクト。
Redirectエンドポイントからのリダイレクト。

-WWWサーバの要求ログ

-WWWブラウザの履歴情報

***対策 [#xcaf95ff]
-SSL/TLSの利用
-クライアント認証
-短い有効期限
-1回限りの使用制限

-ブラウザキャッシュを自動的にクリーンアップするために、~
redirect_uriのターゲットページをリロードする。

**DBからcodeを盗難 [#a69b0a36]
***影響 [#uc8c688c]
すべてのcodeの開示
-[[共通的な影響>#v20d442b]]
-すべてのcodeの開示
-合わせて、client_idやredirect_uriの漏洩
-codeを用いたアクセストークン・リクエストが可能
-ただし、client_secretも必要。

***攻撃 [#s3c22cf9]
-データベースへのアクセス権を取得
-SQLインジェクション攻撃

***対策 [#v1fb9d8a]
-システムのセキュリティ対策を実施
-標準のSQLインジェクション対策を実施
-codeハッシュのみを格納

**オンライン推測によるcodeの取得 [#nf3c8c21]
***影響 [#y471fae0]
-codeを用いたアクセストークン・リクエストが可能になる。~
(access_token, refresh_tokenの開示)
[[共通的な影響>#v20d442b]]

-ただし、client_secretも必要。
***攻撃 [#hd7112de]
codeのオンライン推測

***攻撃 [#hd7112de]
***対策 [#e7dc0993]
-codeに高いエントロピーを使用
-強力なクライアント認証
-有効期間を短くする。
-トークンに署名する。
-codeをredirect_uriに紐付ける。

**悪意のあるClientを認可してしまう [#j8c50476]
***影響 [#j164b0c0]
-パブリック・クライアントの登録が可能なケースで、
-悪意のあるClientが、Tokenを取得できる。
悪意のあるClientが、アクセストークンを取得できる。

※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。

***攻撃 [#ze01a730]
フロー中のユーザ同意のシミュレートするなど。
-パブリック・クライアントが登録される。
-フロー中のユーザ同意のシミュレートする(など)。

***対策 [#t31ea4f0]
-信頼度は、クライアントのタイプによって異なる。
--Webアプリケーション~
グローバルに一意なネットワークエンドポイント
--ネイティブクライアント~
デバイスローカルリソース(カスタムスキーム)

-クライアント認証
-redirect_uri検証

-認可画面の表示
--目的(scope)の提示
--client_idに対応する名称
--access_tokenの期間

--自動再認証の抑止
--スクリーン・スクレイピングの防止(CAPTCHAs)

**codeフィッシング [#e11c5a29]

***影響 [#n52986ab]
codeを用いたアクセストークン・リクエストが可能になる。~
(access_token, refresh_tokenの開示)
[[共通的な影響>#v20d442b]]

***攻撃 [#v3499c66]
-クライアントに対するDNSまたはARPスプーフィングが行われる。
-悪意のあるClientに誘導してcodeを入手する。

***対策 [#gdfc03c4]
-クライアント認証
-redirect_uriをSSL/TLS(サーバ証明)で保護

**セッション・ハイジャック [#gb0b1185]
[[前述>#e11c5a29]]の、パブリック・クライアント版。

***影響 [#h9d1b672]
-パブリック・クライアントの登録が可能なケースで、
-codeを用いたアクセストークン・リクエストが可能になる。~
(access_token, refresh_tokenの開示)
[[共通的な影響>#v20d442b]]

***攻撃 [#f681ed6a]
-パブリック・クライアントが登録される。
-悪意のあるClientに対するDNSまたはARPスプーフィングが行われる。
-悪意のあるClientに誘導してcodeを入手する。


***対策 [#jf102672]
※ クライアント認証は無効
-redirect_uriをSSL/TLS(サーバ証明)で保護
redirect_uriをSSL/TLS(サーバ証明)で保護

**悪意のあるClientによるcode漏洩 [#p8bd5a13]
※ パブリック・クライアントなのでクライアント認証は無効

**漏洩した利用者のcode置換 [#p8bd5a13]

***影響 [#a67d0e68]
攻撃者は、悪意のあるClientを使用して、~
正規のClientの被害者のリソースにアクセスできる。
攻撃者は、被害者のアカウントで正規のClientのリソースにアクセス可能。

※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。

***攻撃 [#mab43d26]
-既存のパブリック・クライアントのredirect_uriを編集・追加する。
-悪意のあるClientに誘導してcodeを取得する。
-codeを他の正規のクライアントに向けて注入する。

-染着なAuthorization Serverの既存のパブリック・クライアントのredirect_uriを編集・追加する。
-悪意のあるClientに誘導してcode(state)を取得する。
-codeを他の正規のクライアントに向けてcode(state)を置換する。

***対策 [#gd3bf925]
-クライアント認証
-redirect_uriの事前登録と検証
-他のフローの使用を検討

**redirect-uriに対するCSRF [#z08fc60f]
**CSRFによる攻撃者のcode注入 [#z08fc60f]

***影響 [#e45f294b]
脆弱なClientによって被害者は攻撃者のアカウントでリソースにアクセスする。
脆弱なClientによって被害者は攻撃者のアカウントでリソースにアクセス可能。

※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。

***攻撃 [#a76152b7]
-攻撃者は、codeを収集し、
-CSRFのリンクを踏ませるなどのCSRF攻撃を行う。

***対策 [#seeda7ff]
-"state"パラメータを使用
-ユーザの教育(偽造Clientの識別)
-"state"パラメタを使用
-ユーザの教育(偽造サイトのCSRFのリンクの識別)


**認証に対するクリックジャッキング [#ifb8644d]
***影響 [#i4595058]
攻撃者は、ユーザーの認証資格情報を盗み、リソースにアクセス

※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。

***攻撃 [#r77cfba2]
-ユーザを偽造サイトに誘導する。
-ダミーボタンのセットの上に、透明なiFrameでターゲットサイトを読み込む。
-ボタンをクリックすると、実際には隠しページのAuthorizeボタンなどをクリック。

***対策 [#o63d98a7]
-ユーザの教育(偽造サイトのクリックジャッキングの識別)

-新しいブラウザ~
X-FRAME-OPTIONSヘッダーを使用し、サーバー側で許可中のiFramesの回避
-古いブラウザ~
JavaScriptのフレームバスト処理技術を使用(すべてのブラウザで効果的でない)

**Resource Owner偽装 [#w700a02c]
***影響 [#ffa764c0]
攻撃者は、ユーザーの認証資格情報を盗み、リソースにアクセス

※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。

***攻撃 [#u436bc0c]
-パブリック・クライアントが登録される。
-既存ログイン・セッションを持っている。

-悪意のあるクライアントは、

--リソース所有者の同意なしに認可要求をプログラムで送信
---HTMLユーザーエージェントを組み込み、
---承認サーバーによって送信されたHTMLフォームを解釈し、
---対応するフォームHTTP POST要求を自動的に送信する

--外部ブラウザで既存のセッションを乱用
--特定のデバイスでブラウザ間のクッキーを乱用
--別のスコープを静かに要求する。

***対策 [#t537780c]
-これは、CSRF対策を使用して防止することはできない。

-自動再認証、認可画面非表示を使用しない(行わない)。

-パスワード認証とユーザー同意を1つのフォームにまとめ、
--CAPTCHAを使用するか、
--ワンタイム秘密をリソース所有者に使用する。

-任意の通知手段によって認可をResource Ownerに通知する

**DOSによるリソース枯渇 [#z4d95e73]
***影響 [#r3929e40]
リソース枯渇によるサーバ機能のダウン

***攻撃 [#cd626c90]
DOSにより、codeプールなどのリソースを枯渇させる。

***対策 [#kcee7ebf]
-ユーザ毎に付与されるアクセストークンの数を制限
-codeに重要な量のエントロピーを含める(ストアを使用しないということ?)

**生成codeによるDoS [#e95bc5f9]
***影響 [#fff3f00c]
リソース枯渇によるサーバ機能のダウン

***攻撃 [#h93f7d2a]
生成codeを使用して、redirect_uriにボットネットで攻撃する。

***対策 [#ab2571d1]
-"state"パラメタを使用し負荷軽減を行う。
-無効なcode要求の数がしきい値を超える
--クライアントからの接続を制限/禁止する。
--ユーザ・アカウントからの接続を制限/禁止する(Client側で認証が必要)。

**code 置換 (OAuthログイン) [#p007b55e]
***影響 [#i064d25e]
外部ログイン・シナリオで、被害者の身元を使用してログインしてしまう。

※ 外部ログイン・シナリオでは、userinfoエンドポイントに対するリクエストによってログインが完了する。

***攻撃 [#qf191ada]
-犠牲者の有効なcode(state)を収集する
-正規のClientのログイン・プロセスを開始させ、てcode(state)置換を行う。

※ [[漏洩した利用者のcode置換>#p8bd5a13]]を外部ログイン・シナリオで利用する。

***対策 [#z8c7a636]
-codeをaccess_tokenに交換する際、
--事前のユーザ認証
--ユーザIDとcodeの対応付け

-[[OpenID]]/[[OpenID Connect]]や[[SAML]]を利用

*Implicit [#f86d5264]
access_tokenは、
-Fragment identifierでClientに直接返される。
-HTTP refererを介して漏洩しない。

**共通項 [#x08ab3df]

***共通的な影響 [#x57472a2]
access_tokenの漏洩により、~
Resource Ownerの、そのscopeのリソースにアクセス可能になる。

***攻撃区分での分類 [#kee64f7a]

**Endpointでのaccess_token漏洩 [#c77be886]
***影響 [#y00961bc]
[[共通的な影響>#x57472a2]]

***攻撃 [#m77ffac9]
盗聴

***対策 [#r90440c1]
SSL/TLSの利用

*Resource Owner Password Credentials [#z7c59f6c]

*Client Credentials [#ibd7170f]

----
Tags: [[:認証基盤]], [[:クレームベース認証]], [[:OAuth]]


トップ   新規 一覧 単語検索 最終更新   ヘルプ   最終更新のRSS