OAuth 2.0 Security Considerations (General) のバックアップ(No.2) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
OAuth 2.0 Security Considerations (General) へ行く。
- 1 (2017-12-05 (火) 20:16:55)
- 2 (2017-12-05 (火) 20:47:30)
- 3 (2017-12-06 (水) 11:58:36)
- 4 (2017-12-06 (水) 15:14:51)
- 5 (2017-12-06 (水) 16:05:09)
- 6 (2018-10-09 (火) 22:14:26)

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
要求の機密性を確保
- 対象
- 脅威
- 対策
サーバ認証
- 対象
- 脅威
- 対策
常にResources Ownerに通知
- 対象
- 脅威
- 対策

概要 †

OAuth 2.0 Threat Model and Security Considerationsの
一般的なすべてのOAuthコンポーネントに適用されるセキュリティ考慮事項。

要求の機密性を確保 †

対象 †

要求

Client（UserAgent?）からAuthorization Server
Client（UserAgent?）からResources Server

脅威 †

各種トークンの傍受攻撃または再生攻撃が可能になる。

対策 †

SSL/TLSを利用する。

サーバ認証 †

対象 †

各種サーバ

Authorization Server
Client（Web application）
Resources Server

脅威 †

偽造サーバへの誘導

対策 †

SSL/TLS（サーバ証明）の利用

常にResources Ownerに通知 †

対象 †

を認識する可能性

非対話的フローでの認可
リフレッシュ
, etc.

脅威 †

特定の種類の攻撃

対策 †

認可画面の表示

Notification messages (email, SMS)
通知はフィッシング媒介になる可能性があることに注意

アクティビティ/イベントログ
ユーザ・セルフケア・ポータル

Tags: :認証基盤, :クレームベース認証, :OAuth