「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
OAuth 2.0 Threat Model and Security Considerationsの
Flowに着目した脅威モデルのうち、主に、access_token漏洩にフォーカスした内容。
access_token漏洩 †
access_tokenは、
- Fragment identifierでClientに直接返される。
- これにより、HTTP referer（サーバ側）を介しての漏洩はしない。
攻撃 †
対策 †
共通項 †
共通的な影響 †
access_tokenの漏洩により、
Resource Ownerの、そのscopeのリソースにアクセス可能になる。
単純な攻撃 †
Endpointからのaccess_token漏洩 †
影響 †
共通的な影響
攻撃 †
盗聴
対策 †
SSL/TLSの利用
ブラウザ履歴からのaccess_token漏洩 †
影響 †
共通的な影響
攻撃 †
ブラウザ履歴の参照
対策 †
悪意のあるClientの登録・誘導による盗難 †
スクリプトの実装を置換する †
影響 †
共通的な影響
攻撃 †
- DNSまたはARPスプーフィング
- 攻撃者のスクリプトをダウンロードする。
- access_tokenの盗難・漏洩
対策 †
- スクリプトを取得するCDNなどのサーバを認証する。
- スクリプトの改竄の確認処理を実装する。
- 1回限りの使用ごとの秘密値の導入などは、
攻撃者のスクリプトの有効性を低下させる。
access_tokenの置換・注入 †
Authorization codeと同じ。
Authorization codeと同じ。
Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
