「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
OAuth 2.0 Threat Model and Security ConsiderationsのAccessに着目した脅威モデル。
Token Endpoint (Refresh) †
refresh_tokenの盗聴 †
影響 †
影響は、コチラと同じ。
攻撃 †
盗聴
対策 †
- SSL/TLSの利用
- SSL/TLSの利用できない場合。
DBからrefresh_tokenを盗難 †
影響 †
すべてのrefresh_tokenの開示
攻撃 †
- データベースへのアクセス権を取得
- SQLインジェクション攻撃
対策 †
- システムのセキュリティ対策を実施
- 標準のSQLインジェクション対策を実施
- client_idにrefresh_tokenをバインド
refresh_tokenのオンライン推測 †
影響 †
影響は、コチラと同じ。
攻撃 †
refresh_tokenのオンライン推測
対策 †
- クライアント認証
- トークン・ハンドルに高いエントロピーを使用
- 自己完結型トークンに署名をしたアサーションを使用
- client_idにrefresh_tokenをバインド
偽造Authorization Serverによるrefresh_tokenフィッシング †
影響 †
影響は、コチラと同じ。
攻撃 †
Authorization Serverへの要求をプロキシする
対策 †
SSL/TLS（サーバ証明）の利用
Resources Server Endpoint (WebAPI) †
access_tokenの盗聴 †
影響は、コチラと同じ。
有効な要求の再生 †
影響 †
攻撃 †
キャプチャ＆リプレイ
対策 †
- SSL/TLS（サーバ証明）の利用
- SSL/TLSの代替
- 署名されたリクエストの利用
- 若しくはnonceとtimestampを使用
access_tokenのオンライン推測 †
影響 †
影響は、コチラと同じ。
攻撃 †
access_tokenのオンライン推測
対策 †
- トークン・ハンドルに高いエントロピーを使用
- 自己完結型トークンに署名をしたアサーションを使用
- 有効期間を短くすることで更に強化される。
偽造Resource Serverによるaccess_tokenフィッシング †
影響 †
影響は、コチラと同じ。
攻撃 †
偽造Resource Serverによるaccess_tokenフィッシング
対策 †
- SSL/TLS（サーバ証明）
不明なResource Serverへaccess_tokenを使用してリクエストしない。
- access_tokenのaudに対して、Endpoint関連付けを行う。
- Endpointの検証ポリシーは厳密（完全一致）または緩やか（たとえば、同じホスト）
- 事前にResource ServerのEndpoint URLをAuthorization Serverに通知する必要がある。
- （Resource Serverでの）クライアント認証
- client_idではなく、audを使用
- client_secretではなく、処理を使用
- access_tokenの制限
- scopeを制限
- 特定のResource Serverに制限する。
access_tokenの不正使用 †
影響 †
不正使用（意図していないResource Serverでの利用が拡大する）。
攻撃 †
- Resource Serverが、別のResource Serverにaccess_tokenを使用してリクエスト
- ClientやUserAgent?が、別のResource Serverにaccess_tokenを使用してリクエスト
対策 †
access_tokenは、特定のResource Serverに制限する。
HTTP proxyによるaccess_token漏洩 †
影響 †
影響は、コチラと同じ。
攻撃 †
Authorization と WWW-Authenticate ヘッダの読み取り。
対策 †
- Client
- Cache-Control: no-store
Webサーバから返されてくるコンテンツをキャッシュに記録するな、という指示。
- Resource Server
- Cache-Control: private
Webサーバから返されるコンテンツが１人のユーザのためのものであることを示す。
- 共有キャッシュに記録されるべきではないことを表す。
- ブラウザのキャッシュ等への記録はされる。
ログやHTTP refererからのaccess_token漏洩 †
影響 †
影響は、コチラと同じ。
攻撃 †
Query String利用時、（記録から）漏洩
- HTTP referer
- WWWサーバの要求ログ
- WWWブラウザの履歴情報
対策 †
- AuthorizationヘッダまたはPOSTパラメタを使用する。
- 認証済みリクエストの利用
アサーションのsubと認証済みリクエストのidを検証
- 軽減
- 有効期間を短くする。
- スコープを制限する。
- ワンタイム・トークン
Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
