「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。 -[[戻る>OAuth 2.0 Threat Model and Security Considerations]] * 目次 [#ff55f5a3] #contents *概要 [#i38da113] [[OAuth 2.0 Threat Model and Security Considerations]]のFlowに着目した脅威モデル。 * Authorization code [#v5721a5d] 主に、code漏洩にフォーカスした内容。 **共通項=code漏洩 [#ve864d0d] ***共通的な影響 [#v20d442b] code漏洩により、 -codeを用いたアクセストークン・リクエストが可能になる。~ (access_token, refresh_tokenの開示) -ただし、アクセストークン・リクエストには、client_secretも必要。 ***Clientの信頼性 [#ue4d516b] Authorization codeでは、Clientにcodeが渡る。~ このClientの信頼性は、Clientのタイプによって異なる。 -Webアプリケーション~ グローバルに一意なネットワークエンドポイント -ネイティブクライアント~ デバイスローカルリソース(カスタムスキーム) ***攻撃区分での分類 [#tb52f62c] 分類をしてみた。 -単純な攻撃 --[[codeの盗聴>#u5dfaabe]] --[[codeのオンライン推測>#nf3c8c21]] -Clientへの誘導による盗難 --DNSまたはARPスプーフィング ---[[codeフィッシング>#e11c5a29]] ---[[セッション・ハイジャック>#gb0b1185]] --悪意のあるClientの登録による盗難~ Client登録機能で悪意のあるClientが登録されると、~ アクセストークン・リクエストをパスされ鵜可能性がある。 ---[[セッション・ハイジャック>#gb0b1185]] ---[[悪意のあるClientを認可してしまう>#j8c50476]] --物理的な盗難 ---[[DBからcodeを盗難>#a69b0a36]] -盗難したcodeの置換・注入(既存Clientを利用) ---[[漏洩した利用者のcode注入>#p8bd5a13]] ---[[漏洩した利用者のcode置換>#p8bd5a13]] ---[[CSRFによる攻撃者のcode注入>#z08fc60f]] ---[[code置換によるOAuthログイン>#p007b55e]] -アクセストークンまで取得が可能な攻撃 --codeの置換・注入 --[[悪意のあるClientを認可してしまう>#j8c50476]] --[[認証に対するクリック・ジャッキング>#ifb8644d]] --[[Resource Owner偽装>#w700a02c]] -DoSによるサーバ機能のダウン --[[DoSによるリソース枯渇>#z4d95e73]] --[[生成codeによるDoS>#e95bc5f9]] -その他 --[[悪意のあるClientを認可してしまう>#j8c50476]] --[[セッション・ハイジャック>#gb0b1185]] --[[漏洩した利用者のcode置換>#p8bd5a13]] --[[CSRFによる攻撃者のcode注入>#z08fc60f]] --[[認証に対するクリック・ジャッキング>#ifb8644d]] --[[Resource Owner偽装>#w700a02c]] --[[code置換によるOAuthログイン>#p007b55e]] --[[オープン・リダイレクタ>#l753af85]] **codeの盗聴 [#u5dfaabe] ***影響 [#uea5e361] [[共通的な影響>#v20d442b]] ***攻撃 [#h7eab0fb] 盗聴 ***対策 [#xcaf95ff] -SSL/TLSの利用 -クライアント認証 -code --短い有効期限 --1回限りの使用制限 **codeの漏洩 [#u5dfaabe] ***影響 [#uea5e361] [[共通的な影響>#v20d442b]] ***攻撃 [#h7eab0fb] (記録から)漏洩 -HTTP referer~ Redirectエンドポイントからのリダイレクト。 -WWWサーバの要求ログ -WWWブラウザの履歴情報 -[[オープン・リダイレクタ>#l753af85]] ***対策 [#xcaf95ff] -SSL/TLSの利用 -クライアント認証 -ブラウザ・キャッシュを自動的にクリーンアップするために、~ redirect_uriのターゲット・ページをリロードする。 -code --短い有効期限 --1回限りの使用制限 **codeのオンライン推測 [#nf3c8c21] ***影響 [#y471fae0] [[共通的な影響>#v20d442b]] ***攻撃 [#hd7112de] codeのオンライン推測 ***対策 [#e7dc0993] -クライアント認証 -code --短い有効期限 --1回限りの使用制限 --高いエントロピーを使用 --codeをredirect_uriに紐付け検証する。 ---redirect_uriは、スターターとアクセストークン・リクエストで必要とする。 ---codeのオンライン推測に加え(client_id、client_secret、)redirect_uriが必要。 **codeフィッシング [#e11c5a29] ***影響 [#n52986ab] [[共通的な影響>#v20d442b]] ***攻撃 [#v3499c66] -Clientに対するDNSまたはARPスプーフィングが行われる。 -悪意のあるClientに誘導してcodeを入手する。 ***対策 [#gdfc03c4] -クライアント認証 -redirect_uriをSSL/TLS(サーバ証明)で保護 **セッション・ハイジャック [#gb0b1185] [[前述のcodeフィッシング>#e11c5a29]]の考慮事項に、~ 「クライアント登録機能で登録された悪意のあるClient」を追加した版。 ***影響 [#h9d1b672] [[共通的な影響>#v20d442b]] ***攻撃 [#f681ed6a] -悪意のあるClientが登録される。 -悪意のあるClientに対するDNSまたはARPスプーフィングが行われる。 -悪意のあるClientに誘導してcodeを入手する。 ***対策 [#jf102672] redirect_uriをSSL/TLS(サーバ証明)で保護 ※ 登録機能で登録されたClientなので、クライアント認証は対策として無効。~ ただし、codeとclient(例えば、redirect_uriなど)を、紐付ける仕組みを導入すれば、対策は可能と思われる。 **悪意のあるClientを認可してしまう [#j8c50476] ***影響 [#j164b0c0] 悪意のあるClientが、アクセストークンを取得できる。 ※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。 ***攻撃 [#ze01a730] -悪意のあるClientが登録される。 -悪意のあるClientは、フロー中のユーザ同意を、~ スクリーンスクレイピング技術を利用してシミュレートする(など)。 ***対策 [#t31ea4f0] -redirect_uri検証 -画面の表示 --自動再認証の抑止 --認可画面の表示 ---目的(scope)の提示 ---client_idに対応する名称 ---access_tokenの期間 ---スクリーン・スクレイピングの防止(CAPTCHAs) **DBからcodeを盗難 [#a69b0a36] ***影響 [#uc8c688c] -すべてのcodeの開示([[共通的な影響>#v20d442b]]) -合わせて、client_idやredirect_uriの漏洩 ***攻撃 [#s3c22cf9] -データベースへのアクセス権を取得 -SQLインジェクション攻撃 ***対策 [#v1fb9d8a] -システムのセキュリティ対策を実施 -標準のSQLインジェクション対策を実施 -codeハッシュのみを格納 **漏洩した利用者のcode置換 [#p8bd5a13] ***影響 [#a67d0e68] 攻撃者は、被害者のアカウントで正規のClientのリソースにアクセス可能。 ※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。 ***攻撃 [#mab43d26] -脆弱なAuthorization Serverの既存のクライアントのredirect_uriを編集・追加する。 -悪意のあるClientに誘導してcode(state)を取得する。 -codeを他の正規のクライアントに向けてcode(state)を置換する。 ***対策 [#gd3bf925] -クライアント認証 -他のフローを使用する。 **CSRFによる攻撃者のcode注入 [#z08fc60f] ***影響 [#e45f294b] 脆弱なClientによって被害者は攻撃者のアカウントでリソースにアクセス可能。 ※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。 ***攻撃 [#a76152b7] -攻撃者は、脆弱なClientをターゲットとしたcodeを収集し、 -CSRFのリンクを踏ませるなどのCSRF攻撃を行う。 ***対策 [#seeda7ff] -"state"パラメタを使用し、CSRFを防止する。 -ユーザの教育(偽造サイトのCSRFのリンクの識別) **認証に対するクリック・ジャッキング [#ifb8644d] ***影響 [#i4595058] 攻撃者は、ユーザーの認証資格情報を盗み、リソースにアクセス ※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。 ***攻撃 [#r77cfba2] -ユーザを偽造サイトに誘導する。 -ダミーボタンのセットの上に、透明なiFrameでターゲットサイトを読み込む。 -ボタンをクリックすると、実際には隠しページのAuthorizeボタンなどをクリック。 ***対策 [#o63d98a7] -ユーザの教育(偽造サイトのクリック・ジャッキングの識別) -IFrameの回避 --新しいブラウザ~ X-FRAME-OPTIONSヘッダ --古いブラウザ~ アンチフレーム、フレームバストのJavaScript(すべてのブラウザで効果的でない) **Resource Owner偽装 [#w700a02c] ***影響 [#ffa764c0] 攻撃者は、ユーザーの認証資格情報を盗み、リソースにアクセス ※ [[共通的な影響>#v20d442b]]には合致しない(アクセストークンの取得が可能)。 ***攻撃 [#u436bc0c] -クライアントが登録される。 -既存ログイン・セッションを持っている。 -悪意のあるクライアントは、 --リソース所有者の同意なしに認可要求をプログラムで送信 ---HTML User Agentを組み込み、 ---Authorization Serverによって送信されたHTML Formを解釈し、 ---HTML Formに対応するHTTP POST要求を自動的に送信する。 --外部ブラウザで既存のセッションを乱用 --特定のデバイスでブラウザ間のクッキーを乱用 --別のスコープを静かに要求する。 ***対策 [#t537780c] -これは、CSRF対策を使用して防止することはできない。 -自動再認証、認可画面非表示を使用しない(行わない)。 -パスワード認証とユーザー同意を1つのフォームにまとめ、 --CAPTCHAを使用するか、 --ワンタイム秘密をリソース所有者に使用する。 -任意の通知手段によって認可をResource Ownerに通知する。 **DoSによるリソース枯渇 [#z4d95e73] ***影響 [#r3929e40] リソース枯渇によるサーバ機能のダウン ***攻撃 [#cd626c90] DoSにより、codeプールなどのリソースを枯渇させる。 ***対策 [#kcee7ebf] -ユーザ毎に付与されるアクセストークンの数を制限 -codeに重要な量のエントロピーを含める(ストアを使用しないということ?) **生成codeによるDoS [#e95bc5f9] ***影響 [#fff3f00c] リソース枯渇によるサーバ機能のダウン ***攻撃 [#h93f7d2a] 生成codeを使用して、redirect_uriにボットネットで攻撃する。 ***対策 [#ab2571d1] -"state"パラメタを使用し負荷軽減を行う。 -無効なcode要求の数がしきい値を超える --クライアントからの接続を制限/禁止する。 --ユーザ・アカウントからの接続を制限/禁止する(Client側で認証が必要)。 **code置換によるOAuthログイン [#p007b55e] ***影響 [#i064d25e] 外部ログイン・シナリオで、被害者の身元を使用してログインしてしまう。 ※ 外部ログイン・シナリオでは、userinfoエンドポイントに対するリクエストによってログインが完了する。 ***攻撃 [#qf191ada] -犠牲者の有効なcode(state)を収集する -正規のClientのログイン・プロセスを開始させ、てcode(state)置換を行う。 ※ [[漏洩した利用者のcode置換>#p8bd5a13]]を外部ログイン・シナリオで利用する。 ***対策 [#z8c7a636] -codeをaccess_tokenに交換する際、 --事前のユーザ認証 --ユーザIDとcodeの対応付け -[[OpenID]]/[[OpenID Connect]]や[[SAML]]を利用 **[[オープン・リダイレクタ>OAuth 2.0 Threat Model (Role)#mb0f0219]] [#l753af85] ***影響 [#z5a0d9c8] ***攻撃 [#q982ff37] ***対策 [#q2e01988] *Implicit [#f86d5264] access_tokenは、 -Fragment identifierでClientに直接返される。 -HTTP refererを介して漏洩しない。 **共通項 [#x08ab3df] ***共通的な影響 [#x57472a2] access_tokenの漏洩により、~ Resource Ownerの、そのscopeのリソースにアクセス可能になる。 ***攻撃区分での分類 [#kee64f7a] -クライアント --[[悪意のあるClientを認可してしまう>#iafa8527]] -DNSまたはARPスプーフィング --[[スクリプトの実装を置換する>#t8d8d189]] -codeの置換・注入 --[[CSRFによる攻撃者のaccess_token注入>#z004447e]] --[[access_token置換によるOAuthログイン>#a94eb141]] **Endpointからのaccess_token漏洩 [#c77be886] ***影響 [#y00961bc] [[共通的な影響>#x57472a2]] ***攻撃 [#m77ffac9] 盗聴 ***対策 [#r90440c1] SSL/TLSの利用 **ブラウザ履歴からのaccess_token漏洩 [#of10be77] ***影響 [#y26ff3d4] [[共通的な影響>#x57472a2]] ***攻撃 [#ae57a875] ブラウザ履歴の参照 ***対策 [#mf2daa3e] -キャッシュを無効化する。 -code --短い有効期限 --1回限りの使用制限 **悪意のあるClientを認可してしまう [#iafa8527] Implicitではクライアント認証が不可な点を除き、[[Authorization code>#j8c50476]]と同じ。 ***影響 [#z11b1483] - ***攻撃 [#edb73bc0] - ***対策 [#b7f83e94] -redirect_uri検証 -scope --認可画面の表示(通常の仕様では認可画面非表示) --若しくは、当該フロー(認可画面非表示)でのscope制限 **スクリプトの実装を置換する [#t8d8d189] ***影響 [#x2ad3d75] [[共通的な影響>#x57472a2]] ***攻撃 [#w6a08854] -DNSまたはARPスプーフィング -攻撃者のスクリプトをダウンロードする。 -access_tokenの盗難・漏洩 ***対策 [#ocade264] -スクリプトを取得するSDNを認証する。 -スクリプトの改竄の確認処理を実装する。 -Introduce one-time, per-use secrets (e.g., "client_secret") values that can only be used by scripts in a small time window once loaded from a server.~ The intention would be to reduce the effectiveness of copying client-side scripts for re-use in an attacker's modified code. **CSRFによる攻撃者のaccess_token注入 [#z004447e] 攻撃方法・対策は、[[Authorization code>#z08fc60f]]と同じ。 ***影響 [#e769022a] ***攻撃 [#tac7e64c] ***対策 [#i129916c] **access_token置換によるOAuthログイン [#a94eb141] 攻撃方法・対策は、[[Authorization code>#p007b55e]]と同じ。 ***影響 [#bc67e7c0] ***攻撃 [#b22f52b3] ***対策 [#r3ec6f36] *Resource Owner Password Credentials [#z7c59f6c] [[OAuth]] 2.0ではIdPの仕様について言及されていないので、~ ここでは唯一、サインイン・プロセスの問題を扱う(ただし非対話)。 **共通項 [#t3a417b9] ***共通的な影響 [#dffb5785] -クライアントにユーザID/パスワードが渡る。 -トークン取り消しが機能しない。 -認可プロセスを制御できない。 ***攻撃区分での分類 [#lcf01c6d] -ユーザID/パスワードの漏洩 --[[ユーザID/パスワードの盗難>#db447962]] --[[ユーザID/パスワードの盗聴>#g872ebc1]] --[[ユーザID/パスワードのオンライン推測>#s789d1f8]] --[[Client側でのパスワードの露見アクシデント>#v557e2e3]] -非対話的問題を突いた攻撃。 --[[意図しない不要に大きなscope>#w71cb4d0]] --[[refresh_tokenによる長期的認可の維持>#bafbe5ca]] **ユーザID/パスワードの盗難 [#db447962] ***影響 [#h002f857] [[共通的な影響>#dffb5785]] ***攻撃 [#ueae69f1] 悪意のあるクライアントによるユーザID/パスワード盗難 ***対策 [#b6dc1303] -限定的に利用する。 --基本認証から移行する過渡期 --UserAgentがAuthorization Serverに接続できない場合 --ClientとAuthorization Serverが同じ組織に利用されているケース -ユーザに異なるサービスに同じ~ ユーザID/パスワードを使用しないように促す。 -refresh_tokenとユーザIDの紐付けと検証(? **ユーザID/パスワードの盗聴 [#g872ebc1] ***影響 [#ubfda847] [[共通的な影響>#dffb5785]] ***攻撃 [#hf181037] エンドポイントに対するユーザID/パスワード盗聴 ***対策 [#k5d9ffbf] -SSL/TLSを利用する。 -平文認証を使用しない代替認証を使用する。 **Client側でのパスワードの露見アクシデント [#v557e2e3] ***影響 [#a85d7b1b] [[共通的な影響>#dffb5785]] ***攻撃 [#ma826c54] クライアントが十分な保護を提供していない場合、偶発的に起きる。 ***対策 [#adb2505d] -他のフローを使用する。 -ダイジェスト認証を使用 -ログのパスワードを難読化 **意図しない不要に大きなscope [#w71cb4d0] ***影響 [#v8648471] 悪意のあるClientが、不要に大きなscopeを持ったトークンを取得できる。 ***攻撃 [#j88ae5de] 悪意のあるClientが、不要に大きなscopeを持ったトークンを要求する。 ***対策 [#w094e5b5] -他の(対話的)フローを使用する。 -scope --当該(非対話的)フローでのscope制限 --クライアントの信頼性よって緩和 --任意の通知手段によって認可をResource Ownerに通知する。 **refresh_tokenによる長期的認可の維持 [#bafbe5ca] ***影響 [#f5f2399c] ***攻撃 [#xff0ef19] ***対策 [#ze601703] -他の(対話的)フローを使用する。 -当該フローでrefresh_token --発行しない。 --クライアントの信頼性よって緩和 --任意の通知手段によってリフレッシュをResource Ownerに通知する。 **ユーザID/パスワードのオンライン推測 [#s789d1f8] ***影響 [#k2df1fdd] 単一のユーザー名とパスワードの組み合わせの啓示 ***攻撃 [#p3f485b4] 有効なユーザー名とパスワードの組み合わせを推測 ***対策 [#se987155] -サインイン --安全なパスワードポリシー設定する。 --ロックアウト、タールピット(一時的ロック)を使用する。 --CAPTCHAを使用する。 -他のフローを使用する。 -クライアント認証を併用する。 *Client Credentials [#ibd7170f] [[Resource Owner Password Credentials>#z7c59f6c]]で説明したものと同様だが、~ ユーザID/パスワードは使用しないため、非対話的問題を突いた攻撃の考慮事項に限定される。 *参考 [#lc5dc6c9] ネットでピックアップされていたもの。 **全グラント種別共通 [#c3d7e21e] ***影響 [#lbec317f] Clientを用いた攻撃が可能になる。 -Clientなりすまし(偽装) -悪意のあるClientの登録 ***攻撃 [#gc415695] -Clientなりすまし(偽装) --client_idを盗んで、特定のClientになり済ますことができる。 --これにより、攻撃用のClientを使用した攻撃が可能になる。 -悪意のあるClientの登録 --する場合、悪意のあるClientが登録できる。 --Clientを利用してcodeやtokenを盗むことができる。 ***対策 [#cbb19bc5] -Clientなりすまし(偽装)~ クライアント認証、redirect_uri 検証 -悪意のあるClientの登録~ クライアントの登録機能をサポートしない。 **Authorization Code, Implicitグラント種別共通 [#hffc5d58] Open Redirect -参考 --OAuth 2.0 の脆弱性 (!?) "Covert Redirect" とは - OAuth.jp~ http://oauth.jp/blog/2014/05/07/covert-redirect/ ***影響 [#jf7b939c] 攻撃者のClientのRedirectエンドポイントに誘導できる。 ***攻撃 [#zc5470d3] redirect_uriパラメタを用いたOpen Redirectの脆弱性を攻撃 ***対策 [#y4c27338] Authorization Serverの甘めの redirect_uri 検証処理に起因するので、~ Authorization Serverは、client_id + redirect_uri の事前登録必須 + 完全一致にする。 **Authorization Codeグラント種別 [#f4d89342] codeの置換・注入(CSFR) ***影響 [#sc626f21] -置換~ 他人のaccess_tokenを取得できる可能性がある。 -注入(CSFR)~ 自分のaccess_tokenで他のユーザが操作を行える。 ***攻撃 [#n89ac6b8] codeを収集し、置換・注入(CSFR)の攻撃を行う。 -置換 --自分のClientを使用して、他人のcodeを収集する。 --他人のcodeを収集して、自分のフロー中に埋め込む(置換)。 -注入(CSFR) --攻撃対象のClientを使用して、自分のcodeを収集する。 --自分のcodeを収集して、他人のフロー中に埋め込む(注入(CSFR))。 ***対策 [#o155e4ee] -置換~ クライアント認証、redirect_uri 検証に対策を施す。 -注入(CSFR)~ ClientにCSFR対策を施す。 >認可エンドポイントへ遷移する際にstateパラメタを付与する。~ そして、Redirectエンドポイントでstateパラメタをチェックする。 **Implicitグラント種別 [#c9029c4e] Tokenの置き換え(不正利用) ***影響 [#o2a2f9ae] 「OAuth 2.0 の implicit grant flow を認証に使うと、~ 車が通れる程どてかいセキュリティ・ホールが開く。」らしい。 -単なる OAuth 2.0 を認証に使うと、車が通れるほどの~ どでかいセキュリティー・ホールができる | @_Nat Zone~ https://www.sakimura.org/2012/02/1487/ ***攻撃 [#v9ede1f6] この、セキュリティ・ホールとは、 ザックリ言って、 -攻撃者の構築したClient(A)は、[[Access Token>#jb722a87]]を収集する。 -攻撃者は、 [[Access Token>#jb722a87]]置き換え攻撃により、Client(B)経由でリソース・アクセスできる。 と言うモノらしい。 ***対策 [#k43f998a] access_tokenの[[JWT]]化などによって、Resource Server側でもClient検証を行う。 ---- Tags: [[:IT国際標準]], [[:認証基盤]], [[:クレームベース認証]], [[:OAuth]]