OAuth 2.0 Threat Model (Implicit Flow)
をテンプレートにして作成
[
トップ
] [
新規
|
一覧
|
単語検索
|
最終更新
|
ヘルプ
]
開始行:
「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicros...
-[[戻る>OAuth 2.0 Threat Model (Flow)]]
* 目次 [#wbbe2bd8]
#contents
*概要 [#t3166cbe]
[[OAuth 2.0 Threat Model and Security Considerations]]の~
Flowに着目した脅威モデルのうち、主に、access_token漏洩に...
*access_token漏洩 [#n68e5df1]
access_tokenは、
-Fragment identifierでClientに直接返される。
-これにより、HTTP referer（サーバ側）を介しての漏洩はしな...
**攻撃 [#c8664949]
**対策 [#j95e6903]
**共通項 [#aa8360bb]
***共通的な影響 [#x57472a2]
access_tokenの漏洩により、~
Resource Ownerの、そのscopeのリソースにアクセス可能になる。
*単純な攻撃 [#t47f0a87]
**Endpointからのaccess_token漏洩 [#c77be886]
***影響 [#y00961bc]
[[共通的な影響>#x57472a2]]
***攻撃 [#m77ffac9]
盗聴
***対策 [#r90440c1]
SSL/TLSの利用
**ブラウザ履歴からのaccess_token漏洩 [#of10be77]
***影響 [#y26ff3d4]
[[共通的な影響>#x57472a2]]
***攻撃 [#ae57a875]
ブラウザ履歴の参照
***対策 [#mf2daa3e]
-キャッシュを無効化する。
-access_token
--短い有効期限
--scopeを小さくする
*悪意のあるClientの登録・誘導による盗難 [#xfe317d8]
**[[スクリーン・スクレイピング>OAuth 2.0 Threat Model (Au...
**スクリプトの実装を置換する [#t8d8d189]
***影響 [#x2ad3d75]
[[共通的な影響>#x57472a2]]
***攻撃 [#w6a08854]
-DNSまたはARPスプーフィング
-攻撃者のスクリプトをダウンロードする。
-access_tokenの盗難・漏洩
***対策 [#ocade264]
-スクリプトを取得するCDNなどのサーバを認証する。
-スクリプトの改ざんの確認処理を実装する。
-1回限りの使用ごとの秘密値の導入などは、~
攻撃者のスクリプトの有効性を低下させる。
*access_tokenの置換・注入 [#je333bad]
**[[CSRFによる攻撃者のaccess_token注入>OAuth 2.0 Threat M...
[[Authorization code>OAuth 2.0 Threat Model (Authorizatio...
**[[access_token置換によるOAuthログイン>OAuth 2.0 Threat ...
[[Authorization code>OAuth 2.0 Threat Model (Authorizatio...
-単なる OAuth 2.0 を認証に使うと、車が通れるほどの~
どでかいセキュリティー・ホールができる | @_Nat Zone~
https://www.sakimura.org/2012/02/1487/
--攻撃者の構築したClient(A)は、[[Access Token>#jb722a87]]...
--攻撃者は、 [[Access Token>#jb722a87]]置き換え攻撃により...
-r-weblife
--OAuth 2.0 Implicit Flowをユーザー認証に利用する際のリス...
http://d.hatena.ne.jp/ritou/20120206/1328484575
--GoogleのOAuth 2.0実装におけるToken置換攻撃の防ぎ方~
http://d.hatena.ne.jp/ritou/20120702/1341235859
----
Tags: [[:IT国際標準]], [[:認証基盤]], [[:クレームベース認...
終了行:
「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicros...
-[[戻る>OAuth 2.0 Threat Model (Flow)]]
* 目次 [#wbbe2bd8]
#contents
*概要 [#t3166cbe]
[[OAuth 2.0 Threat Model and Security Considerations]]の~
Flowに着目した脅威モデルのうち、主に、access_token漏洩に...
*access_token漏洩 [#n68e5df1]
access_tokenは、
-Fragment identifierでClientに直接返される。
-これにより、HTTP referer（サーバ側）を介しての漏洩はしな...
**攻撃 [#c8664949]
**対策 [#j95e6903]
**共通項 [#aa8360bb]
***共通的な影響 [#x57472a2]
access_tokenの漏洩により、~
Resource Ownerの、そのscopeのリソースにアクセス可能になる。
*単純な攻撃 [#t47f0a87]
**Endpointからのaccess_token漏洩 [#c77be886]
***影響 [#y00961bc]
[[共通的な影響>#x57472a2]]
***攻撃 [#m77ffac9]
盗聴
***対策 [#r90440c1]
SSL/TLSの利用
**ブラウザ履歴からのaccess_token漏洩 [#of10be77]
***影響 [#y26ff3d4]
[[共通的な影響>#x57472a2]]
***攻撃 [#ae57a875]
ブラウザ履歴の参照
***対策 [#mf2daa3e]
-キャッシュを無効化する。
-access_token
--短い有効期限
--scopeを小さくする
*悪意のあるClientの登録・誘導による盗難 [#xfe317d8]
**[[スクリーン・スクレイピング>OAuth 2.0 Threat Model (Au...
**スクリプトの実装を置換する [#t8d8d189]
***影響 [#x2ad3d75]
[[共通的な影響>#x57472a2]]
***攻撃 [#w6a08854]
-DNSまたはARPスプーフィング
-攻撃者のスクリプトをダウンロードする。
-access_tokenの盗難・漏洩
***対策 [#ocade264]
-スクリプトを取得するCDNなどのサーバを認証する。
-スクリプトの改ざんの確認処理を実装する。
-1回限りの使用ごとの秘密値の導入などは、~
攻撃者のスクリプトの有効性を低下させる。
*access_tokenの置換・注入 [#je333bad]
**[[CSRFによる攻撃者のaccess_token注入>OAuth 2.0 Threat M...
[[Authorization code>OAuth 2.0 Threat Model (Authorizatio...
**[[access_token置換によるOAuthログイン>OAuth 2.0 Threat ...
[[Authorization code>OAuth 2.0 Threat Model (Authorizatio...
-単なる OAuth 2.0 を認証に使うと、車が通れるほどの~
どでかいセキュリティー・ホールができる | @_Nat Zone~
https://www.sakimura.org/2012/02/1487/
--攻撃者の構築したClient(A)は、[[Access Token>#jb722a87]]...
--攻撃者は、 [[Access Token>#jb722a87]]置き換え攻撃により...
-r-weblife
--OAuth 2.0 Implicit Flowをユーザー認証に利用する際のリス...
http://d.hatena.ne.jp/ritou/20120206/1328484575
--GoogleのOAuth 2.0実装におけるToken置換攻撃の防ぎ方~
http://d.hatena.ne.jp/ritou/20120702/1341235859
----
Tags: [[:IT国際標準]], [[:認証基盤]], [[:クレームベース認...
ページ名:
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
