家庭小木屋

家是什么?众说纷纭。社会学家说,家是社会的最小细胞;婚姻学家说,家是风雨相依的两人世界;文学家说,家是宝盖下面养着的一群猪……究竟什么是家呢?记得在一个朋友的结婚典礼上司仪饱含深情的那句话:家不是讲理的地方,家不是放钱的地方,家不是两个人凑合过日子的地方……

文豆 & 文库:

Web Technology:

IT 计算机&信息网络 技术:

Sicherheitslücke in OAuth 2.0 und OpenID gefunden


Wang Jing, Student an der Nanyang Technological University in Singapur, hat nach dem Bekanntwerden des OpenSSL-Heartbleed-Lecks, eine weitere schwere Sicherheitslücke entdeckt, diesmal in den Authentifizierungsmethoden OAuth 2.0 und OpenID. Die als “Covert Redirect” (“Heimliche Umleitung”) benannte Sicherheitslücke ermöglicht es Angreifern, dem Nutzer einen echt aussehenden Login-Screen unterzujubeln und sich so Zugriff auf die bereitgestellten Daten zu verschaffen. Das gefährliche daran: Die Sicherheitslücke besitzt – anders als bisher bekannte Fishing-Versuche – eine legitime Domainadresse, kann also über einen Blick in die URL-Zeile des Browsers nicht oder nur sehr schwer entlarvt werden. Auf OAuth 2.0 und OpenID bieten inzwischen zahlreiche Webdienste um einen direkten Login in andere Dienste und Apps zu ermöglichen, darunter auch Google, Facebook, Microsoft und Co.


So ist es möglich, dem Nutzer eine Mail mit einem speziell präparierten Link zukommen zu lassen, ein Klick auf diesen öffnet eben wie gesagt eine legitime Adresse samt entsprechendem Logo. Autorisiert der Nutzer dann diese Anfrage und loggt sich in den Dienst ein, so werden die Daten nicht an die vermeintliche App weitergeleitet, sondern gelangen eben in den Besitz des Angreifers. Je nachdem, welche Daten abfragt werden, bekommt dieser somit also E-Mail-Adresse, Geburtsdatum, Kontaktlisten und dergleichen. Ebenso ist es möglich, den Nutzer nach dem Login auf eine beliebige Webseite, welche unter Umständen Malware verbreitet, weiterzuleiten.


Die Lösung des Problems könnte aber – wenn es überhaupt einmal eine geben sollte – eine langwierige Sache sein. Wang Jing hat bereits etliche größere Anbieter der Loginmethoden angeschrieben und über die gefundene Sicherheitslücke aufgeklärt, hierbei gab es jedoch unterschiedliche Aussagen. Im Hause Google beobachtet man das Problem, Microsoft ist sich keiner Schuld bewusst und schiebt die Sicherheitslücke an Drittanbieter ab. Lediglich Facebook scheint hier ehrlich zu sein und gibt an, dass es sich dabei um ein grundsätzliches Problem von OAuth 2.0 und OpenID handelt – möchte man nicht eine umfangreiche Whitelist mit sämtlichen nicht-schädlichen Apps pflegen, ist die Sicherheitslücke nicht “mal eben so” zu beheben. Im Grunde dürften sich sämtliche Gegenmaßnahmen negativ auf die Nutzererfahrung auswirken, was natürlich keiner der Dienste in Kauf nehmen möchte – und so bleibt es hierbei scheinbar beim “kleineren Übel” für die Anbieter.


Direktlink zum Video:
https://www.youtube.com/watch?v=HUE8VbbwUms


So bleibt eigentlich nur die Möglichkeit, auf OAuth 2.0 oder OpenID als Login-Methode für Drittanbieter Dienste und Apps zu verzichten oder genauestens darauf zu achten, auf was man klickt. Hat man keine explizite Autorisierung angestoßen, sollte man die geöffneten Tabs umgehend schließen und darauf hoffen, dass sich nicht doch irgendwo ein falscher Link eingepfercht hat.



Quelle:
http://www.blogtogo.de/sicherheitsluecke-in-oauth-2-0-und-openid-gefunden/






News Verwandte:

http://thehackernews.com/2014/05/nasty-covert-redirect-vulnerability.html

http://www.scmagazine.com/covert-redirect-vulnerability-impacts-oauth-20-openid/article/345407/

http://tech.ifeng.com/internet/detail_2014_05/03/36130721_0.shtml/

http://russiapost.blogspot.ru/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

https://www.facebook.com/permalink.php?story_fbid=464956613659034&id=405943696226993

http://itsecurity.lofter.com/post/1cfbf9e7_706081c

http://itinfotech.tumblr.com/post/119436623811/securitypost-sicherheitslucke-in-oauth-2-0-und

http://frenchairing.blogspot.fr/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html
http://whitehatpost.blog.163.com/blog/static/242232054201542075247658/

http://japanbroad.blogspot.jp/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://ittechnology.lofter.com/post/1cfbf60d_7063617

https://www.facebook.com/permalink.php?story_fbid=429633303875565&id=361076084064621

http://securitypost.tumblr.com/post/119436383347/sicherheitslucke-in-oauth-2-0-und-openid-gefunden

http://germancast.blogspot.de/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

https://infoswift.wordpress.com/2014/06/29/sicherheitslucke-in-oauth-2-0-und-openid-gefunden/


评论

热度(19)

  1. 白帽子安全计算机网络技术 转载了此图片  到 竹意
  2. 白帽子安全计算机网络技术 转载了此图片  到 测试想法
  3. 白帽子安全计算机网络技术 转载了此图片  到 湛天雲海碧波影
  4. 白帽子安全计算机网络技术 转载了此图片  到 文豆 & 文库
  5. 白帽子安全计算机网络技术 转载了此图片
  6. 计算机网络技术IT 计算机&信息网络 技术 转载了此图片