湛天雲海碧波影

湛天
雲海
碧波影

Web Technology:

IT 计算机&信息网络 技术:

Sicherheitslücke in OAuth 2.0 und OpenID gefunden


Wang Jing, Student an der Nanyang Technological University in Singapur, hat nach dem Bekanntwerden des OpenSSL-Heartbleed-Lecks, eine weitere schwere Sicherheitslücke entdeckt, diesmal in den Authentifizierungsmethoden OAuth 2.0 und OpenID. Die als “Covert Redirect” (“Heimliche Umleitung”) benannte Sicherheitslücke ermöglicht es Angreifern, dem Nutzer einen echt aussehenden Login-Screen unterzujubeln und sich so Zugriff auf die bereitgestellten Daten zu verschaffen. Das gefährliche daran: Die Sicherheitslücke besitzt – anders als bisher bekannte Fishing-Versuche – eine legitime Domainadresse, kann also über einen Blick in die URL-Zeile des Browsers nicht oder nur sehr schwer entlarvt werden. Auf OAuth 2.0 und OpenID bieten inzwischen zahlreiche Webdienste um einen direkten Login in andere Dienste und Apps zu ermöglichen, darunter auch Google, Facebook, Microsoft und Co.


So ist es möglich, dem Nutzer eine Mail mit einem speziell präparierten Link zukommen zu lassen, ein Klick auf diesen öffnet eben wie gesagt eine legitime Adresse samt entsprechendem Logo. Autorisiert der Nutzer dann diese Anfrage und loggt sich in den Dienst ein, so werden die Daten nicht an die vermeintliche App weitergeleitet, sondern gelangen eben in den Besitz des Angreifers. Je nachdem, welche Daten abfragt werden, bekommt dieser somit also E-Mail-Adresse, Geburtsdatum, Kontaktlisten und dergleichen. Ebenso ist es möglich, den Nutzer nach dem Login auf eine beliebige Webseite, welche unter Umständen Malware verbreitet, weiterzuleiten.


Die Lösung des Problems könnte aber – wenn es überhaupt einmal eine geben sollte – eine langwierige Sache sein. Wang Jing hat bereits etliche größere Anbieter der Loginmethoden angeschrieben und über die gefundene Sicherheitslücke aufgeklärt, hierbei gab es jedoch unterschiedliche Aussagen. Im Hause Google beobachtet man das Problem, Microsoft ist sich keiner Schuld bewusst und schiebt die Sicherheitslücke an Drittanbieter ab. Lediglich Facebook scheint hier ehrlich zu sein und gibt an, dass es sich dabei um ein grundsätzliches Problem von OAuth 2.0 und OpenID handelt – möchte man nicht eine umfangreiche Whitelist mit sämtlichen nicht-schädlichen Apps pflegen, ist die Sicherheitslücke nicht “mal eben so” zu beheben. Im Grunde dürften sich sämtliche Gegenmaßnahmen negativ auf die Nutzererfahrung auswirken, was natürlich keiner der Dienste in Kauf nehmen möchte – und so bleibt es hierbei scheinbar beim “kleineren Übel” für die Anbieter.


Direktlink zum Video:
https://www.youtube.com/watch?v=HUE8VbbwUms


So bleibt eigentlich nur die Möglichkeit, auf OAuth 2.0 oder OpenID als Login-Methode für Drittanbieter Dienste und Apps zu verzichten oder genauestens darauf zu achten, auf was man klickt. Hat man keine explizite Autorisierung angestoßen, sollte man die geöffneten Tabs umgehend schließen und darauf hoffen, dass sich nicht doch irgendwo ein falscher Link eingepfercht hat.



Quelle:
http://www.blogtogo.de/sicherheitsluecke-in-oauth-2-0-und-openid-gefunden/






News Verwandte:

http://thehackernews.com/2014/05/nasty-covert-redirect-vulnerability.html

http://www.scmagazine.com/covert-redirect-vulnerability-impacts-oauth-20-openid/article/345407/

http://tech.ifeng.com/internet/detail_2014_05/03/36130721_0.shtml/

http://russiapost.blogspot.ru/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

https://www.facebook.com/permalink.php?story_fbid=464956613659034&id=405943696226993

http://itsecurity.lofter.com/post/1cfbf9e7_706081c

http://itinfotech.tumblr.com/post/119436623811/securitypost-sicherheitslucke-in-oauth-2-0-und

http://frenchairing.blogspot.fr/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html
http://whitehatpost.blog.163.com/blog/static/242232054201542075247658/

http://japanbroad.blogspot.jp/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

http://ittechnology.lofter.com/post/1cfbf60d_7063617

https://www.facebook.com/permalink.php?story_fbid=429633303875565&id=361076084064621

http://securitypost.tumblr.com/post/119436383347/sicherheitslucke-in-oauth-2-0-und-openid-gefunden

http://germancast.blogspot.de/2015/05/sicherheitslucke-in-oauth-20-und-openid.html

https://infoswift.wordpress.com/2014/06/29/sicherheitslucke-in-oauth-2-0-und-openid-gefunden/


评论
热度 ( 19 )
  1. 白帽子安全计算机网络技术 转载了此图片  到 竹意
  2. 白帽子安全计算机网络技术 转载了此图片  到 测试想法
  3. 白帽子安全计算机网络技术 转载了此图片  到 湛天雲海碧波影
  4. 白帽子安全计算机网络技术 转载了此图片  到 文豆 & 文库
  5. 白帽子安全计算机网络技术 转载了此图片
  6. 计算机网络技术IT 计算机&信息网络 技术 转载了此图片
TOP