Πολύ σοβαρό κενό ασφαλείας εντοπίζεται στα OAuth 2.0 και OpenID

[8anos]

ναι αλλα πολλές φορες επειδη δεν θελουμε να ξαναδωσουμε ολα τα στοιχεία μας στο http://eimai_anasfales.site . επειλεγουμε την ταυτοποιηση μεσω γοογλ ή αλλης υπηρεσιας εχοντας την πεποίθηση οτι τα στοιχεία μας ειναι ασφαλή

[purpleaura]

πραγματικά βρίθει από επιχειρήματα κάθε σου μήνυμα και δε χρειάζεται να παραθέσει κανένας άλλος
μπορείς να συνεχίσεις να αβαντάρεις τις αγαπημένες σου εταιρίες λοιπόν, ακόμα κι όταν δηλώνουν πως δεν τις νοιάζει η ασφάλειά σου

Προφανώς δεν καταλαβαίνεις τι γράφουν οι ανακοινώσεις , οπότε άστο.

[chat1978]

ασχολούμαι επαγγελματικό με τα πρωτόκολλα του WS-Federation και WS-Trust που γενικά μοιάζουν με το OAuth στην σύλληψη αλλές με κάποιες ουσιαστικά διαφορές.
Το WS-Federation αφορά κυρίως intranet και b2b. Προς το παρών δεν έχω εκβαθύνει στο oauth και openid γιαυτό και θέλω να επαληθεύσω τι κατάλαβααν και θα το κάνω λίγο τεχνικό.

Ο evil.com κακός web application, μπορεί να με το παραπάνω να λάβει το token από τον facebook.com το οποίο νομίζει ότι με κάνει authenticate για το good.com

Στο WS-Federation αυτή η παράμετρος λέγεται replyto και συγκεκριμένα προϊόντα όπως το ADFS απογορεύουν την χρήση του ή αγνοεί την τιμή του για αποφυγή αυτού του προβλήματος.
Επίσης υπάρχει και η παράμετρος το Security Token Service (STS) που ουσιαστικά είναι κάτι σαν την εκάστοτε facebook, google.... να κάνει encrypt το token με certificate που μόνο ο good.com γνωρίζει.

Δηλαδή απογορεύεται από το STS οποιαδήποτε redirect σε κάτι που δεν είναι configured στο λεγόμενο relying party και επίσης και στραβή να γίνει (εύκολα μέσω fiddler για παράδειγμα) και το token φτάσει στον evil.com αυτό δεν μπορεί να το δει γιατί δεν έχει το certificate. Το relying party ουσιαστικά αποτελεί την συμφωνία μεταξύ STS και good.com

Αντίστοιχα με το WS-Federation νομίζω τα ίδια κάνει και το SAML-P. Το πρωτόκολλο προβλέπει ότι μπορεί κάποιος να κάνει τα παραπάνω κόλπα, αλλά κάποια προϊόντα ή απλά αγνούν την τιμή ή απλά σου δίνουν την επιλογή.

Αν καταλαβαίνω καλά μου κάνει τρομερή εντύπωση το μέγεθος της πατάτας να πω την αλήθεια, καθώς στον intranet κόσμο αυτά έχουν προβλεθεί και μου κάνει τρομερή εντύπωση που δεν έχουν προβλεθεί στο internet.

[konenas]

προβληματάκια;