OpenID tiene Exchange de Atributos , Facebook tiene Facebook Connect , y servicios de autorización como Oauth permite el acceso a los datos del usuario distribuidos en una amplia gama de proveedores de contenido.
¿Cuáles son los desafíos de seguridad que enfrentan estos servicios?
Al final del día, el cliente (generalmente un navegador) todavía necesita un token para mantener una sesión (generalmente con una variable de cookie). Si el atacante obtiene este token, por XSS o OWASP A9 , entonces pueden acceder a los mismos recursos. CSRF también es una preocupación.
Ahora esto supone que estos proveedores de autenticación son totalmente inmunes al ataque. Si existe una falla en uno de estos servicios, también está en problemas. Inyección de SQL, Phishing, copias de seguridad inseguras, falta de protección de fuerza bruta son solo algunas de las preocupaciones.
oauzz es un difusor de oauth, que puede descubrir fallas serias en una implementación de oauth.