¿Es una práctica aceptable solicitar credenciales de un dominio de confianza separado?

Question

¿Es una práctica aceptable solicitar credenciales de un dominio de confianza separado?

#1 de David (2 votos)

2

Sé de al menos dos páginas que habría asumido como un esquema de suplantación de identidad si no supiera algo mejor.

Serverfault.com es un sitio de intercambio de pila en un dominio diferente, sin embargo, si hace clic para iniciar sesión con el intercambio de pila, no lo redirecciona, solo le solicita el usuario / paso.

La comunidad de Steam hace lo mismo. Es perfectamente legítimo, pero es un dominio diferente al de la página oficial de Steam.

Mi perspectiva sobre esto es que esto es malo. Si se me pide que ingrese mis credenciales de Facebook, espero ver el dominio facebook.com. Lo mismo para el vapor, lo mismo para el intercambio de la pila.

Ese es el consejo que les he estado dando a todos durante mucho tiempo, y mis amigos realmente me llamaron por la comunidad de Steam, donde tuve que cavar para saber si era un sitio legítimo o no.

¿Es esta una práctica válida? Apesta a los cielos altos imo.

authentication phishing sub-domain

pregunta Andrew Hoffman 01.07.2014 - 22:15

fuente

1 respuesta

Lea otras preguntas en las etiquetas authentication phishing sub-domain

¿Sería posible agregar archivos adicionales a un archivo zip 2.0 protegido por contraseña? ¿No es seguro codificar una contraseña con más de una sal?

score 2 · Accepted Answer

La otra cara es que un XSS en un sitio le da acceso a todo sobre el mismo origen. Por lo tanto, si un atacante encuentra un XSS en cualquier lugar de example.com, puede usarlo para robar las credenciales de inicio de sesión de example.com/login. Con un dominio de inicio de sesión independiente y cookies HttpOnly, esto se mitiga significativamente. (Por supuesto, necesita alguna forma de pasar las credenciales del dominio de inicio de sesión a example.com, e implementarlo sin perder las credenciales a un XSS no es trivial).

Sí, probablemente sea una mala forma enseñar a los usuarios a iniciar sesión en un dominio diferente. A menudo, el uso de un subdominio proporciona un buen equilibrio de contención (vía origen) y facilidad de uso. Consulte, por ejemplo, accounts.google.com para obtener una página de inicio de sesión en un origen diferente, pero un dominio reconocible.