¿La mayoría de las implementaciones de aplicaciones de OAuth son vulnerables debido a una URL / origen oculto?

8

Cada vez que me solicitan OAuth en una aplicación me incumple la falta de capacidad para verificar que la página realmente se origina en la fuente representada.

¿La mayoría de las implementaciones de aplicaciones de OAuth están exponiendo una vulnerabilidad debido a una URL / origen oculto?

A continuación se muestran las aplicaciones OSX e iOS ... se crea una vista web (ventana de visualización de navegador web integrada sin barra de direcciones) y se muestra la página OAuth sin la URL o el certificado SSL, que se puede falsificar y explotar fácilmente con técnicas de phishing. El riesgo parece enorme.

Aplicación Cobook en OSX

AplicaciónTrelloeniOS

    
pregunta Luke 14.09.2013 - 03:28
fuente

1 respuesta

2

Esto no infringe la sección de seguridad de OAuth 2.0 RFC . Sin embargo, el modelo de amenaza OAuth 2.0 RFC menciona el phishing . El problema de ocultar el origen de la página de autenticación no está listado ... en ninguna parte. Como en, nunca he reunido este problema y no creo que esté documentado.

Se podría argumentar que todas las páginas de autenticación siempre deben mostrar su origen y mostrar que están protegidas con HTTPS. (¿Es su captura de pantalla de una página HTTPS? No hay manera de saberlo.) Esta es una vulnerabilidad de riesgo medio / bajo, y creo que Twitter debería solucionarlo. Recomiendo enviar un correo electrónico a security@twitter.com, Twitter toma la seguridad muy en serio y tienen un gran equipo de seguridad.

    
respondido por el rook 14.09.2013 - 23:16
fuente

Lea otras preguntas en las etiquetas