说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

“心脏出血”还不够?又曝OAuth和OpenID登录漏洞

HTML文档下载 WORD文档下载 PDF文档下载
“心脏出血”漏洞已经让各大网站元气大伤,新问题又接踵而来。一名安全研究人员发现了两款第三方安全登录协议上的重大漏洞,并且此漏洞的修复比OpenSSL的“Heartbleed”漏洞更困难。

几周前,OpenSSL网站加密工具曝出的“Heartbleed”漏洞,已经将整个互联网安全领域震翻了一回。尽管绝大多数网站都在第一时间修复了它,但是一个新的问题又浮出了水面。一名安全研究人员发现了两款第三方安全登录协议的重大漏洞,并且此漏洞的修复比“Heartbleed”更困难。

据Cnet报道,新加坡南洋理工大学一位名叫Wang Jing的博士生,发现了OAuth和OpenID开源登录工具的“隐蔽重定向”漏洞(Covert Redirect)。

利用这个漏洞,攻击者可以创建一个使用真实站点地址的弹出式登录窗口,而不是使用一个假的域名,以引诱上网者输入他们的个人信息。

鉴于OAuth和OpenID被广泛用于各大公司,如微软、Facebook、Google、以及LinkedIn,Wang表示他已经向这些公司汇报了这一漏洞。


Wang声称,微软已经给出了答复,调查并证实该问题出在第三方系统,而不是该公司的自有站点。

Facebook也表示,“短期内仍无法完成完成这两个问题的修复工作,只得迫使每个应用程序平台采用白名单”。

至于Google,预计该公司会追踪OpenID的问题;而LinkedIn则声称它将很快在博客中说明这一问题。

讽刺的是,微软、Google、以及其它科技公司,在早几天才宣布了“资助开源安全系统研究,以避免又一个Heartbleed危机”的消息。(责编:周小璐)

原文链接:OAuth与OpenID登录工具曝出重大漏洞

相关科普:

OAuth、OAuth与OpenID区别和联系

OpenID简介

Google OAUTH + OpenID解决方案

Can someone explain the “Covert Redirect” vulnerability in OAuth and OpenID?


2014年5月7日星期三,我们特别请到了TryStack团队核心成员章津楠与TryStack首席公有云顾问吴彧铖来到CSDN在线培训,带来课程借力OpenStack,数据中心向公有云转型实战分享。带我们了解国内OpenStack公有云搭建中实际问题。报名地址:http://g.csdn.net/5268579

Google Drive新增“保存到Drive”按钮功能 可自行添加 腾讯CDC创始人唐沐加盟小米 总经理陈妍接任 老板我想辞职:因为小米100万元征集一张壁纸 移动周报:GitHub上最火的Android开源项目 免费才是王道:盘点开发者须知的25个免费数据可视化工具 英文字符单引号'的html字符怎么表示? 请教jsp调用useBean的问题! 不用企业管理器,能不能修改表的名称? 急求一小程序源码,分析收到的ICMP包 package 问题,再线等!!! 80分求助:有关CInternetFile的问题!!!!!!!!!!!!!!!!!!!!!! 简单问题 如何在客户端控制上传文件类型? 请问在WINXP下应该安装哪个版本的MS-SQL SERVER? 人体内的氨基酸经过脱氨基作用后,不含氮的部分参与到 when did you get up this 1.When you get up this mo When ___ you ___ up this When___ (do)you ___ (get) would you please ____(not do not ,pour,the,water ,o 英语作文 Believe I can Fly不要重 氨基酸不含氮的部分彻底氧化分解的场所是哪啊~ 芝加哥农产品期价31日全面下跌菲律宾议员“港人生命值钱说”激起香港美国女童目睹家人被烧死 获赔1.5亿梅丽尔·斯特里普曾有婚外恋俄罗斯核武部队大规模战略演习 抗衡北产业资本九月减持148亿元江北开发环保APP中国客在英人均花8000英镑九龙坡九龙镇提档升级专业市场秋季服博会开幕秋装最低三折卖光绪中华网游之全职大骑士吸血獠旗门疯狂角色常德旅游库尔勒旅游泰顺旅游湘潭旅游红河旅游
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘