GitLabで1クリックアカウント乗っ取りが可能だった脆弱性から学ぶ、OpenID Connect実装の注意点 - Flatt Security Blog

はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。 最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービスで見かけると思います。しかし、OpenID Connectの仕様をよく理解せずに不適切な実装を行うと脆弱性を埋め込むことがあります。 そこで、突然ですがクイズです。以下のTweetをご覧ください。 ⚡️突然ですがクイズです！⚡️ 以下の画面はOAuth 2.0 Best Practice上は推奨されないような実装になっており、潜在的リスクがあります。https://t.co/bXGWktj5fx どのようなリスクが潜んでいるか、ぜひ考えてみてください。このリスクを用いた攻撃についての解説記

[uunfo]

OpenID Connectは仕様書を読んでもどう使うのが正しいのか分からないのが辛い

[grgrjnjn]

・OpenID Connectは、OPから返ってきた値を検証する責務はRPにある ・RPが検証するべきパラメータは複数ある、OIDCの仕様を理解しましょう ・フレーム間通信においては、Origin検証は受信側の責務である

[defiant]

この記事をおすすめしました

[fa11enprince]

OpenID Connectってもっとシンプルにならないもんかなー。いっぱいいろいろありすぎてなかなかに複雑だし気をつけなきゃいけないこと多すぎる気がする。

[Cherenkov]

OpenID Connect

[blog0x003f]

正直な話、理解に時間がかかりました。