特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない

怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ

[mirai-iro]

ぼくが d:id:mirai-iro:20121021:twitter_leak_key で書いたことをくわしくしたもの

[t_f_m]

あとで

[boheanimato]

Oauthの仕組みからよくわかるー。

[mkusunok]

ID連携の罠だよなー。気をつけなきゃ

[ockeghem]

『Client credentials は、他人に知られてしまう可能性があり、それを前提にセキュリティを考えなければならない』

[kkobayashi]

なるほど。アプリ側で"Allow this application to be used to Sign in with Twitter"を無効にしていれば、この手の問題は防げるということか。クライアント側でもリダイレクトを無効にする設定できないのかね

[megascus]

よくこんなこと思いつくなぁ。イタチごっこになるわけだ。

[Yamashiro0217]

クライアントサイドで「秘密鍵」って用語が出てきたら注意しないとなんだわ

[barlog]

明解でした―。

[hide-K]

後で読む

[diary193]

「Sign in with twitter という仕組みでは、過去に許可したクライアントに対しては、リソース保持者の明示的な許可行動なしに verifier が渡される」+「許可確認画面を表示することなくリダイレクトする 」

[oppara]

特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない

[skam666]

“Sign in with twitter という仕組みの存在が今回の攻撃のキモ”

[solidstatesociety]

なるほど

[gimonfu_usr]

http://togetter.com/li/463503

[raimon49]

Client Credentials(Consumer Key, Consumer Secret)自体は、第三者に知られ得るもの。

[itochan]

スパムからさえDMが届かない一抹の寂しさ。

[fclout]

特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない -

[honeybe]

ふむふむ

[stanaka]

良解説

[TacoS]

クライアントの設定のcallbackとクエリのcallbackが一致してないとはじかれると思ってたけど、クエリの方が優先されるのか

[tanasumi]

解説わかりやすい。

[KariumNitrate]

DMが届く案件。ここからどう解決するか。

[murashit]

わかりやすい

[kakkun61]

最近見つかった Twitter の弱点の解説