OpenID Provider のセキュリティ対策 (1) - まずは SSL を導入！話はそれからだ - 日向夏特殊応援部隊

やっと下準備終わったので書いてみる。 OpenID でのプトロコルメッセージで、認証アサーション要求*1及び応答*2でのメッセージは通常、RP-OP 間で associate 時に交換した MAC キーを持って署名を行う為、期待する相手と通信している限りは改ざんは起こりにくいと考えられます。 但し最近話題に出て来ている DNS Cache Poisoning のような攻撃を受けた場合、中間者攻撃 (man-in-the-middle attack) が成立する可能性があります。 攻撃手法の例 例えば、RP の DNS が汚染されていた場合を考えます。本来 OP であるはずのホストが悪意のある第三者のサーバーに割り当てられていた場合、その第三者のサーバーが中継を行えば、DH 鍵交換を行ってもまったく無意味で、認証データが盗まれる可能性があります。つまり、 RP から見ると OP に見えて O

[ZIGOROu]

ne.jp は色々他にもまずいところが＞＜ 中の人、気づいて対応してホスィところです。

[oppara]

OpenID Provider のセキュリティ対策 (1) - まずは SSL を導入！話はそれからだ - Yet Another Hackadelic

[mainyaa]

「まとめ：特別な理由が無い限り、OP Endpoint URL や XRDS など、OP が提供する情報には SSL/TLS を適用しましょう。 さらに言えば RP も提供する return_to URL なども SSL/TLS を適用する事をお勧めします。 」

[send]

なるほど

[itochan]

OPはSSL/TLS必須。　OpenID.ne.jpはゴミ