HTTPS でも Full URL が漏れる？OAuth の code も漏れるんじゃね？？ - OAuth.jp

テクノロジーカテゴリーの変更を依頼記事元:

oauth.jp

309 usersがブックマークコメント

コメント

22

記事へのコメント22件

注目コメント
新着コメント

rryu 見知らぬWi-Fiネットワークなどに繋ぐとWPAD(Web Proxy Auto-Discovery)によってプロキシが設定される場合があり、そうするとURLが漏れるので認証とかやばいんじゃね? という話。

セキュリティ

2016/07/27 リンク

stealthinu id:rryuさんのブ米が大変参考になった。釣り用のWiFiに繋いでしまうとそのDHCP設定でProxy設定が掛けられてSSL通信でもGETのURLが漏れるからOpenID/OAuthの認証コードが漏れてなりすまし可能になる場合ありとのこと。

2016/07/28 リンク

thimura WPAD で送られてくる PAC(Proxy を決める JavaScript) には HTTPS の場合でも完全な URL が渡るので攻撃者に抜かれるとリンク先には書いてあった。HTTPS を Proxy するだけなら CONNECT 上で TLS handshake するので関係はない。とはいえ要注意

2016/07/28 リンク

napsucks いまいち危険性がわからん。。そもそもDHCPスプーフィングで偽DNSつかまされてる前提ならなんでもありだろ。それにWPADでproxyをかませて通信を盗んでも端末に偽ルート証明書突っ込まない限りはSSLエラーですぐにばれる。

2016/07/28 リンク

Horiuchi_H うーん、OAuthサーバを作る際には考慮しないとならないことがまた増えたのか。。。

2016/07/27 リンク

yoshikidz 言ってることはわかるけれど、これ系はまあそりゃそうだよねって話で、facebook云々より根本解決はセキュアなネットワークに確実に繋ぐしかないよね。。。

2016/07/28 リンク

注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

規約違反を報告

アプリのスクリーンショット

いまの話題をアプリでチェック！

バナー広告なし
ミュート機能あり
ダークモード搭載

アプリをダウンロード

関連記事

{{ total_bookmarks_with_user_postfix }}{{ root_title }}

HTTPS でも Full URL が漏れる？OAuth の code も漏れるんじゃね？？ - OAuth.jp

なんですかこれは！ New attack bypasses HTTPS protection on Macs, Windows, and Linux DHCP につなぐ... なんですかこれは！ New attack bypasses HTTPS protection on Macs, Windows, and Linux DHCP につなぐと PAC ファイルがダウンロードされて HTTPS であろうとアクセス先の Full URL は漏れるですって？ Web Proxy Autodiscovery ですって？チョットニホンゴデオネガイシマスってことで、まぁこれが実際どれくらい簡単に実現できる攻撃パターンなのかは他のセキュリティ業界の方々に後で聞くとして、この記事でも触れられてる OpenID Connect とか OAuth2 への影響について、ちょっとまとめておきましょうか。 Authorization Request & Response が漏れる response_mode=form_post なんていうのも一部ありますが、基本 OAuth2 /

ブックマークしたユーザー

fuyu772021/01/29
emmeleia2020/05/04
shimbaco2020/03/20
chimerast2019/04/17
techten2019/04/13
astrocyte2019/03/27
kshibata1012019/02/24
quodius2018/10/09
rrrkaneko2018/02/02
mas-higa2017/08/10
tohu-soy2017/08/08
YuichiTanaka2017/07/28
kiichi692512017/07/28
yugui2017/07/27
issyurn2017/06/29
Nyoho2017/04/12
diary1932017/01/04
tkrkt2016/12/13

同じサイトの新着

同じサイトの新着をもっと読む

いま人気の記事

いま人気の記事をもっと読む

いま人気の記事 - テクノロジー

いま人気の記事 - テクノロジーをもっと読む

新着記事 - テクノロジー

新着記事 - テクノロジーをもっと読む

設定を変更しましたx