事務局ブãƒã‚°ï¼šã€ŒCovert Redirectã€ã«ã¤ã„ã¦ã® John Bradley æ°ã®è§£èª¬ - 訂æ£ç‰ˆå…ˆã»ã©ã®ç¿»è¨³è¨˜äº‹ã®åŽŸæ–‡ã¸ã®Â @miyagawa æ°ã‹ã‚‰ã®æŒ‡æ‘˜ã‚’å—ã‘㦠John Bradley æ°ãŒæ–°ãŸãªè¨˜äº‹ã€ŒOAuth 2 and Fragment encoding.ã€ã‚’書ã‹ã‚Œã¦ã„ã‚‹ã®ã§ã€ç¿»è¨³ã—ã¾ã™ã€‚ ãŠã…ã€ã‚ã„ã‚„ã€John や。 昨日ã¯ã‚«ãƒªãƒ•ã‚©ãƒ«ãƒ‹ã‚¢ã§é–‹å‚¬ã•ã‚Œã¦ã‚‹ID厨ã®ç¥å…¸ã€ŒInternet Identity Workshopã€ã¡ã…イベントã§ã€IETF OAuth WG ã®ãƒ¡ãƒ³ãƒãƒ¼ãŒ Open Redirector ã®å•é¡Œã«ã¤ã„ã¦è©±ã—åˆã£ãŸã§ã€‚ æ•°å¹´å‰ JavaScript クライアントを想定ã—ã¦ãƒ¬ã‚¹ãƒãƒ³ã‚¹ã® fragment encoding を採用ã™ã‚‹éš›ã€ã‚ã„らã¯ãã®é¸æŠžã«ã¤ã„ã¦ãらã連日æœã¾ã§èªžã‚Šåˆã£ãŸã‚‚んや。 レスãƒãƒ³ã‚¹ã® fragment encoding を採用ã—ãŸç†ç”±ã¯ã„ãã¤ã‹ã‚ã‚‹: JavaScript クライアント㌠token ã‚’å–å¾—ã™ã‚‹ãŸã‚ã«ã€ä¸€åº¦ serv
OAuth 2 and Fragment encoding.
Implicit Flow ã§ã¯ Covert Redirect 㧠Token æ¼ã‚Œã‚‹ã - OAuth.jp
Covert Redirect Vulnerability with OAuth 2
OAuth 2.0 ã®è„†å¼±æ€§ (!?) "Covert Redirect" ã¨ã¯ - OAuth.jp
事務局ブãƒã‚°ï¼šã€ŒCovert Redirectã€ã«ã¤ã„ã¦ã® John Bradley æ°ã®è§£èª¬ï¼ˆè¿½è¨˜ã‚り）
OAuthã¨OpenIDã«æ·±åˆ»ãªè„†å¼±æ€§ã‹--Facebookãªã©å¤§æ‰‹ã‚µã‚¤ãƒˆã«å½±éŸ¿ã‚‚
Covert Redirect and its real impact on OAuth and OpenID Connect
http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html
http://tetraph.com/covert_redirect/
{{#tags}}- {{label}}
{{/tags}}