OAuth və OpenID — avtorizasiya və autentifikasiyanın birgə işləməsi üçün çox populyar protokollardır. OAuth əlavəsi müştərilər üçün tokenlər qenerasiya edir, OpenID əlavəsi isə istifadəçilərin şəxsi məlumatları açaraq kənar saytlarında da desentralizasiya edilmiş yoxlamağa imkan yaradır.
Sinqapur Nanyan Texniki Universitetinin riyaziyyat fakultəsinin tələbəsi Van Cinq (Wang Jing) cinayətkarın istifadəçinin fərdi məlumatlarını tutaraq avtrorizasiyadan sonra onları ziyanverici saytlara yönəltmək üsulunu aşkarlayıb. Söhbət gizli yönətlmədə olan (covert redirect) boşluqdan gedir, hansı ki, anoloji olaraq open redirect kiberhücumudur.
Bu halda provayder (Facebook, Google və s.) fərdi məlkumatın normal əlavə tərəfindən soruşulduğunu görür, əslində URL-də redirect_uri parametri dəyişdirlərək iistifadəçi gizli olaraq başqa sayta yönəldilir .
Boşluq bir sıra böyük saytları (Facebook, Google, Yahoo, LinkedIn, Microsoft, VK, Mail.Ru, PayPal, GitHub və başqa) əhatə edir. Bütün adları siyahıda qeyd olunan saytlar cinayətkarın etdiyi sorğuya görə istifadəçinin fərdi məlumatlarını ötürə bilir. Məsələn Facebook saytından ad, soyad, poçta indeksi, yaş, yaşayış yeri, iş yeri və s. məlumatlar cinayətkarın əlinə keçə bilər.
Open redirect OWASP versiyasında 2013-cü il üçün 10 əsas hücumlar siyahısına daxildir.
Van Cinq Facebook OAuth 2.0. misalında video yaradaraq internetdə yerləşdirmişdir. Onun sözlərinə görə bu tip hücumlardan yönəldiləcək saytların “ağ siyahısını” yaradaraq müdafiə olunmaq mümkündür.
https://www.youtube.com/watch?v=HUE8VbbwUms
Mənbə: www.xakep.ru
