[论文解读] Mitigating CSRF attacks on OAuth 2.0 and OpenID Connect

Wanpeng Li, Chris J. Mitchell+1 more|arXiv (Cornell University)|Jan 24, 2018

Web Application Security Vulnerabilities参考文献 6被引用 5

一句话总结

本文提出了一种实用的客户端防御机制，用于防范OAuth 2.0和OpenID Connect中的CSRF攻击，通过利用Referer头部验证授权响应的来源。该方法检查Referer头部是否匹配预期的身份提供商（IdP）或依赖方（RP）域名，使RP能够在不修改IdP基础设施的情况下检测并阻止伪造请求，从而显著提升单点登录（SSO）实现的安全性。

ABSTRACT

Many millions of users routinely use their Google, Facebook and Microsoft accounts to log in to websites supporting OAuth 2.0 and/or OpenID Connect-based single sign on. The security of OAuth 2.0 and OpenID Connect is therefore of critical importance, and it has been widely examined both in theory and in practice. Unfortunately, as these studies have shown, real-world implementations of both schemes are often vulnerable to attack, and in particular to cross-site request forgery (CSRF) attacks. In this paper we propose a new technique which can be used to mitigate CSRF attacks against both OAuth 2.0 and OpenID Connect.

研究动机与目标

• 解决OAuth 2.0和OpenID Connect实现中在真实部署中普遍存在的CSRF漏洞问题。
• 提供一种轻量级、可部署的缓解技术，无需修改身份提供商或协议标准。
• 使依赖方能够通过Referer头部验证来源，检测并阻止伪造的授权响应。
• 提升OAuth 2.0和OpenID Connect SSO流程的安全性，特别是在多IdP环境中。
• 提供一种实用解决方案，使RP可独立采用，即使IdP未实现额外保护机制。

提出的方法

• 该方法利用HTTP Referer头部验证OAuth 2.0重定向流程中接收到的授权响应的来源。
• 对于redirect_uri追踪，RP检查Referer头部的域名是否与注册的IdP或其自身域名匹配。
• 对于显式用户意图追踪，RP在会话中存储预期的IdP，并将Referer头部与该存储值进行验证。
• 该方法适用于授权码和隐式授权流程，使用标准HTTP头部进行验证。
• 该方法适配于IdP特定的客户端库（如Google、Facebook）的使用场景，其中XMLHttpRequest回调可保留指向RP域名的Referer头部。
• 该防御在IdP层面为无状态，仅需在RP端实现服务端验证逻辑。

实验结果

研究问题

• RQ1 依赖方在实际中如何检测并防止OAuth 2.0和OpenID Connect重定向流程中的CSRF攻击？
• RQ2 何种客户端机制可用于在不修改IdP行为的前提下验证授权响应的来源？
• RQ3 在真实世界的OAuth 2.0部署中，Referer头部能否可靠地区分合法授权响应与伪造响应？
• RQ4 当与使用postMessage和XMLHttpRequest的IdP客户端库结合使用时，基于Referer头部的防御效果如何？
• RQ5 使用Referer头部进行CSRF缓解的实际局限性是什么，以及如何应对？

主要发现

• 基于Referer头部的验证技术通过验证授权响应的来源，有效缓解了OAuth 2.0和OpenID Connect中的CSRF攻击。
• 该方法在使用redirect_uri追踪的RP中有效，也适用于通过会话存储IdP身份进行显式用户意图追踪的RP。
• 使用IdP客户端库（如Google、Facebook）的RP可受益于Referer头部始终指向RP域名，从而实现可靠的验证。
• 该方法实用且可由RP独立部署，无需修改IdP服务或协议标准。
• 一个关键限制出现在使用HTTP注册redirect_uri时，浏览器压缩可能导致Referer头部被剥离；当要求使用HTTPS注册时，该问题可被缓解。
• 该方法对Amazon和Microsoft等要求HTTPS注册的IdP有效，使该防御在大量真实世界部署中具有可行性。