[论文解读] OAuthGuard: Protecting User Security and Privacy with OAuth 2.0 and OpenID Connect

Wanpeng Li, Chris J. Mitchell+1 more|arXiv (Cornell University)|Jan 24, 2019

Web Application Security Vulnerabilities参考文献 19被引用 4

一句话总结

OAuthGuard 是一款 Chrome 扩展，可检测并缓解依赖方（RPs）在使用 Google 登录服务时存在的五种 OAuth 2.0 和 OpenID Connect 漏洞，包括一种此前未记录的隐私缺陷。它通过实时阻止令牌泄露、强制使用 HTTPS、利用 Referer 请求头分析检测 CSRF 攻击，并对冒充风险发出警告，从而在真实环境中保护用户。在对全球前 1,000 大网站的调研中，成功保护了 69 个漏洞依赖方中的 56 个。

ABSTRACT

Millions of users routinely use Google to log in to websites supporting OAuth 2.0 or OpenID Connect; the security of OAuth 2.0 and OpenID Connect is therefore of critical importance. As revealed in previous studies, in practice RPs often implement OAuth 2.0 incorrectly, and so many real-world OAuth 2.0 and OpenID Connect systems are vulnerable to attack. However, users of such flawed systems are typically unaware of these issues, and so are at risk of attacks which could result in unauthorised access to the victim user's account at an RP. In order to address this threat, we have developed OAuthGuard, an OAuth 2.0 and OpenID Connect vulnerability scanner and protector, that works with RPs using Google OAuth 2.0 and OpenID Connect services. It protects user security and privacy even when RPs do not implement OAuth 2.0 or OpenID Connect correctly. We used OAuthGuard to survey the 1000 top-ranked websites supporting Google sign-in for the possible presence of five OAuth 2.0 or OpenID Connect security and privacy vulnerabilities, of which one has not previously been described in the literature. Of the 137 sites in our study that employ Google Sign-in, 69 were found to suffer from at least one serious vulnerability. OAuthGuard was able to protect user security and privacy for 56 of these 69 RPs, and for the other 13 was able to warn users that they were using an insecure implementation.

研究动机与目标

• 解决现实世界中依赖方（RPs）广泛存在的 OAuth 2.0 和 OpenID Connect 实现错误所引发的关键安全与隐私风险。
• 在依赖方未遵循最佳实践的情况下，为终端用户提供对 RP 中 OAuth 2.0 和 OpenID Connect 实现漏洞的保护。
• 检测并缓解使用 Google 单点登录服务的依赖方中的五种特定漏洞，包括一种新型隐私缺陷。
• 提供一种实用且可部署的客户端解决方案，使用户无需依赖方更改即可保持保护。

提出的方法

• OAuthGuard 在 OAuth 2.0 和 OpenID Connect 流程中实时分析 HTTP 消息，以检测安全与隐私缺陷。
• 它利用 Referer 请求头分析检测 CSRF 攻击，即使依赖方缺乏适当的 CSRF 防护措施也能识别。
• 通过强制 OAuth 2.0 响应使用 HTTPS，阻止从 HTTP 到 HTTPS 的降级攻击。
• 通过监控包含访问令牌的未经授权的出站请求，识别并阻止第三方令牌泄露。
• 当检测到冒充漏洞时，基于格式错误或缺失的身份验证参数向用户发出警告。
• 该系统实现为 Chrome 扩展，并与 Google 的 OAuth 2.0 和 OpenID Connect 服务集成。

实验结果

研究问题

• RQ1 在使用 Google 登录的现实世界依赖方中，OAuth 2.0 和 OpenID Connect 最常见的漏洞是什么？
• RQ2 客户端工具是否能有效检测并缓解依赖方实现中的漏洞，而无需修改依赖方或身份提供方（IdP）？
• RQ3 此前未记录的 OAuth 2.0 和 OpenID Connect 实现中的隐私缺陷普遍存在吗？
• RQ4 在依赖方缺乏适当 CSRF 保护的现实场景中，基于 Referer 请求头的 CSRF 检测机制效果如何？
• RQ5 在依赖方实现不完善的情况下，客户端工具如 OAuthGuard 能在多大程度上提升用户的安全与隐私？

主要发现

• 在使用 Google Sign-in 的全球前 1,000 大网站中，137 个网站中有 69 个存在至少一种严重的 OAuth 2.0 或 OpenID Connect 漏洞。
• OAuthGuard 成功保护了 69 个漏洞依赖方中的 56 个用户的安全与隐私，主要通过缓解 CSRF 攻击和令牌泄露。
• 该工具在九个依赖方中检测并阻止了 75 个将用户令牌泄露给第三方网站的 HTTP 请求。
• 在 53 个易受 CSRF 攻击的依赖方中，OAuthGuard 通过 Referer 请求头分析成功缓解了 48 个的威胁。
• OAuthGuard 对 13 个存在冒充漏洞的依赖方发出了警告，这些漏洞此前无法被现有工具检测到。
• 研究发现，OAuthGuard 未标记为 CSRF 的 25 个依赖方中仍有漏洞，表明某些缺陷需要超越消息级别检查的深度分析。