[论文解读] On the security of modern Single Sign-On Protocols: OpenID Connect 1.0.

Vladislav Mladenov, Christian Mainka+3 more|arXiv (Cornell University)|Aug 18, 2015

Web Application Security Vulnerabilities被引用 7

一句话总结

本文分析了基于 OAuth 构建的现代单点登录协议 OpenID Connect 1.0，重点关注其发现（Discovery）和动态注册（Dynamic Registration）扩展。通过一种新型的“恶意端点”攻击，本文揭示了一个关键安全缺陷，该缺陷破坏了协议的完整性，并提出了缓解该漏洞的对策。

ABSTRACT

OpenID Connect is a new Single Sign-On authentication protocol, which is becoming increasingly important since its publication in February 2014. OpenID Connect relies on the OAuth protocol, which currently is the de facto standard for delegated authorization in the modern web and is supported by leading companies like, e.g., Google, Facebook and Twitter. An important limitation of OAuth is the fact that it was designed for authorization and not for authentication -- it introduces a concept that allows a third party, e.g., a mobile App or a web application, to only access a subset of resources belonging to a user. However, it does not provide a secure means to uniquely identify the user. Thus, recent research revealed existing problems in case that OAuth is used for authentication nonetheless. These problems result in severe security vulnerabilities. To fill this gap, OpenID Connect was created. It provides federated identity management and authentication by adding authentication capabilities on top of the OAuth protocol. % Although OpenID Connect is a very new standard, companies like Google, Microsoft, AOL and PayPal, who were also involved in the development, use it already. In this paper we describe the OpenID Connect protocol and provide the first in-depth analysis of one of the key features of OpenID Connect, the \emph{Discovery} and the \emph{Dynamic Registration} extensions. We show that the usage of these extensions can compromise the security of the entire protocol. We develop a new attack called \emph{Malicious Endpoints} attack, evaluate it against an existing implementation, and propose countermeasures to fix the presented issues.

研究动机与目标

• 分析 OpenID Connect 1.0 的安全性，特别是其发现和动态注册扩展。
• 识别并演示一种新的攻击向量，该向量破坏了 OpenID Connect 的信任模型。
• 通过现有实现评估该漏洞在现实世界中的影响。
• 提出实用的对策，以增强协议对已识别攻击的防护能力，同时保持向后兼容性。

提出的方法

• 作者逆向分析了一个现有的 OpenID Connect 实现，以评估其在恶意配置下的行为。
• 通过操纵发现和注册端点，设计并执行了“恶意端点”攻击，以重定向认证流程。
• 该攻击利用对动态注册或发现的端点的信任，实现对身份提供者的伪装。
• 研究人员在真实世界条件下评估了攻击的成功率，包括标准 OAuth 2.0 流程交互。
• 提出了架构级和配置级对策，以防止未经授权的端点操作。
• 分析基于协议规范审查和实际利用测试。

实验结果

研究问题

• RQ1 OpenID Connect 中的发现和动态注册扩展如何影响协议的安全模型？
• RQ2 攻击者能否通过操纵发现或注册端点来破坏认证机制？
• RQ3 在 OpenID Connect 中，信任未经认证或未验证的端点会带来哪些实际后果？
• RQ4 现有实现在多大程度上可因端点操纵而被利用？
• RQ5 哪些缓解措施能有效防止“恶意端点”攻击，同时不破坏向后兼容性？

主要发现

• OpenID Connect 中的发现和动态注册扩展引入了一个关键的信任边界缺陷，从而产生新的攻击向量。
• “恶意端点”攻击允许攻击者重定向认证流程，并伪装成身份提供者。
• 该攻击已成功在生产就绪的 OpenID Connect 实现上得到演示。
• 该漏洞源于对发现或注册的端点缺乏加密验证。
• 作者发现，当前实现并未验证端点元数据的真实性。
• 提出了诸如严格元数据验证和端点认证等对策，以防止此类攻击。