Web single sign-on Authentication Security Protocol analyse Web application security a bs t r a c t OpenID 2.0 är ett användarcentrerat Web single sign-on protokoll med över en miljard OpenIDenabled användarkonton, och tiotusentals stödjande webbplatser. Även om protokollets säkerhet är klart kritisk, har dess säkerhetsanalys hittills endast gjorts på ett partiellt och ad hoc-sätt. I detta dokument presenteras resultaten av en systematisk analys av protokollet med hjälp av både formell modellkontroll och en empirisk utvärdering av 132 populära webbplatser som stöder OpenID. Vår formella analys visar att protokollet inte garanterar äktheten och integriteten av begäran om autentisering, och det saknar kontextuella bindningar bland protokollmeddelanden och webbläsare. Resultaten av vår empiriska utvärdering tyder på att många OpenID-aktiverade webbplatser är sårbara för en serie gränsöverskridande förfalskningsattacker (CSRF) som antingen gör det möjligt för en angripare att i smyg tvinga en offeranvändare att logga in på OpenID-stödwebbplatsen och starta efterföljande CSRF-attacker (81 %) eller tvinga ett offer att logga in som angripare för att spoof offrets personliga information (77 %). Med ytterligare kapacitet (t.ex. kontroll av en trådlös åtkomstpunkt), kan motståndaren imitera offret på 80% av de utvärderade webbplatserna, och manipulera offrets profilattribut genom att smida förlängningsparametrarna på 45% av dessa webbplatser. Baserat på insikterna från denna analys, föreslår och utvärderar vi en enkel och skalbar begränsningsteknik för OpenID-aktiverade webbplatser, och en alternativ man-in-the-middle försvarsmekanism för distributioner av OpenID utan SSL. a
Senare, Sun et al. REF ger en omfattande formell analys av OpenID och en empirisk utvärdering av 132 populära webbplatser.
Systematically breaking and fixing OpenID security: Formal analysis, semi-automated empirical evaluation, and practical countermeasures
{'venue': 'Comput. Secur.', 'journal': 'Comput. Secur.', 'mag_field_of_study': ['Computer Science']}