Ученые обнаружили опасную уязвимость в протоколе OpenID

Исследователи безопасности из Индианского университета в Блумингтоне (Indiana University Bloomington) и специалисты из Microsoft Research заявили, что им удалось обнаружить опасную уязвимость в протоколе OpenID, которая позволяет проходить авторизацию в ряде сервисов при помощи учетных записей в Google или Facebook. 

«Проблема заключается в том, что эта система аутентификации делает жизнь проще, но усложняет контроль над безопасностью», - заявил один из участников исследования Ван Сяофэн (Wang Xiaofeng).

По его словам, использование единого протокола авторизации предусматривает «диалог» между web-сайтом, на котором авторизуется пользователь (какой-либо сервис, использующий систему OpenID) и поставщиком услуг идентификации учетной записи (например, Facebook). Однако, как и в большинстве диалогов, в такой системе есть вероятность взаимного непонимания.

Так, уязвимость, обнаруженная исследователями, позволяет проникнуть в запрос OpenID, подтверждающий подлинность указанных пользователем данных. Из исходящего запроса ученые удаляли часть информации (например, адрес электронной почты) и вставляли необходимые данные в ответную форму, уже подтвердившую подлинность запроса.

Таким образом, брешь позволяет злоумышленнику осуществить авторизацию под видом какого-либо пользователя, воспользовавшись только адресом электронной почты, привязанным к учетной записи жертвы. При этом хакер может не иметь контроля над почтой. Более того, теоретически злоумышленник может совершать покупки от имени сторонних пользователей, поскольку технологией OpenID пользуется популярная электронная платёжная система PayPal, подчеркивают ученые.

Ознакомиться с докладом исследователей можно  здесь .