Сингапурский студент обнаружил серьезную уязвимость в OAuth и OpenID
Вслед за “дырой” в OpenSSL под названием Heartbleed, о которой неоднократно писалось, появились сообщения об еще одной уязвимости, способной серьезно отразиться на работе множества пользователей в интернете. Речь в данном случае идет об уязвимости в OAuth 2.0 и OpenID, популярных протоколах авторизации и аутентификации, используемых, в том числе, сервисами таких гигантов IT-индустрии, как Facebook, Microsoft, LinkedIn и Google, а обнаружил ее сингапурский студент-математик по имени Ванг Цзин (Wang Jing).
Примерный список жертв уязвимости
Данный учащийся факультета математики Наньянского технологического университета в Сингапуре нашел способ, как злоумышленники могут перехватить персональные данные пользователей, перенаправив их на специально созданный сайт после авторизации. Речь в таком случае идет о так называемом “скрытом редиректе” (Covert Redirect), известной и часто используемой хакерами методике, когда пользователь обманом направляется на вредоносный сетевой ресурс, ворующий персональную информацию (включая логины) .
Скажем, вам предлагается кликнуть по ссылке, после чего появляется всплывающее окно, запрашивающее имя пользователя и пароль для авторизации. При этом введенные данные, естественно, достаются злоумышленникам, которые могут использовать их, например, для рассылки спама с вашего аккаунта. Отметим, что в методике “скрытого редиректа” для авторизации применяются реальные адреса сайтов, тем самым ничего не подозревающие пользователи могут поделиться со злоумышленниками адресами электронной почты и т.д. По словам студента, в Facebook, Google, LinkedIn и Microsoft осведомлены о проблеме.
Источник новости: CNET