Abo
  • Services:

Kritisches Problem in OAuth

OAuth-Provider schalten OAuth vorübergehend ab

Das unter anderem von Google, Yahoo und Twitter genutzte OAuth-Protokoll hat eine kritische Sicherheitslücke, die nur durch eine Änderung des Protokolls beseitigt werden kann. Unter anderem Yahoo und Twitter haben aus Sicherheitsgründen ihre OAuth-Unterstützung vorerst deaktiviert.

Artikel veröffentlicht am ,

Die Sicherheitslücke in OAuth (OAuth Security Advisory 2009.1) betrifft alle standardkonformen Implementierungen des Protokolls OAuth Core 1.0, die den sogenannten OAuth-Authorization-Flow unterstützen. Loggen sich Angreifer mit ihrem Account bei einer OAuth-Website ein, können sie das dabei übergebene Request-Token nutzen, um es anderen Nutzern unterzuschieben und so an deren Account zu gelangen. Da die Opfer am Ende auf der korrekten Website landen, bleibt der Angriff vom Opfer unbemerkt.

Stellenmarkt
  1. next.motion OHG, Leipzig, Gera
  2. Limbach Gruppe SE - Niederlassung H&S, Rüsselsheim

Es habe in den vergangenen Tagen keine bekannten Fälle gegeben, in denen die Sicherheitslücke ausgenutzt wurde, heißt es von Seiten des OAuth-Projekts. OAuth-Providern wird nahegelegt, entsprechende Überwachungsfunktionen zu installieren. Zudem sollen sie ihre Nutzer auf die Risiken hinweisen, wenn eine Autorisierung von einer nicht vertrauenswürdigen Location aus gestartet wird.

Eine wirkliche Lösung des Problems ist nur durch eine Änderung des OAuth-Protokolls möglich, an der derzeit gearbeitet wird.



Anzeige
Spiele-Angebote
  1. (mindestens 16,15€ bezahlen und Vegas Pro 14 EDIT und Magix Video Sound Cleaning Lab erhalten)
  2. 59,99€
  3. 19,99€

Pixelfreak 23. Apr 2009

Die Schwachstelle ist - zumindest in ähnlicher Form - schon länger bekannt: http://blog...


Folgen Sie uns
       


Kabellose Bluetooth-Ohrstöpsel - Test

Wir haben vier komplett kabellose Bluetooth-Ohrstöpsel getestet. Mit dabei sind Apples Airpods, Boses Soundsport Free, Ankers Zolo Liberty Plus sowie Googles Pixel Buds. Dabei bewerteten wir die Klangqualität, den Tragekomfort und die Akkulaufzeit sowie den allgemeinen Umgang mit den Stöpseln.

Kabellose Bluetooth-Ohrstöpsel - Test Video aufrufen
Thermalright ARO-M14 ausprobiert: Der den Ryzen kühlt
Thermalright ARO-M14 ausprobiert
Der den Ryzen kühlt

Mit dem ARO-M14 bringt Thermalright eine Ryzen-Version des populären HR-02 Macho Rev B. Der in zwei Farben erhältliche CPU-Kühler leistet viel und ist leise, zudem hat Thermalright die Montage etwas verbessert.
Ein Hands on von Marc Sauter


    Datenverkauf bei Kommunen: Öffentliche Daten nicht verhökern, sondern sinnvoll nutzen
    Datenverkauf bei Kommunen
    Öffentliche Daten nicht verhökern, sondern sinnvoll nutzen

    Der Städte- und Gemeindebund hat vorgeschlagen, Kommunen sollten ihre Daten verkaufen. Wie man es auch dreht und wendet: Es bleibt eine schlechte Idee.
    Ein IMHO von Michael Peters und Walter Palmetshofer

    1. Gerichtsurteil Kein Recht auf anonyme IFG-Anfrage in Rheinland-Pfalz
    2. CDLA Linux Foundation veröffentlicht Open-Data-Lizenzen
    3. Deutscher Wetterdienst Wetterdaten sind jetzt Open Data

    BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
    BeA
    Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

    Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
    Eine Exklusivmeldung von Hanno Böck

    1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
    2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
    3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

      •  /