Abo
  • Services:

Kritisches Problem in OAuth

OAuth-Provider schalten OAuth vorübergehend ab

Das unter anderem von Google, Yahoo und Twitter genutzte OAuth-Protokoll hat eine kritische Sicherheitslücke, die nur durch eine Änderung des Protokolls beseitigt werden kann. Unter anderem Yahoo und Twitter haben aus Sicherheitsgründen ihre OAuth-Unterstützung vorerst deaktiviert.

Artikel veröffentlicht am ,

Die Sicherheitslücke in OAuth (OAuth Security Advisory 2009.1) betrifft alle standardkonformen Implementierungen des Protokolls OAuth Core 1.0, die den sogenannten OAuth-Authorization-Flow unterstützen. Loggen sich Angreifer mit ihrem Account bei einer OAuth-Website ein, können sie das dabei übergebene Request-Token nutzen, um es anderen Nutzern unterzuschieben und so an deren Account zu gelangen. Da die Opfer am Ende auf der korrekten Website landen, bleibt der Angriff vom Opfer unbemerkt.

Stellenmarkt
  1. über duerenhoff GmbH, Raum Augsburg
  2. DZ PRIVATBANK S.A., Luxemburg

Es habe in den vergangenen Tagen keine bekannten Fälle gegeben, in denen die Sicherheitslücke ausgenutzt wurde, heißt es von Seiten des OAuth-Projekts. OAuth-Providern wird nahegelegt, entsprechende Überwachungsfunktionen zu installieren. Zudem sollen sie ihre Nutzer auf die Risiken hinweisen, wenn eine Autorisierung von einer nicht vertrauenswürdigen Location aus gestartet wird.

Eine wirkliche Lösung des Problems ist nur durch eine Änderung des OAuth-Protokolls möglich, an der derzeit gearbeitet wird.



Anzeige
Hardware-Angebote
  1. ab 225€
  2. täglich neue Deals bei Alternate.de
  3. (u. a. Fractal Design Meshfy Light Tint 69,90€)
  4. 103,90€

Pixelfreak 23. Apr 2009

Die Schwachstelle ist - zumindest in ähnlicher Form - schon länger bekannt: http://blog...


Folgen Sie uns
       


Sony Xperia L3 - Hands on (MWC 2019)

Sony hat das Xperia L3 auf dem MWC 2019 in Barcelona vorgestellt. Das Einsteiger-Smartphone mit Dual-Kamera steckt in einem schmalen 2:1-Gehäuse. Es hat den Fingerabdrucksensor wieder auf der rechten Seite. Das Smartphone erscheint Anfang März 2019 zum Preis von 200 Euro.

Sony Xperia L3 - Hands on (MWC 2019) Video aufrufen
Thyssen-Krupp Testturm Rottweil: Herr Fetzer parkt die Aufzugkabine um
Thyssen-Krupp Testturm Rottweil
Herr Fetzer parkt die Aufzugkabine um

Ohne Aufzüge gäbe es keine Hochhäuser. Aber inzwischen sind Wolkenkratzer zu hoch für herkömmliche Systeme. Thyssen-Krupp testet derzeit einen neuartigen Aufzug, der beliebig hoch fahren kann. Inspiriert ist er vom Paternoster und dem Transrapid. Wir waren im Testturm.
Ein Bericht von Werner Pluta

  1. Ceramic Speed Hätte, hätte - Fahrrad ohne Kette
  2. Geheimdienste und Bundeswehr Masterstudiengang für Staatshacker gestartet
  3. Sonitus Technologies Zahnmikrofon sorgt für klare Kommunikation

Fido-Sticks im Test: Endlich schlechte Passwörter
Fido-Sticks im Test
Endlich schlechte Passwörter

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

  1. Datenschutz Facebook speicherte Millionen Passwörter im Klartext
  2. E-Mail-Marketing Datenbank mit 800 Millionen E-Mail-Adressen online
  3. Webauthn Standard für passwortloses Anmelden verabschiedet

Pauschallizenzen: CDU will ihre eigenen Uploadfilter verhindern
Pauschallizenzen
CDU will ihre eigenen Uploadfilter verhindern

Absurder Vorschlag aus der CDU: Anstatt die Urheberrechtsreform auf EU-Ebene zu verändern oder zu stoppen, soll nun der "Mist" von Axel Voss in Deutschland völlig umgekrempelt werden. Nur "pures Wahlkampfgetöse" vor den Europawahlen, wie die Opposition meint?
Eine Analyse von Friedhelm Greis

  1. Europawahlen Facebook will mit dpa Falschnachrichten bekämpfen
  2. Urheberrecht Europas IT-Firmen und Bibliotheken gegen Uploadfilter
  3. Uploadfilter Fast 5 Millionen Unterschriften gegen Urheberrechtsreform

    •  /