OAuth 安全公告 2014.1 — 隐蔽重定向

OAuth 安全公告：2014.1 “隐蔽重定向”

2014 年 5 月 4 日

什么是隐蔽重定向？

隐蔽重定向是一个开放式重定向攻击的名称，由安全研究员王晶在 2014 年春季提出。

它描述了一个过程，其中恶意攻击者截取了 OAuth 客户端对 OAuth 2.0 授权服务器的请求，并更改请求中名为“redirect_uri”的查询参数，目的是让 OAuth 授权服务器将生成的 OAuth 响应定向到恶意位置，而不是最初请求的客户端，从而将返回的任何密钥暴露给攻击者。

隐蔽重定向是一种新的威胁吗？

否。第 4.1.5 节和第 4.2.4 节介绍了官方 OAuth 2.0 威胁模型（RFC 6819）中的此威胁，而 RFC 的第 5.2.3.5 节介绍了建议的缓解措施。这种威胁更常称为“开放式重定向”。威胁模型已于 2013 年 1 月批准为 RFC，并且已由许多 OAuth 实施和部署有效地用于防御开放式重定向攻击。

谁应该对此感到关注？

任何部署 OAuth 2.0 的人（作为客户端或授权服务）都应该对此感到关注。然而，这种关注不应该是新的；任何部署 OAuth 2.0 的人都应该意识到并了解针对 RFC 6819 中所有威胁的缓解措施，而不仅仅是此一项威胁。

建议

要求客户端注册完整的重定向 URI，如 RFC 6819 第 5.2.3.5 节中所述

使用 state 参数向请求添加自定义信息，以便不必将其添加到重定向 URI。（注意：不要在 state 参数中包含 URL，否则可能会再次导致开放式重定向漏洞。）