OAuth2.0 Security Best Current Practiceを読んでみる（２）

こんにちは、富士榮です。

前回に続き、OAuth2.0 Security Best Current Practiceを読んでいきます。

今回は2つ目のブロックである「攻撃モデルの更新」です。今回は短めです。

攻撃モデルの更新

RFC6819に定義されている攻撃モデルの最新化しているセクションです。ここで定義された攻撃モデルに対して次のセクションで緩和策が定義される、という流れになっています。

定義されているのは、以下の5つのモデルです。

• A1）攻撃者がブラウザやサーバに任意のエンドポイントをセットアップできる環境にあるケース
• まぁ正直これができる環境だともう何も信じられなくなりますが、攻撃者はユーザを独自の認可サーバに誘導したり、認可コードやトークンの搾取ができてしまう可能性を考慮する必要があります。
• A2）通信ネットワークを完全に制圧されているケース
• これも当然ですが盗聴やなりすましが容易にできてしまう可能性を考慮する必要があります。
• A3）認可レスポンスを攻撃者が見れてしまうケース
• レスポンスの改ざんはできなくても見られてしまうケースは想定しておかないといけません。オープンリダイレクタなどが典型ですね。
• A4）同様に認可リクエストを攻撃者が見れてしまうケース
• リクエストが漏えいすることで攻撃者に情報を与えてしまう、というのはよくあることですね。
• A5）アクセストークンを攻撃者が取得できてしまうケース
• リソースサーバが攻撃者によって侵害されてしまっているケースなどが考えられますね。

これらの攻撃モデルのうち、A3〜A5は通常A1もしくはA2と同時に発生します。また、ここは大切なポイントだと思いますが「複数の攻撃者が協力して攻撃する可能性」についても考慮しておく必要がるとも述べられています。

次回は最終回、攻撃パターンと緩和策について読んでいきたいと思います。