هذا هو بريان سميث سويني ، يرأس خطر إنفوسك في اثنين من سيجما ألقى محاضرة في Black Hat في عام 2023 قبل عامين ، في عام 2021 ، اكتشف عن طريق الخطأ ثغرة أمنية جديدة في OAuth من Google ويؤكد أن ناقل الهجوم لا يقتصر على Google

@twosigma @BlackHatEvents لا علاقة له بالمتجه الذي نشرته ، بخلاف أنه أيضا قسم إنه أكثر سهولة ، ويتطلب موافقة صريحة ، وإن كان ذلك من خدمة Google من الطرف الأول إلى خدمة Google أخرى تابعة لجهة أولى الحيلة هي أنها ليست Google إنها جهة خارجية تنتحل شخصية Google ، وتنجح

"إذا طلبت من المستخدمين البحث عن [تفويض لتطبيق تابع لجهة خارجية] ، فلن يجدوها"

@BlackHatEvents في بحثه في قسم Google ، لاحظ بعض الخيوط الغريبة يقوم بفك تشفيرها والبحث في الوثائق تقول ، يجب أن يعرض خادم التفويض الخاص ب Google رمز التفويض *في شريط عنوان المتصفح*

@twosigma "لا أعرف كم منكم شارك في تطوير نظام آمن لتمرير الرسائل أو نظام تخزين بيانات الاعتماد" "لا أعرف ما إذا كنت قد فكرت يوما ، هل تعرف أين يجب أن نضع ذلك؟ ضعه في شريط عنوان المتصفح " "من السهل بالنسبة لي أن أقوم بإلقاء نكتة بعد فوات الأوان"

@BlackHatEvents كان من الصعب علي تصديق ذلك ، وذهبت لإلقاء نظرة عليه

كان حقيقيا

بعد أن يتعقب السلسلة التي تم فك تشفيرها ، يجدها أيضا مشار إليها في قائمة المنشور من قبل مؤلف مشارك للعديد من مواصفات OAuth ، بما في ذلك RFC 8252 ، مواصفات OAuth المعنية ليس لديه شيء لطيف ليقوله

يتمتع هذا المتجه بنفس المتانة التي نشرتها مرة أخرى، في طبقة التخويل، تكون رموز OAuth المميزة بعد المصادقة وهو أيضا يلاحظ أنه في حالة اختراق الحساب ، فإن إعادة تعيين كلمة المرور ليس لها أي تأثير على الإطلاق ولا آليات التعافي التقليدية بشكل عام

@BlackHatEvents حتى في آليات واجهة برمجة التطبيقات الأكثر دقة في Google Workspaces ، يشير إلى أن عناصر التحكم في الوصول لا تؤثر على تطبيقات Google الخاصة بالطرف الأول تطبيقات Google التابعة للطرف الأول هي المكان الذي يظهر فيه تطبيقه غير التابع ل Google

هذا هو المكان الذي هبطت فيه إلى حد كبير أيضا

@BlackHatEvents يحذر بالمثل من رموز القسم "تلك الأشياء تعيش إلى الأبد"

تعجبني الطريقة التي ينتهي بها يقول، هنا في Two Sigma، نحن نقدر التعلم والدراسة ثم يذهب ، إذا سألتني شيئا أو أخبرتني بشيء ، حيث يتعلم أي منا أي شيء ، سأعطيك بعض غنيمة سيجما مما لا يثير الدهشة ، أنها مجموعة من البطاقات