to jest Brian Smith-Sweeney, kieruje ryzykiem infosec w Two Sigma w 2023 roku wygłosił wykład na Black Hat dwa lata wcześniej, w 2021 roku, przypadkowo odkrył nową lukę w oauth Google'a podkreśla, że wektor ataku nie ogranicza się tylko do Google'a

@twosigma @BlackHatEvents to nie ma związku z wektorem, który opublikowałem, poza tym, że to również oauth jest to łatwiejsze, wymagające wyraźnej zgody, chociaż z jednej usługi google do innej usługi google sztuczka polega na tym, że to nie jest google to strona trzecia podszywająca się pod google i odnosząca sukcesy

"jeśli powiesz swoim użytkownikom, aby szukali [autoryzacji do aplikacji zewnętrznej], to jej nie znajdą"

@BlackHatEvents w swoich badaniach nad oauth google'a zauważa dziwny ciąg znaków odszyfrowuje go i przeszukuje dokumentację mówi, że serwer autoryzacji google'a powinien zwrócić kod autoryzacji *w pasku tytułowym przeglądarki*

@twosigma "nie wiem, ile z was kiedykolwiek brało udział w opracowywaniu systemu bezpiecznego przesyłania wiadomości lub przechowywania poświadczeń" "nie wiem, czy kiedykolwiek pomyśleliście, wiecie gdzie powinniśmy to umieścić? umieścić to w pasku tytułowym przeglądarki" "łatwo mi zrobić żart z perspektywy czasu"

@BlackHatEvents trudno mi było w to uwierzyć, więc sam to sprawdziłem.

to było prawdziwe

po tym, jak zlokalizuje zdekodowany ciąg, znajduje go również w liście dyskusyjnej post jest autorstwa współautora wielu specyfikacji oauth, w tym RFC 8252, specyfikacji oauth, o której mowa nie ma nic miłego do powiedzenia

ten wektor ma podobną trwałość jak ten, który opublikowałem ponownie, w warstwie autoryzacji, tokeny oauth są po uwierzytelnieniu on również zauważa, że w przypadku kompromitacji konta, resetowanie hasła nie ma żadnego efektu ani tradycyjne mechanizmy odzyskiwania zazwyczaj

@BlackHatEvents nawet w bardziej szczegółowych mechanizmach API Google Workspace, zauważa, że kontrole dostępu nie wpływają na aplikacje Google pierwszej strony aplikacje Google pierwszej strony to miejsce, w którym jego aplikacja nie-Google się pojawia

to jest mniej więcej to, gdzie również wylądowałem

@BlackHatEvents on również ostrzega przed tokenami oauth "te rzeczy żyją wiecznie"

podoba mi się, jak kończy mówi, tutaj w Two Sigma cenimy naukę i studiowanie potem dodaje, jeśli zapytasz mnie o coś lub powiesz mi coś, z czego obaj się czegoś nauczymy, dam ci trochę gadżetów Two Sigma niezaskakująco, to talia kart