este é brian smith-sweeney, ele lidera o risco de infosec na two sigma ele deu uma palestra na black hat em 2023 dois anos antes, em 2021, ele descobriu acidentalmente uma nova vulnerabilidade no oauth do google ele enfatiza que o vetor de ataque não se limita ao google

@twosigma @BlackHatEvents não está relacionado com o vetor que publiquei, exceto pelo fato de também ser oauth é mais fácil, exigindo consentimento explícito, embora de um serviço google de primeira parte para outro serviço google de primeira parte o truque é que não é google é um terceiro que está a fazer-se passar por google, e a ter sucesso

"se você disser aos seus usuários para procurar [uma autorização para um aplicativo de terceiros], eles não vão encontrar"

@BlackHatEvents na sua pesquisa sobre o oauth do google, ele nota uma string estranha ele a decodifica e procura na documentação diz que o servidor de autorização do google deve retornar o código de autorização *na barra de título do navegador*

@twosigma "não sei quantos de vocês já estiveram envolvidos no desenvolvimento de um sistema seguro de troca de mensagens ou armazenamento de credenciais" "não sei se vocês já pensaram, sabem onde deveríamos colocar isso? colocar na barra de título do navegador" "é fácil para mim fazer uma piada em retrospectiva"

@BlackHatEvents foi difícil para mim acreditar, e eu fui olhar por mim mesmo

foi real

depois de rastrear a string decodificada, ele também a encontra referenciada em uma lista de discussão o post é de um coautor de muitas especificações oauth, incluindo o RFC 8252, a especificação oauth em questão ele não tem nada de bom a dizer

este vetor tem muita da mesma durabilidade que o que eu postei novamente, na camada de autorização, os tokens oauth são pós-autenticação ele também observa que, no caso de comprometimento da conta, as redefinições de senha não têm efeito algum também não têm efeito os mecanismos de recuperação tradicionais geralmente

@BlackHatEvents mesmo nos mecanismos de API mais granulares do Google Workspaces, ele observa que os controles de acesso não afetam os aplicativos do Google de primeira parte os aplicativos do Google de primeira parte são onde o seu aplicativo não-Google aparece

isto é praticamente onde eu também cheguei

@BlackHatEvents ele avisa de forma semelhante sobre tokens oauth "essas coisas vivem para sempre"

gosto da forma como ele termina ele diz, aqui na Two Sigma, valorizamos o aprendizado e o estudo depois ele diz, se você me perguntar algo ou me contar algo, onde qualquer um de nós aprenda alguma coisa, eu te dou um brinde da Two Sigma sem surpresa, é um baralho de cartas