OAuth/OpenIDConnect実装におけるセキュリティ状況の調査

• Item type: Symposium(1)
• 公開日: 2019-10-14
• タイトル: OAuth/OpenIDConnect実装におけるセキュリティ状況の調査
• タイトル / 言語: en
• タイトル: How Secure Are OAuth/OpenIDConnect Implemented in Japan?
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: OAuth，OpenIDConnect，ソーシャルログイン
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 明治大学大学院
• 著者所属: 明治大学
• 著者所属: 明治大学大学院
• 著者所属(英): en
• 著者所属(英): Graduate School of Meiji University
• 著者所属(英): en
• 著者所属(英): Meiji University
• 著者所属(英): en
• 著者所属(英): Graduate School of Meiji University
• 著者名: 菊田, 翼; 齋藤, 孝道; 小芝, 力太
• 著者名(英): Tsubasa, Kikuta; Takamichi, Saito; Rikita, Koshiba
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: Webサイトを利用する際の認証において，ソーシャルメディアのアカウントを利用するソーシャルログインと呼ばれる仕組みがある．ソーシャルログインはOAuthやOpenIDConnectにより実装されることがある．しかし，Webサイト作成側での実装によっては，プライバシー上の問題を引き起こすことや攻撃に対し脆弱となることが知られている．本論文では，Webサイトのログインページの認証フローを辿ることで，そのサイトにおけるソーシャルログインの実装状況を調査した．その結果，SNSからのアクセス権限を必要以上に取得しているWebサイト，実装上の欠陥により脆弱性が残っている可能性を持つWebサイトが500サイト中28サイトで確認された．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: When a website authenticates the users, it is applied to so-called social login in EC site. The social login is known to use a social media account, such as Facebook, Google, and Twitter. In the case, a website is applied to the use of OAuth and OpenIDConnect. However, the implementation of the website may be caused privacy concerns or be vulnerable to attacks. In this paper, by crawling the login pages of 500 Japanese EC sites and tracing the authentication flows, we investigated the implementation status of social login and their security against CSRF. As a result, we observed 28 websites that acquired users permissions from SNS more than necessary, and some sites were vulnerable due to improper implementation.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2019論文集; 巻 2019, p. 800-807, 発行日 2019-10-14
• 出版者 / 言語: ja
• 出版者: 情報処理学会