OAuth Güvenlik Açıkları ve Saldırı Kalıpları

OAuth yetkilendirme sunucuları redirect_uri parametresini kesin biçimde doğrulamalıdır. Sunucu önek eşleştirmesine veya joker karakter eşleştirmesine izin verirse (örneğin "https://app.example.com" ile başlayan herhangi bir URL'yi kabul ederse), saldırgan yetkilendirme isteğini "https://app.example.com.attacker.com/steal" adresine ya da meşru alan adındaki açık bir yeniden yönlendirmeye yönlendirecek şekilde oluşturabilir ve yetkilendirme kodunu çalabilir.

CSRF koruması olmadan saldırgan bir OAuth akışı başlatabilir ve kurbanın tarayıcısını yetkilendirmeyi tamamlaması için kandırabilir. Kurban farkında olmadan saldırganın istemcisini yetkilendirir. "state" parametresi (RFC 6749) bunu önler: istemci rastgele bir state oluşturur, bunu isteğe ekler ve geri çağırmadaki değerin eşleştiğini doğrular. Eşleşmeme durumunda akış durdurulur.

Mobil platformlarda kötücül uygulamalar, meşru bir OAuth istemcisiyle aynı özel URI şemasını kaydedebilir ve kullanıcı kimlik doğrulamasından sonra yeniden yönlendirilen yetkilendirme kodlarını ele geçirebilir. PKCE (RFC 7636) eksiksiz savunma sağlar: akışın başında yalnızca meşru uygulamanın oluşturduğu kod doğrulayıcı olmadan ele geçirilen kod işe yaramaz.

Bir ID belirteci veya erişim belirteci URL parçasına ya da sorgu parametresine eklendiğinde, bu sayfadan sonraki gezinmeler URL'yi Referer üst bilgisinde taşır ve belirtecin üçüncü taraf analiz betiklerine veya CDN sağlayıcılarına sızmasına neden olabilir. Belirteçlerin URL'lerde görünmesini önlemek için her zaman arka kanal üzerinden belirteç teslimi yapan yetkilendirme kodu akışını kullanın.

Bir istemci birden çok OAuth sağlayıcısını desteklediğinde, karıştırma saldırıları istemciyi Sağlayıcı A'dan alınan bir yetkilendirme kodunu Sağlayıcı B'nin belirteç uç noktasına göndermeye yönlendirir. İstemci, ID belirteçlerindeki "iss" istemini doğrulamalı ve geri çağırmayı, state parametresini veya JARM (JWT ile Güvenli Yetkilendirme Yanıt Modu) kullanarak akışı başlatan belirli sağlayıcıya bağlamalıdır.

Sunucu taraflı istek sahteciliği (SSRF) saldırıları, redirect_uri adresine sunucu taraflı HTTP istekleri yapan OAuth uygulamalarını hedefler. Yetkilendirme sunucusu doğrulamak için redirect_uri adresini getirirse saldırgan, bulut örneği meta verilerine veya iç hizmetlere erişmek amacıyla bir iç IP adresi (örneğin http://169.254.169.254/latest/meta-data/) sağlayabilir. Katı izin listesine dayalı redirect_uri doğrulaması bunu önler.

Birçok uygulama, sağlayıcılar arasındaki hesapları bağlamak için OIDC ID belirtecindeki e-posta istemini kullanır. Saldırgan başka bir sağlayıcıdaki kurban hesabıyla eşleşen bir e-posta adresini kontrol ediyorsa bu e-postayla farklı bir sağlayıcıya kaydolup kurbanın hesabına erişebilir. Savunma: hesapları yalnızca (iss, sub) çiftiyle bağlayın, hiçbir zaman yalnızca e-postayla bağlamayın.

JWT algoritması karıştırma saldırıları, doğrulama algoritmasını seçmek için "alg" üst bilgisine güvenen uygulamalardan yararlanır. Saldırı şu şekilde gerçekleştirilir: "alg" değeri "RS256" yerine "HS256" olarak değiştirilir ve belirteç, sunucunun ortak anahtarı HMAC sırrı olarak kullanılarak imzalanır (ortak anahtar herkese açıktır). Savunma: beklenen algoritmayı doğrulama kodunda her zaman açıkça belirtin; belirteç üst bilgisindeki alg istemine hiçbir zaman güvenmeyin.

Saldırganlar meşru görünen adlara ve logolara sahip kötücül OAuth istemcileri kaydeder, ardından hedeflere kimlik avı bağlantıları gönderir. Kurban, kötücül bir uygulama için gerçek bir OAuth onay ekranı (Google, Microsoft vb. tarafından barındırılan) görür ve erişim izni verir. Savunma: client_id değerinin beklenen uygulamaya karşılık geldiğini doğrulayın; Google ve Microsoft, meşru uygulamalar için istemci doğrulama programları sunar.

Kapsam yükseltmesi, istemcinin kullanıcının yetkilendirdiğinden daha geniş izinlere sahip belirteçler elde etmesiyle gerçekleşir. Belirteç uç noktasında kapsam doğrulamasını atlayan, farklı isteklerdeki kapsamları birleştirilmiş belirteçlerde önbelleğe alan veya düzenlenen belirteçteki kapsamın yetkilendirilen kapsamı aşmadığını doğrulamayan uygulama kusurları, OAuth aracılığıyla ayrıcalık yükseltmesine yol açabilir.

OAuth uygulamalarını şu yöntemlerle koruyun: redirect_uri doğrulamasında tam eşleşme kullanın, tüm genel istemciler için PKCE'yi zorunlu kılın, CSRF koruması için state parametresini doğrulayın, ID belirteçlerini e-postaya göre değil (iss, sub) ile bağlayın, beklenen JWT algoritmalarını açıkça belirtin, asgari kapsamları isteyin, kısa ömürlü erişim belirteçlerini belirteç döndürme özelliğiyle birlikte kullanın ve marka taklidi riskini belirlemek için onay ekranının görünümünü denetleyin.

Bir OAuth yetkilendirme sunucusu, "https://app.example.com" ile başlayan herhangi bir redirect_uri adresini kabul ediyor. Bu hangi saldırıyı mümkün kılar?

Temel OAuth saldırıları: gevşek redirect_uri doğrulaması yoluyla açık yeniden yönlendirme (tam eşleşme kullanın), eksik state parametresi yoluyla CSRF, mobil cihazlarda kodun ele geçirilmesi (PKCE ile azaltılır), URL'lerde belirteç sızıntısı, çok sağlayıcılı kurulumlarda karıştırma (iss değerini doğrulayın), sunucu tarafından getirilen redirect_uri yoluyla SSRF, e-posta istemi çakışması (iss+sub kullanın), JWT algoritması karıştırması (beklenen alg değerini sabitleyin) ve sahte onay ekranları yoluyla kimlik avı.