level secret key generated by RP. T

level secret key generated by RP. Token t1 is used to ensure the Login Request is originated from the RP itself.

2. Upon receiving a Login Request, RP computes t10 ¼ HMAC(sid,kRP) and checks whether t10 ¼ t1 from the request. If it is, then RP initiates an Auth Request with parameter t2 ¼ HMAC(sid.idp.i.h.r, kRP) appended to the return_to URL of the Auth request.

3. Upon receiving an Auth Response, RP extracts t2 from the return_to URL, computes t20 ¼ HMAC(sid.idp.i.h.r, kRP), and checks whether t20 ¼ t2 in addition to the Auth Response signature validation.

Our Web attacker defense mechanism is stateless, and designed to be implemented completely on the RP server-side. In addition, all required cryptographic functions (i.e., HMAC) and data (i.e., Auth Request and session cookie) are readily accessible to the RP. The mitigation approach uses an HMAC function to bind the session identifier to the protocol messages in order to provide contextual binding and ensure the integrity and authenticity of the authentication request. Using an HMAC code as a validation token avoids the expo-sure of the session identifier, and prevents an attacker who learned the token from inferring with the user’s session identifier. In addition, for RPs that support an OpenID exten-sion, the extension request parameters can be included in the return_to URL to be protected by the defense mechanism.


Most web application development frameworks support automatic session management, which makes the session identifier readily accessible to the RP implementation. Web-sites that do not issue a session before authentication need to initiate an “unauthenticated” session (including setting the session cookie) before rendering the login form, and then switch to an authenticated session with a new session iden-tifier after a valid assertion is received. Also note that the OpenID protocol 2.0 allows an end user to enter an IdP’s OpenID Identifier (e.g., "https://yahoo.com"; for Yahoo) instead of her OpenID. When an IdP Identifier is entered, the i in the Auth Request is a constant string15 defined by the OpenID, and the i in the Auth Response is the user’s OpenID URL. In this case, RP has to use the constant identifier defined by the OpenID when initiating an Auth Request in Step 2, and computing t20 in Step 3.



Our defense mechanism prevents SSO CSRF via Login Request attacks (attacks A1 and A2) as an attacker is not able to compute the validation token t1 without knowing the session identifier and the RP’s secret key. SSO CSRF via Auth Request (A3) and session swapping (A4) attacks are mitigated as well, because the session identifier in the attacker’s browser session is different from the one in the victim’s browser. In addition, the integrity of Auth Request is guaranteed (A5) as the Auth Request is accompanied by an HMAC, and any modification to the Auth Request would be detected in Step 3. Impersonation attacks via an intercepted Auth Response (A6) can be pre-vented when the communication between the browser and the RP website is SSL-protected. However, SSL imposes unwanted side-effects such as computation overhead, non-cacheable latency, and mixed content warnings. In addition, even if the login process is protected by SSL, if the attacker


15 http://specs.openid.net/auth/2.0/identifier_select.



manages to find the session cookie in a subsequent commu-nication that is not secured by HTTPS (e.g., pages, graphics, JavaScripts, style sheets), the attacker could use the eaves-dropped session cookie to impersonate the victim for the length of the session. We found that only 19% of RP websites in our evaluation employed SSL, and 84% of them were vulnerable to session hijacking via an eavesdropped session cookie after login. This speaks to the need for an alternative defense mechanism to prevent impersonation attacks without requiring SSL employed by RPs.




7.2. The MITM countermeasure

The stateless nature of the HTTP protocol makes it difficult to be sure if two HTTP requests originated from the same client. Web applications typically use browser cookies to identify each instance of their browser clients. However, without the confidentiality and integrity protections provided by SSL, browser cookies can be eavesdropped on or altered by network attackers. In the case of the OpenID protocol, an MITM network attacker can intercept an Auth Response with the corresponding session cookie, and then replay them from a browser agent controlled by the attacker in order to imper-sonate the victim. Moreover, even if the login process is completely secured by SSL, if the session identifier is revealed in any of the subsequent HTTP requests, a passive network attacker can simply eavesdrop on the session identifier to hijack the session after the user has successfully logged into the RP website. One intuitive solution to the session identifier eavesdropping problem is to associate web sessions with the user’s IP address at the time of session ini

Kết quả (Việt) 1:

cấp khóa bí mật được tạo ra bởi RP. Token t1 được dùng để đảm bảo yêu cầu đăng nhập có nguồn gốc từ RP chính nó.2. sau khi nhận được yêu cầu đăng nhập, RP tính t10 ¼ HMAC(sid,kRP) và kiểm tra cho dù t10 ¼ t1 từ yêu cầu. Nếu có, sau đó RP sẽ khởi tạo một yêu cầu Auth với tham số t2 ¼ HMAC (sid.idp.i.h.r, kRP) nối vào URL return_to yêu cầu Auth.3. sau khi nhận được một phản ứng Auth, RP chất chiết xuất từ t2 với URL của return_to, tính t20 ¼ HMAC (sid.idp.i.h.r, kRP), và kiểm tra cho dù t20 ¼ t2 ngoài xác nhận chữ ký Auth phản ứng.Chúng tôi được phép trong cơ chế bảo vệ kẻ tấn công của trang Web là stateless, và thiết kế được thực hiện hoàn toàn trên RP server-side. Ngoài ra, tất cả các yêu cầu chức năng mã hóa (ví dụ, HMAC) và dữ liệu (tức là, Auth yêu cầu phiên cookie và) có thể truy cập dễ dàng để RP. Phương pháp giảm nhẹ sử dụng một chức năng HMAC liên kết nhận dạng phiên với các giao thức tin nhắn để cung cấp ngữ cảnh ràng buộc và đảm bảo sự toàn vẹn và tính xác thực của yêu cầu xác thực. Bằng cách sử dụng một mã số HMAC như là một mã thông báo xác nhận tránh expo-chắc chắn về nhận dạng phiên, và ngăn chặn kẻ tấn công những người học được kỷ niệm từ suy luận với ký hiệu nhận dạng phiên làm việc của người dùng. Ngoài ra, cho RPs hỗ trợ một OpenID exten-sion, các thông số yêu cầu mở rộng có thể được bao gồm trong URL return_to được bảo vệ bởi cơ chế bảo vệ.Most web application development frameworks support automatic session management, which makes the session identifier readily accessible to the RP implementation. Web-sites that do not issue a session before authentication need to initiate an “unauthenticated” session (including setting the session cookie) before rendering the login form, and then switch to an authenticated session with a new session iden-tifier after a valid assertion is received. Also note that the OpenID protocol 2.0 allows an end user to enter an IdP’s OpenID Identifier (e.g., "https://yahoo.com"; for Yahoo) instead of her OpenID. When an IdP Identifier is entered, the i in the Auth Request is a constant string15 defined by the OpenID, and the i in the Auth Response is the user’s OpenID URL. In this case, RP has to use the constant identifier defined by the OpenID when initiating an Auth Request in Step 2, and computing t20 in Step 3.Cơ chế bảo vệ của chúng tôi ngăn SSO CSRF thông qua đăng nhập yêu cầu các cuộc tấn công (cuộc tấn công A1 và A2) là một kẻ tấn công không thể tính toán t1 mã thông báo xác nhận mà không cần biết ký hiệu nhận dạng phiên và khóa bí mật của RP, cũng không phải là. SSO CSRF Auth Request (A3) và buổi trao đổi (A4) các cuộc tấn công được giảm nhẹ là tốt, bởi vì các định danh phiên phiên trình duyệt của kẻ tấn công là khác nhau từ một trong trình duyệt của nạn nhân. Ngoài ra, sự toàn vẹn của Auth yêu cầu được đảm bảo (A5) như yêu cầu Auth được đi kèm với một HMAC, và sửa đổi bất kỳ yêu cầu Auth sẽ được phát hiện ở bước 3. Mạo danh tấn công thông qua một phản ứng Auth chặn (A6) này có thể được huyệt trước khi liên lạc giữa các trình duyệt và trang web RP vệ SSL. Tuy nhiên, SSL áp đặt các tác dụng phụ không mong muốn chẳng hạn như tính toán trên cao, độ trễ không cacheable và cảnh báo nội dung hỗn hợp. Ngoài ra, ngay cả khi quá trình đăng nhập được bảo vệ bởi SSL, nếu kẻ tấn công15 http://specs.openid.net/auth/2.0/identifier_select. quản lý để tìm thấy phiên cookie trong một commu tiếp theo-nication mà không được bảo đảm bằng HTTPS (ví dụ, trang web, đồ họa, mã thành, phong cách sheets), những kẻ tấn công có thể sử dụng gỗ bỏ phiên cookie mạo danh nạn nhân cho chiều dài của phiên. Chúng tôi thấy rằng chỉ có 19% RP các trang web trong đánh giá của chúng tôi sử dụng SSL, và 84% trong số họ đã được dễ bị tấn công phiên làm việc thông qua một cookie phiên eavesdropped sau khi đăng nhập. Điều này nói đến sự cần thiết cho một cơ chế bảo vệ thay thế để ngăn ngừa tấn công mạo danh mà không yêu cầu SSL sử dụng bởi RPs.7.2. countermeasure MITMStateless tính chất của giao thức HTTP làm cho nó khó khăn để chắc chắn rằng nếu hai yêu cầu HTTP có nguồn gốc từ các khách hàng tương tự. Ứng dụng web thường sử dụng các cookie của trình duyệt để xác định mỗi trường hợp của khách hàng trình duyệt của họ. Tuy nhiên, không có tính bảo mật và bảo vệ tính toàn vẹn được cung cấp bởi SSL, cookie của trình duyệt có thể được eavesdropped trên hoặc bị thay đổi bởi những kẻ tấn công mạng. Trong trường hợp các giao thức OpenID, kẻ tấn công mạng MITM có thể ngăn chặn một phản ứng Auth với cookie phiên tương ứng, và sau đó phát lại chúng từ một đại lý trình duyệt điều khiển bởi những kẻ tấn công để imper sonate các nạn nhân. Hơn nữa, ngay cả khi quá trình đăng nhập hoàn toàn được bảo đảm bằng SSL, nếu nhận dạng phiên được tiết lộ trong bất kỳ của các yêu cầu HTTP sau đó, kẻ tấn công mạng thụ động có thể chỉ đơn giản là nghe lén trên nhận dạng phiên cướp phiên làm việc sau khi người dùng đã đăng nhập thành công vào trang web RP. Một giải pháp trực quan để nhận dạng phiên eavesdropping vấn đề là liên kết web buổi với địa chỉ IP của người dùng tại thời điểm phiên ini

Kết quả (Việt) 2:

khóa bí mật mức tạo ra bởi RP. T1 Mã được sử dụng để đảm bảo các yêu cầu nhập có nguồn gốc từ RP chính nó.

2. Khi nhận được yêu cầu đăng nhập, RP tính t10 ¼ HMAC (sid, KRP) và kiểm tra xem t10 ¼ t1 từ yêu cầu. Nếu có, sau đó RP khởi tạo một yêu cầu với tham số t2 Auth ¼ HMAC (sid.idp.ihr, KRP) nối vào URL return_to của yêu cầu Auth.

3. Khi nhận được một phản ứng Auth, RP chiết xuất t2 từ URL return_to, tính T20 ¼ HMAC (sid.idp.ihr, KRP), và kiểm tra xem T20 ¼ t2 ngoài việc xác nhận chữ ký Auth Response.

Cơ chế tấn công phòng thủ Web của chúng tôi là quốc tịch , và được thiết kế để được thực hiện hoàn toàn trên RP phía máy chủ. Ngoài ra, tất cả các chức năng cần thiết mật mã (tức là, HMAC) và dữ liệu (ví dụ, Auth Yêu cầu và cookie phiên) là dễ dàng truy cập đến các RP. Phương pháp giảm thiểu sử dụng một chức năng HMAC để ràng buộc các định danh phiên với những thông điệp giao thức để cung cấp ngữ cảnh ràng buộc và đảm bảo tính toàn vẹn và tính xác thực của các yêu cầu xác thực. Sử dụng một mã HMAC là một mã thông báo xác tránh các hội chợ, chắc chắn của các định danh phiên, và ngăn chặn một kẻ tấn công biết được dấu hiệu suy luận với định danh phiên làm việc của người dùng. Ngoài ra, đối với RP có hỗ trợ một OpenID exten-sion, các thông số yêu cầu mở rộng có thể được bao gồm trong URL return_to được bảo vệ bởi cơ chế bảo vệ.


Hầu hết các khuôn khổ phát triển ứng dụng web hỗ trợ quản lý phiên tự động, mà làm cho các định danh phiên dễ dàng truy cập đến việc thực hiện RP. Các trang web mà không phát hành một phiên trước khi xác thực cần để bắt đầu một "xác thực" phiên (bao gồm thiết lập các cookie phiên) trước khi vẽ các hình thức đăng nhập, và sau đó chuyển sang một phiên chứng thực với một phiên iDEN-tifier mới sau khi một sự khẳng định giá trị là nhận được. Cũng lưu ý rằng giao thức OpenID 2.0 cho phép người dùng cuối để nhập OpenID định danh của một IdP (ví dụ, "https://yahoo.com"; cho Yahoo) thay vì OpenID cô. Khi một IdP Nhận dạng được nhập vào, i trong Yêu cầu Auth là một string15 hằng số được xác định bởi các OpenID, và tôi trong những đáp ứng Auth là URL OpenID của người dùng. Trong trường hợp này, RP phải sử dụng tên hằng số được xác định bởi các OpenID khi bắt đầu một yêu cầu Auth trong Bước 2, và tính toán T20 trong Bước 3.



cơ chế bảo vệ của chúng tôi ngăn SSO CSRF qua các cuộc tấn công Login Request (tấn công A1 và A2) như kẻ tấn công là không thể tính toán xác nhận t1 thẻ mà không biết nhận dạng phiên và khóa bí mật của RP. SSO CSRF qua Auth Request (A3) và tấn công phiên trao đổi (A4) được giảm nhẹ là tốt, bởi vì các định danh phiên trong phiên trình duyệt của kẻ tấn công là khác nhau từ một trong trình duyệt của nạn nhân. Ngoài ra, sự toàn vẹn của Auth Yêu cầu được đảm bảo (A5) là yêu cầu Auth được đi kèm bởi một HMAC, và bất kỳ sự sửa đổi để yêu cầu xác thực sẽ được phát hiện trong Bước 3. tấn công mạo danh qua một Auth ứng chặn (A6) có thể được cài -vented khi giao tiếp giữa các trình duyệt và các trang web của RP là bảo vệ bằng SSL. Tuy nhiên, SSL áp đặt không mong muốn các tác dụng phụ như trên không tính toán, độ trễ không cache, và cảnh báo nội dung hỗn hợp. Ngoài ra, ngay cả khi quá trình đăng nhập được bảo vệ bởi SSL, nếu kẻ tấn công


15 http://specs.openid.net/auth/2.0/identifier_select.



Quản lý để tìm các cookie phiên trong một commu-thông tin dữ liệu tiếp theo mà không được bảo đảm bằng HTTPS (ví dụ, các trang, đồ họa, JavaScripts, style sheets), kẻ tấn công có thể sử dụng các cookie phiên mái hiên-giảm mạo danh các nạn nhân cho chiều dài của phiên. Chúng tôi thấy rằng chỉ có 19% các trang web RP trong đánh giá của chúng tôi sử dụng SSL, và 84% trong số họ đã bị tổn thương đến việc cướp quyền thông qua một cookie phiên nghe trộm sau khi đăng nhập. Điều này nói lên sự cần thiết cho một cơ chế bảo vệ thay thế để ngăn chặn các cuộc tấn công mạo danh mà không đòi hỏi SSL làm việc RP.




7.2. Các biện pháp đối phó MITM

Bản chất phi trạng thái của giao thức HTTP làm cho nó khó để đảm bảo nếu hai yêu cầu HTTP có nguồn gốc từ cùng một khách hàng. Các ứng dụng Web thường sử dụng cookie của trình duyệt để xác định từng trường hợp của khách hàng trình duyệt của họ. Tuy nhiên, nếu không có sự bảo vệ bí mật và toàn vẹn được cung cấp bởi SSL, cookie của trình duyệt có thể nghe trộm hoặc bị thay đổi bởi những kẻ tấn công mạng. Trong trường hợp của các giao thức OpenID, một kẻ tấn công mạng MITM có thể đánh chặn một đáp ứng với các cookie phiên tương ứng Auth, và sau đó phát lại chúng từ một đại lý của trình duyệt điều khiển bởi những kẻ tấn công để IMPER-Sonate nạn nhân. Hơn nữa, ngay cả khi quá trình đăng nhập là hoàn toàn được bảo đảm bằng SSL, nếu các định danh phiên được tiết lộ trong bất kỳ các yêu cầu HTTP tiếp theo, một kẻ tấn công mạng thụ động có thể chỉ đơn giản là nghe lén các định danh phiên để chiếm quyền điều khiển phiên họp sau khi người dùng đã đăng nhập thành công vào RP website. Một giải pháp trực quan để các vấn đề phiên định danh nghe trộm là để liên kết phiên web với địa chỉ IP của người dùng tại thời điểm phiên ini