| +22 голоса |
|
«Облачные» службы, онлайновые CRM, е-магазины — ежедневно пользователю приходится обращаться на множество ресурсов, требующих идентификации. Для упрощения этой задачи созданы Sign-On (SSO) системы — технологии, которые позволяют переходить из одного раздела портала в другой без повторной аутентификации. Но, как показывают исследования ученых Университета Рура в Бохуме (Ruhr-Universität Bochum, Германия), SSO на основе индустриального стандарта SAML в 80% случаев уязвимы.
Дело в том, что идентификационные данные хранятся в сообщении SAML, защищенном цифровой подписью. А новая техника XML Signature Wrapping позволяет цифровую подпись легко обойти, таким образом, злоумышленник может выдать себя за любого пользователя. Ученые из Бохума предложили собственный инструмент проверки надежности и провели детальный анализ 14 наиболее распространенных систем SSO на основе SAML, и 12 из них, в том числе Salesforce, IBM Datapower, Onelogin (используется как дополнительный модель в Joomla, Wordpress, SugarCRM, и Drupal) и OpenSAML (применяется в Shibboleth и SuisseID) оказались уязвимыми. Как выяснилось, предложенная ими схема и инструментарий проверки одновременно позволяют принять эффективные контрмеры для защиты SSO.
Результаты исследований были представлены 10 августа 2012 г. на USENIX Security Symposium (Вашингтон, США).
Стратегія охолодження ЦОД для епохи AI
| +22 голоса |
|
