Analiza ranjivosti protokola OAuth 2.0

master's thesis

• Title (english): OAuth 2.0 Protocol Vulnerability Analysis
• Author: Adrian Bijelić
• Mentor: Marin Vuković (mentor)
• Committee member: Marin Vuković (predsjednik povjerenstva)
• Committee member: Miljenko Mikuc (član povjerenstva)
• Committee member: Dragan Jevtić (član povjerenstva)
• Granter: University of Zagreb; Faculty of Electrical Engineering and Computing; Zagreb
• Defense date and country: 2020-07-08, Croatia
• Scientific / art field, discipline and subdiscipline: TECHNICAL SCIENCES; Computing

Abstract

OAuth je protokol definiran kao industrijski standard koji služi za autorizaciju. Zamišljen je kao jednostavna apstrakcija koja pruža autorizaciju za mnoge aplikacije. Apstrakcija dopušta različite tipove autorizacije. Postoji tako tip koji se temelji na autorizacijskom kodu, implicitni tip, tip koji se temelji na lozinki, tip koji se temelji na pristupnim podacima, tip koji se temelji na kodu uređaja i tip koji se temelji na osvježavajućem tokenu. Preporučeno je koristiti tip temeljen na autorizacijskom kodu jer je najsigurniji.
Kao i svaki drugi protokol, OAuth nije u potpunosti siguran. Ono što ga činim sigurnim jesu sustavi koji ga koriste. Dovoljan je jedan sustav koji je nesiguran kako bi čitav protokol bio nesiguran. Kako bi sigurnost bila bolja, na tržištu su se pojavile implementacije autorizacijskih poslužitelja koji koriste protokol OAuth. Ideja je takvih poslužitelja odvojiti funkcionalnost autorizacije i uz to održavati razinu sigurnosti. Jedan takav autorizacijski poslužitelj je Keycloak.
Problem je s klijentima koji i dalje ovise o implementaciji programera. Za napadača je dovoljan propust na klijentu, tako da sigurnost najviše ovisi o implementaciji klijenta, ali i o protokolima koji dohvaćaju kod klijenta na pretraživačima.

Abstract (english)

OAuth is a protocol defined as an industry standard used for authorization. It is designed as an abstraction for many applications that provides authorization. It allows for different types of authorization. There are authorization code, implicit, password, client credential, a device code, and a refresh token. It is recommended to use the type based on the authorization code because it is the most secure.
Like any other protocol, OAuth is not secure. Its security depends on the systems that use it. One insecure system is enough to make the whole protocol are insecure. To improve security, implementations of authorization servers using the OAuth protocol have appeared on the market. The idea of ​​such servers is to separate the authorization functionality and at the same time maintain the level of security. One such authorization server is Keycloak.
The problem remains with clients who still depend on the implementation of the developer. As other servers can be built using security plug-ins, security is most dependent on a client deployment. In addition to the client, another major threat is insecure protocols that retrieve the client.

• Keywords: Protokol; OAuth; ranjivost; napad; autorizacijski poslužitelj; Keycloak
• Keywords (english): Protocol; Auth; vulnerability; attack; authorization server; Keycloak
• Language: croatian
• URN:NBN: urn:nbn:hr:168:503528
• Study programme: Title: Computing; Study programme type: university; Study level: graduate; Academic / professional title: magistar/magistra inženjer/inženjerka računarstva (magistar/magistra inženjer/inženjerka računarstva)
• Type of resource: Text
• File origin: Born digital
• Access conditions: Closed access
• Created on: 2023-01-13 09:46:43