Analiza ranjivosti protokola OAuth 2.0

diplomski rad

• Naslov (engleski): OAuth 2.0 Protocol Vulnerability Analysis
• Autor: Adrian Bijelić
• Mentor: Marin Vuković (mentor)
• Član povjerenstva: Marin Vuković (predsjednik povjerenstva)
• Član povjerenstva: Miljenko Mikuc (član povjerenstva)
• Član povjerenstva: Dragan Jevtić (član povjerenstva)
• Ustanova koja je dodijelila akademski / stručni stupanj: Sveučilište u Zagrebu; Fakultet elektrotehnike i računarstva; Zagreb
• Datum i država obrane: 2020-07-08, Hrvatska
• Znanstveno / umjetničko područje, polje i grana: TEHNIČKE ZNANOSTI; Računarstvo

Sažetak

OAuth je protokol definiran kao industrijski standard koji služi za autorizaciju. Zamišljen je kao jednostavna apstrakcija koja pruža autorizaciju za mnoge aplikacije. Apstrakcija dopušta različite tipove autorizacije. Postoji tako tip koji se temelji na autorizacijskom kodu, implicitni tip, tip koji se temelji na lozinki, tip koji se temelji na pristupnim podacima, tip koji se temelji na kodu uređaja i tip koji se temelji na osvježavajućem tokenu. Preporučeno je koristiti tip temeljen na autorizacijskom kodu jer je najsigurniji.
Kao i svaki drugi protokol, OAuth nije u potpunosti siguran. Ono što ga činim sigurnim jesu sustavi koji ga koriste. Dovoljan je jedan sustav koji je nesiguran kako bi čitav protokol bio nesiguran. Kako bi sigurnost bila bolja, na tržištu su se pojavile implementacije autorizacijskih poslužitelja koji koriste protokol OAuth. Ideja je takvih poslužitelja odvojiti funkcionalnost autorizacije i uz to održavati razinu sigurnosti. Jedan takav autorizacijski poslužitelj je Keycloak.
Problem je s klijentima koji i dalje ovise o implementaciji programera. Za napadača je dovoljan propust na klijentu, tako da sigurnost najviše ovisi o implementaciji klijenta, ali i o protokolima koji dohvaćaju kod klijenta na pretraživačima.

Sažetak (engleski)

OAuth is a protocol defined as an industry standard used for authorization. It is designed as an abstraction for many applications that provides authorization. It allows for different types of authorization. There are authorization code, implicit, password, client credential, a device code, and a refresh token. It is recommended to use the type based on the authorization code because it is the most secure.
Like any other protocol, OAuth is not secure. Its security depends on the systems that use it. One insecure system is enough to make the whole protocol are insecure. To improve security, implementations of authorization servers using the OAuth protocol have appeared on the market. The idea of ​​such servers is to separate the authorization functionality and at the same time maintain the level of security. One such authorization server is Keycloak.
The problem remains with clients who still depend on the implementation of the developer. As other servers can be built using security plug-ins, security is most dependent on a client deployment. In addition to the client, another major threat is insecure protocols that retrieve the client.

• Ključne riječi: Protokol; OAuth; ranjivost; napad; autorizacijski poslužitelj; Keycloak
• Ključne riječi (engleski): Protocol; Auth; vulnerability; attack; authorization server; Keycloak
• Jezik: hrvatski
• URN:NBN: urn:nbn:hr:168:503528
• Studijski program: Naziv: Računarstvo; Vrsta studija: sveučilišni; Stupanj studija: diplomski; Akademski / stručni naziv: magistar/magistra inženjer/inženjerka računarstva (mag.ing.comp.)
• Vrsta resursa: Tekst
• Način izrade datoteke: Izvorno digitalna
• Prava pristupa: Zatvoreni pristup
• Datum i vrijeme pohrane: 2023-01-13 09:46:43