La Fundación OpenID advierte de un error de autenticación
El mecanismo Attribute Exchange, que permite una forma de inicio de sesión única para varios sitios web, podría haberse implementado de manera incorrecta. La Fundación recomienda actualizar la versión 0.9.6 de la biblioteca de Java para parchear el problema.
La Fundación OpenID ha lanzado un boletín de seguridad alertando de un error grave que permitiría a ciberatacantes modificar los datos de autenticación que facilita a los usuarios probar su identidad sin necesidad de crear un nombre de registro y una contraseña en cada página web.
Todos los sitios que hayan implementado el proyecto de código abierto OpenID 2.0 deberían ser revisados para detectar el agujero de seguridad y parchearlo de inmediato. Los administradores deben modificar el código de aplicación para aceptar sólo valores de atributos firmados, según explica la compañía.
Las aplicaciones que utilizan OpenID4Java son las más vulnerables, ya que son propensas a aceptar atributos sin firmar, por lo que habría que actualizar la última versión, 0.9.6, de la biblioteca de Java si se ésta está siendo utilizada. El Kay Framework utilizado por Google parchea este defecto en la versión 1.0.2.
Los investigadores descubrieron el problema en el Attribute Exchange de OpenID, una característica que permite a un sitio web recibir información sobre la identidad del usuario de un servidor autorizado. Algunos sitios no estaban confirmando que la información enviada por el intercambio de atributos estuviese firmada, lo que significa que serían incapaces de reconocer si un atacante modifica la información mientras ésta se encuentra en tránsito entre el servidor solicitante y el servidor de OpenID.
“Si el sitio sólo utiliza Atribute Exchange para recibir información de baja seguridad, como el género autofirmado del usuario, entonces probablemente no será un problema. Sin embargo, si se está utilizando para recibir información que sólo confía en el proveedor de identidad para confirmarlo, se crearía potencial para un ataque”, advierte la Fundación.
De momento no se ha detectado ningún robo de información, pero existe la amenaza de que un ciberdelincuente pueda usar el fallo para “modificar la información intercambiada entre las partes y suplantar a un usuario”, ganando acceso a su cuenta.
