La Fundación OpenID ha lanzado un boletín de seguridad alertando de un error grave que permitiría a ciberatacantes modificar los datos de autenticación que facilita a los usuarios probar su identidad sin necesidad de crear un nombre de registro y una contraseña en cada página web.
Todos los sitios que hayan implementado el proyecto de código abierto OpenID 2.0 deberían ser revisados para detectar el agujero de seguridad y parchearlo de inmediato. Los administradores deben modificar el código de aplicación para aceptar sólo valores de atributos firmados, según explica la compañía.
Las aplicaciones que utilizan OpenID4Java son las más vulnerables, ya que son propensas a aceptar atributos sin firmar, por lo que habría que actualizar la última versión, 0.9.6, de la biblioteca de Java si se ésta está siendo utilizada. El Kay Framework utilizado por Google parchea este defecto en la versión 1.0.2.
Los investigadores descubrieron el problema en el Attribute Exchange de OpenID, una característica que permite a un sitio web recibir información sobre la identidad del usuario de un servidor autorizado. Algunos sitios no estaban confirmando que la información enviada por el intercambio de atributos estuviese firmada, lo que significa que serían incapaces de reconocer si un atacante modifica la información mientras ésta se encuentra en tránsito entre el servidor solicitante y el servidor de OpenID.
“Si el sitio sólo utiliza Atribute Exchange para recibir información de baja seguridad, como el género autofirmado del usuario, entonces probablemente no será un problema. Sin embargo, si se está utilizando para recibir información que sólo confía en el proveedor de identidad para confirmarlo, se crearía potencial para un ataque”, advierte la Fundación.
De momento no se ha detectado ningún robo de información, pero existe la amenaza de que un ciberdelincuente pueda usar el fallo para “modificar la información intercambiada entre las partes y suplantar a un usuario”, ganando acceso a su cuenta.
Ofrece hasta 1 millón de dólares de compensación económica en caso de incidente, con la…
Este cambio refleja los avances que se producen a nivel de infraestructura TI y el…
El evento espera reunir a 17.000 directivos, que podrán escuchar a medio centenar expertos en…
Como resultado de esta operación, ampliará sus servicios en el "bronze layer" del ciclo de…
Durante el segundo trimestre de su año fiscal 2025 acumuló 1.660 millones de dólares, la…
También incluye un SDK open source para potencia el desarrollo de aplicaciones y agentes, especialmente…
