La Fundación OpenID ha lanzado un boletín de seguridad alertando de un error grave que permitiría a ciberatacantes modificar los datos de autenticación que facilita a los usuarios probar su identidad sin necesidad de crear un nombre de registro y una contraseña en cada página web.
Todos los sitios que hayan implementado el proyecto de código abierto OpenID 2.0 deberían ser revisados para detectar el agujero de seguridad y parchearlo de inmediato. Los administradores deben modificar el código de aplicación para aceptar sólo valores de atributos firmados, según explica la compañía.
Las aplicaciones que utilizan OpenID4Java son las más vulnerables, ya que son propensas a aceptar atributos sin firmar, por lo que habría que actualizar la última versión, 0.9.6, de la biblioteca de Java si se ésta está siendo utilizada. El Kay Framework utilizado por Google parchea este defecto en la versión 1.0.2.
Los investigadores descubrieron el problema en el Attribute Exchange de OpenID, una característica que permite a un sitio web recibir información sobre la identidad del usuario de un servidor autorizado. Algunos sitios no estaban confirmando que la información enviada por el intercambio de atributos estuviese firmada, lo que significa que serían incapaces de reconocer si un atacante modifica la información mientras ésta se encuentra en tránsito entre el servidor solicitante y el servidor de OpenID.
“Si el sitio sólo utiliza Atribute Exchange para recibir información de baja seguridad, como el género autofirmado del usuario, entonces probablemente no será un problema. Sin embargo, si se está utilizando para recibir información que sólo confía en el proveedor de identidad para confirmarlo, se crearía potencial para un ataque”, advierte la Fundación.
De momento no se ha detectado ningún robo de información, pero existe la amenaza de que un ciberdelincuente pueda usar el fallo para “modificar la información intercambiada entre las partes y suplantar a un usuario”, ganando acceso a su cuenta.
Los mensajes RCS ofrecen muchas más posibilidades que los SMS, pero también abren la puerta…
Acompañará a las empresas en sus procesos de equipamiento, desde la elección del hardware hasta…
Juntos, trabajarán en la formación y la actualización de habilidades para que los consejeros impulsen…
Este dispositivo incluye entre sus especificaciones procesador Intel Core Ultra (Serie 2) y botón Copilot.
Ya cuenta en su poder con más del 90 % de las acciones del proveedor…
Los actuales consejeros delegados, Raphael Erb y Melissa Mulholland, se convertirán en co-CEOs de la…
