E 'possibile analizzare i veri messaggi SSO (Single Sign-On) tramite lo sniffing della rete?

Naviga le tue risposte
0

Sto pensando a come ottenere e analizzare le informazioni nei veri messaggi SSO (richiesta / risposta), per alcune soluzioni SSO commerciali.

La sfida è che la maggior parte delle soluzioni SSO commerciali sono black-box o gray-box. Conosco i protocolli OpenID / SAML. Sulla base di questi standard, i fornitori SSO (idps) hanno personalizzato le proprie soluzioni SSO, come SSO di Google ID, SSO di accesso Paypal, SSO di Facebook Connect e molti altri.

  1. Poiché il token / asserzione SSO viene trasmesso attraverso la rete, è possibile analizzarli (messaggi SSO di richiesta / risposta) con l'aiuto dello sniffing della rete?

  2. So che molti di loro sono già crittografati da TLS / HTTPS. È possibile trasformarli in HTTP e analizzare?

  3. Qualunque altra metodologia può aiutare l'analisi SSO commerciale, tranne cercare online white paper ufficiali? Ad esempio, analisi basata su browser.

posta Li Dong 01.03.2017 - 03:48
fonte

1 risposta

3

Ci sono due tipi di dati in un sistema SSO: dati che un utente finale può vedere e dati che sono nascosti all'utente finale. Se il sistema è progettato correttamente, non esiste una terza categoria (cioè non ci sono dati nascosti ma ottenibili tramite sniffing).

Ci sono molti sistemi SSO in cui il 100% del trasferimento dei dati è fatto proprio sotto i tuoi occhi, nel browser. Se hai Chrome puoi premere F12 e vedere tutto il traffico. Non è necessario sniffarlo o decodificarlo perché si è l'utente corretto e il proprio browser ha la chiave di sessione crittografica. Con questo metodo, è possibile visualizzare spesso richieste SAML, risposte e asserzioni che passano direttamente attraverso il browser tramite post script e reindirizzamenti.

Ma in alcuni sistemi ci sono dati che sono nascosti, in due modi. (1) I dati continuano a scorrere attraverso il browser, ma sono crittografati (ad esempio un cookie di sessione contenente un token bearer crittografato) e (2) i dati che fluiscono attraverso un canale posteriore (ad esempio se viene stabilita una VPN privata tra il server di identità e il server delle applicazioni). Nel primo caso, non sarà possibile accedere ai dati a meno che la loro crittografia non sia stata interrotta. In quest'ultimo caso, il tuo browser potrebbe utilizzare token che non hanno alcun significato perché sono puntatori in un archivio dati che non puoi vedere.

In tutti i casi, lo sniffing del traffico di rete non ti procurerà nulla che non puoi ottenere con facilità.

    
risposta data 01.03.2017 - 09:22
fonte

Leggi altre domande sui tag

Problemi di comprensione SAQ Una domanda 12.8.5 Sfruttare uno script di avvio Linux che sia scrivibile in tutto il mondo