Quali sono i rischi nello specificare localhost come "Origine Javascript autorizzata" in una configurazione OAuth

Question

Quali sono i rischi nello specificare localhost come "Origine Javascript autorizzata" in una configurazione OAuth

#1 da (2 voti)

0

La mia applicazione utilizza OAuth di Google per l'autenticazione degli utenti. Per scopi di sviluppo / debug voglio essere in grado di eseguirlo localmente (sulla mia macchina dev.). Per far funzionare la funzionalità di accesso OAuth in questa modalità, posso configurare OAuth in modo che http://localhost:<some_port> sia autorizzato come origine autorizzata (vedi screenshot, sotto).

Le mie domande:

Quali sono le implicazioni per la sicurezza di questo?
Ci sono altri modi per riuscirci? (Credo di poter eseguire un proxy forward locale ma non sono sicuro di come farlo funzionare con HTTPS)

oauth

posta Itay Maman 16.09.2018 - 09:52

fonte

1 risposta

Leggi altre domande sui tag oauth

I rischi di condividere più codici TOTP vecchi? Come consegnare un'applicazione a diversi client con un singolo certificato SSL attendibile? [duplicare]

score 2 · Answer 1

Generalmente significa che si può ingannare Google (o un altro server di autorizzazione) per inviare un token di autenticazione valido a localhost, dal punto di vista del client.
Supponendo che per quel client "localhost" si risolva sempre in un indirizzo 127/8 e che questi vengano gestiti su un'interfaccia locale; se un altro processo è in ascolto su quella porta, potrebbe essere in grado di rubare quel token.

Se, in qualche modo, con una particolare configurazione la tua macchina proverebbe ad aggiungere il tuo dominio (ad es. .dominio.com ) alla query "localhost"; qualcuno potrebbe avvelenarlo e tu invierai il tuo token di autenticazione a un host arbitrario.