Il provider di autenticazione X viene utilizzato da molti siti Web non correlati come A, B e C come provider di autenticazione (esclusivo). X per questo fornisce un framework per l'athentification che include un modulo di login tramite un iframe nel sito web di A (o B / C) in cui l'utente inserisce le proprie credenziali. (A / B / C sono ospitati sotto il proprio dominio, non correlato.) Quindi l'utente fa clic su login e se le credenziali per X sono corrette, è autenticato per il sito Web A (o B / C). In alternativa, può fare clic per aprire una nuova finestra da un URL dal sito Web X e inserire le sue credenziali lì (deve farlo per ogni accesso).
A mio parere un utente malintenzionato potrebbe creare un sito web come un forum di gioco G fingendo di usare X per l'autenticazione e falsificare l'iframe e inviare le credenziali immesse dall'utente U al proprio server e utilizzare le credenziali di U per autentificarsi da A / B / C come U. U non ha idea che saranno usati per autentificare contro A e non contro G poiché sono gli stessi e A e G non sono correlati.
Ho detto a X di questo, ma hanno semplicemente risposto che inserire le credenziali al di fuori del proprio sito web (al di fuori include l'iframe) sarebbe contrario ai loro termini di utilizzo ma dovrebbe usare la nuova versione della finestra e quindi non la considerano un buco di sicurezza. Non importa che li abbia mostrati provi che nessuno ha usato la nuova versione della finestra negli ultimi mesi (compreso il proprio staff).
Quindi voglio sapere se c'è una linea guida se questo è considerato (in) sicuro?
(X è usato principalmente dai siti web nelle aree di HIPA, dati finanziari, informazioni personali sensibili e X si promuove come molto sicuro per quelle ma anche aree normali)
Modifica: non voglio usare il framework ma sono un utente (forzato) come molti altri dei siti web A e B e i dati su di me sono archiviati in C e preoccupati per la mia sicurezza e la sicurezza dei miei dati .