La Fundación OpenID ha lanzado un boletín de seguridad alertando de un error grave que permitiría a ciberatacantes modificar los datos de autenticación que facilita a los usuarios probar su identidad sin necesidad de crear un nombre de registro y una contraseña en cada página web.
Todos los sitios que hayan implementado el proyecto de código abierto OpenID 2.0 deberían ser revisados para detectar el agujero de seguridad y parchearlo de inmediato. Los administradores deben modificar el código de aplicación para aceptar sólo valores de atributos firmados, según explica la compañía.
Las aplicaciones que utilizan OpenID4Java son las más vulnerables, ya que son propensas a aceptar atributos sin firmar, por lo que habría que actualizar la última versión, 0.9.6, de la biblioteca de Java si se ésta está siendo utilizada. El Kay Framework utilizado por Google parchea este defecto en la versión 1.0.2.
Los investigadores descubrieron el problema en el Attribute Exchange de OpenID, una característica que permite a un sitio web recibir información sobre la identidad del usuario de un servidor autorizado. Algunos sitios no estaban confirmando que la información enviada por el intercambio de atributos estuviese firmada, lo que significa que serían incapaces de reconocer si un atacante modifica la información mientras ésta se encuentra en tránsito entre el servidor solicitante y el servidor de OpenID.
“Si el sitio sólo utiliza Atribute Exchange para recibir información de baja seguridad, como el género autofirmado del usuario, entonces probablemente no será un problema. Sin embargo, si se está utilizando para recibir información que sólo confía en el proveedor de identidad para confirmarlo, se crearía potencial para un ataque”, advierte la Fundación.
De momento no se ha detectado ningún robo de información, pero existe la amenaza de que un ciberdelincuente pueda usar el fallo para “modificar la información intercambiada entre las partes y suplantar a un usuario”, ganando acceso a su cuenta.
Añade funciones como la Importación de Modelos Personalizados, la Evaluación de Modelos y las Barreras…
Un 61 % de las organizaciones está aplicando cambios por la irrupción de las nuevas…
Inicia su camino como empresa independiente, especializada en soluciones de gestión de identidades y contraseñas.
Su salida se hará efectiva a partir del 31 de agosto. De ahí en adelante…
La compañía ha dado a conocer los resultados del primer trimestre de su ejercicio 2024.
La compañía suma tres trimestres consecutivo de ingresos récord en su negocio de QCT Automotive.
