Kab lus no yuav cuam tshuam nrog cov tsis muaj peev xwm paub tau zoo OAuth tsis zoo. Cov nyeem tseem yuav kawm txog kev tso cai kev nyab xeeb thiab nyab xeeb rau hauv daim ntawv thov web.
Oauth yog ib txoj kev cai txhim khu kev qha, tab sis nws qib kev ruaj ntseg nyob ntawm qhov kev paub ntawm lub web tsim tawm thaum siv kev tso cai. Qhov no ua rau cov ncauj lus no tseem ceeb heev rau cov kws tshaj lij cov ntaub ntawv. Lawv yuav tsum tau muab qib siab ntawm kev tiv thaiv ntawm lawv cov neeg siv. Nws yog lub sijhawm tau txais kev paub txog cov kws ua txuj muaj txiaj ntsig uas yuav pab txo cov kev txaus ntshai ntawm kev tsis zoo ntawm kev tsis zoo ntawm oAuth.
Lub hauv paus rau phau ntawvOAuth 2.0 raws tu qauv tam sim no siv dav hauv ntau yam kev siv. Siv nws, cov neeg siv khoom siv yooj yim muaj, kev tso cai yooj yim thiab kev tso cai piv rau cov qauv ib txwm ua rau nkag mus rau tus username thiab password. Nrog rau kev tsim nyog thiab txawj ua, Oauth raws tu qauv yuav muaj kev nyab xeeb dua li kev tso cai ua ib qho kev tso cai ua ke nrog cov ntaub ntawv thov kev sib koom tes nrog cov khoom siv thib peb. Cov neeg siv feem ntau nyiam nkag mus siv lawv cov nyiaj Google, Facebook lossis LinkedIn, es tsis txhob tsim tus account tshiab txhua zaus koj xav tau sau npe rau qee lub Vev xaib. Yog li, Oauth raws txoj cai loj dua peb lub neej.
Feem ntau, cov muab kev pabcuam nrov OAshr cov kws kho mob yog qhov ntseeg tau heev. Nkag mus nrog Google lossis Facebook Account txhawb cov kev nkag siab ntawm kev ruaj ntseg, thiab nws yog qhov tseeb. Cov txheej txheem ua tib zoo sim los ntawm cov kws tshaj lij. Txhua yam khoom muaj qhov tsis zoo yog qhov kho tau sai sai los ntawm pab neeg tsim kev tsim tawm. Txawm li cas los xij, nws yog tsim nyog sau cia tias qhov kev xav ntawm kev nyab xeeb ua tiav yuav tsis muaj tseeb.
OAThrome cov kws muab kev pabcuam tawm sab laug daim ntawv thov tsim tawm ntau yam laj thawj kom tawm tsam kev nyab xeeb ntawm lawv cov kev pabcuam. Qhov tseeb, qhov pib tiv thaiv oAuth service, siv tsis raug nyob rau hauv cov txheej txheem ntawm nws cov kev teeb tsa, tuaj yeem dhau los ua lub hom phiaj yooj yim rau cov neeg nkag mus. Xws li kev zam txim siab yuav ua rau cov tub sab ntawm cov ntaub ntawv ntawm tus kheej.
Tom ntej no, koj yuav tsum xav txog cov kev thov tshwj xeeb tshaj plaws hauv cov ntawv thov thib peb uas siv cov qauv tswj hwm OAUTCOL kom tso cai rau lawv cov neeg siv. Nws yuav tsum nco ntsoov tias cov qauv nws tus kheej muaj kev nyab xeeb thiab txhim khu kev qha. Tsuas yog tom qab kev siv tsis raug, nws dhau los ua neeg tsis muaj kev tawm tsam.
Oauth tockey tub sab uas siv cov neeg xa khoomThaum daim ntawv thov kev tso cai sawv cev ntawm tus neeg siv ntawm OAuth Server, tus neeg tau txais cov cai sau thiab xa rov qab rau nws cov tshev tom qab. Yog tias thaum lub sijhawm ua haujlwm uas tus neeg siv yuav raug xa mus rau lwm nplooj ntawv, tus lej yuav pom hauv qhov "xa mus rau HTTP thov. Yog li, tus lej yuav poob ntawm lub vev xaib sab nraud, uas yuav hem cov neeg siv cov ntaub ntawv sau npe ntawm OAuth Server.
NCO TSEG: Cov xa khoom xa tuaj yog ib qho HTTP Lus Nug header, nws kis tus tswv tsev URL los ntawm qhov kev thov xa.
Txhawm rau muag cov kev rau txim ntawm qhov tsis muaj zog no, tus tsim tawm yuav tsum nco ntsoov tias nws daim ntawv thov web tsis muaj ib qho kev txhaj tshuaj HTML. Yog tias qhov kev txhaj tshuaj tau kuaj pom, tus neeg tawm tsam tau yooj yim muab cov duab cim npe tau yooj yim rau nws lub Web server thiab nrhiav txoj hauv kev los hloov cov neeg siv rau nws. Yog li, nws yuav tau txais txoj hauv kev nyiag cov code los ntawm "Xa Ntawv" header ntawm HTTP thov.
Oauth tockey kos tub sab uas siv lub redirececei parameterDaim ntawv thov pib cov txheej txheem tso cai los ntawm kev xa daim ntawv thov mus rau OAuth Server:
https://www.example.com/ignin/uthorize?Umomi_. Ua Txhua Yam tiag tiag
Cov lus nug ib txwm muaj "redirecect_uri" parameter siv los ntawm oAuth server xa mus rau daim ntawv thov tom qab tus neeg siv tau tso cai rau nws. Yog tias tus nqi ntawm cov ntsuas no tsis yog tswj lossis tsis kuaj xyuas, qhov twg nws siv qhov kev pab cuam yooj yim rau kev ua cov token thiab nce mus rau ib qho kev pab cuam tsawg.
https://www.example.com/ignin/ShuthorenIlib?
Qee zaum cov URL zoo sib xws yog thaiv. Tus neeg tawm tsam tuaj yeem thim cov ntaub ntawv tau txais ntawm qhov qhib url, zoo li no:
https://www.Example.com/ohauthennize.srf?
Los yog qhov no:
https://www.Example.com/ouauth2/authorize? [...]% irtps% 3A% 2FApps.facebook 2fattacker% 2F.
Thaum siv oauth, koj tuaj yeem tsis suav nrog tag nrho cov npe hauv daim ntawv dawb. Tsuas yog qee qhov URLs yuav tsum tau ntxiv rau "redirecect_uri" tsis rov qab thov kom qhib kev hloov pauv.
Forgy ntawm Cross-Line ThovKev zam ntawm qhov kev thov cuam tshuam yuav tshwm sim thaum tus neeg tawm tsam ua tiav rau tus neeg raug tsim txom nyem rau ntawm nws qhov txuas thiab, los tsim cov lus thov uas nws tsis yog tsim. Kev zam ntawm cov kev thov sib tw hla feem ntau yog softened nrog CSRF Token, uas yog cuam tshuam nrog tus neeg siv khoom. Nws pab tau daim ntawv thov los kuaj tus neeg ntawm tus neeg uas tau xa cov lus thov. Lub "Xeev" parameter hauv oauth raws cov cai ua haujlwm ua CSRF token.
Nws yog tsim nyog saib seb CSRF nres yog nqa tawm ntawm oauth thiab raws li "xeev" parameter tuaj yeem siv los txo cov kev cuam tshuam ntawm qhov tsis muaj zog.
Hacker qhib lub vev xaib thiab tso tawm cov txheej txheem tso cai nkag mus rau cov neeg muab kev pabcuam uas siv OAUTH. Daim ntawv thov thov tus muab kev pabcuam kom nkag tau uas yuav tsum tau muab. Hacker yuav raug xa mus rau cov neeg pabcuam lub vev xaib, qhov chaw koj xav tau nkag mus rau koj tus username thiab password rau kev tso cai nkag. Hloov chaw, tus nyiag nkas ntes thiab tiv thaiv qhov kev thov no thiab txuag nws URL. Hacker Ua Cas Ua rau tus neeg raug xa mus qhib qhov URL no. Yog tias tus neeg raug tsim txom nkag mus rau tus muab kev pabcuam lub kaw lus siv nws tus account, ces nws cov ntawv pov thawj yuav raug siv los teeb tsa daim ntawv tso cai. Daim Ntawv Tso Cai Sib Acchanges Nkag Mus Rau Nkag Mus Rau Token. Tam sim no tus tub nyiag nkas rau hauv daim ntawv thov raug tso cai. Nws tuaj yeem nkag mus rau tus neeg raug tsim txom tus nqi.
Yog li, kuv tuaj yeem tiv thaiv cov xwm txheej no uas siv "Xeev" parameter?
Daim ntawv thov yuav tsum tau tsim tus nqi uas yog qee qhov yog raws li cov nyiaj (piv txwv, siv tus neeg siv khoom hah tus yuam sij). Nws tsis tseem ceeb yog li nws yog, qhov tseem ceeb yog cov nqi yog qhov tshwj xeeb thiab tsim siv cov ntaub ntawv ntiag tug txog cov neeg siv khoom ntiag tug. Nws raug muab rau "Xeev" parameter.
Tus nqi no tau sib kis mus rau tus muab kev pabcuam thaum rov ua dua. Tam sim no tus neeg nyiag nkas caw tus neeg raug tsim txom los qhib qhov URL, uas nws khaws cia.
Daim ntawv tso cai no tau muab thiab xa rov qab mus rau tus neeg siv khoom hauv kev sib ntsib nrog "Xeev" parameter.
Tus neeg siv khoom lag luam ua rau muaj nuj nqis parameter raws li cov ntaub ntawv sibts thiab muab piv nrog "lub xeev" tus nqi, uas tau xa rov qab los ntawm kev thov kev tso cai mus rau tus muab kev pabcuam. Tus nqi no tsis phim rau "Xeev" parameter hauv cov lus nug, txij li nws tau tsim los ntawm cov ntaub ntawv hais txog kev sib kho tam sim no. Raws li qhov tshwm sim, cov tau txais tus nqi tsis raug lees txais los ntawm lub system.
Lwm yam kev pheej hmoo ntes tau thaum siv oAuth suav nrog kev muaj peev xwm ua tau xss (kev sib cav sib ceg, cov cai tswj hwm kev cai lij choj (thaum Daim ntawv tso cai yuav siv tau ntau tshaj ib zaug los tso tawm ntau yam nkag mus rau tokens). Cov kev tiv thaiv no tsis tshua muaj tshaj li cov tau piav saum toj no, tab sis nws tsis ua rau lawv tsis tshua muaj txaus ntshai. Tus tsim tawm yuav tsum paub txhua txoj kev coj ua tsim nyog kom ntseeg tau tias muaj kev ua haujlwm txhim khu kev qha ntawm nws daim ntawv thov web.
Tus sau ntawm cov lus txhais lus: Simon Saliba.
Tseem ceeb! Cov ntaub ntawv pab txhawb rau cov hom phiaj kev kawm. Thov ua raws txoj cai lij choj thiab tsis siv cov ntaub ntawv no rau cov hom phiaj tsis raug cai.
Cov ntaub ntawv nthuav ntau ntawm Cisoclub.ru. Sau npe yuav rau peb: Facebook | Vk | Ntsev | Instagram | Telegram | Zen | Neeg xa xov liaison | ICQ tshiab | Youtube | Mem tes.