Fallo de seguridad en OpenID - xombra.com



Se ha descubierto un fallo en la extensión Attribute Exchange de OpenID que podría permitir a un atacante remoto modificar la información que es intercambiada entre las partes encargadas de la autenticación.

OpenID es un estándar de identificación digital descentralizado que permite a sus usuarios utilizar una única cuenta para poder acceder a diferentes sitios. Con esto se obtiene un mejor control de los datos asociados a la cuenta, ya que se encuentran en un único punto. Además es el proveedor del ID quien se encarga de identificar al usuario, evitando así que la contraseña sea gestionada por los diferentes sitios a los que se desea acceder.

El fallo se encuentra en los proveedores de OpenID que utilizaban 'OpenID4Java', que no verificaba si la información pasada a través de Attribute Exchange estaba firmada o no. Esto podría ser aprovechado por un atacante remoto modificar la información que es intercambiada entre las distintas partes que se comunican, con lo que la información que sólo es confiada al proveedor de identidad puede ser comprometida.

Los descubridores de la vulnerabilidad, Rui Wang, Shuo Chen y XiaoFeng Wang, se pusieron en contacto con todos los sitios afectados por dicho problema, quienes ya han emitido sus respectivos parches de seguridad.

Más Información:

Attribute Exchange Security Alert
http://openid.net/2011/05/05/attribute-exchange-security-alert/

Javier Rascón
http://www.hispasec.com/



Otras noticias de interes:

 Próximo curso de PHP en Caracas - Venezuela
El día 21/06/2008 se dará inicio a un nuevo curso Nivel I en la ciudad de Caracas- Venezuela
 Filtrar o no el tráfico de Internet en la empresa
Los empleados que navegan por la web en lugar de hacer su trabajo puede parecer una pérdida absoluta de tiempo y dinero para la empresa. Eso a menudo conduce a la tentación de bloquear el acceso de los empleados a Internet con lo cual no tienen más remedio que apretarse el cinturón y volver al trabajo.
 Estandares de cifrado de datos
Existen muchos algoritmos de cifrado de datos. Y no todos están definidos por los estándares norteamericanos. Es cierto que el AES, DES, RSA y otros algoritmos de cifrado han copado el mercado, pero Europa y Japón tienen sus propios estándares, sus propios concursos para buscar los mejores algoritmos de cifrado.
 Escalada de privilegios en Windows XP (SSDP y UPnP)
Una vulnerabilidad que puede ser explotada por usuarios locales malintencionados para elevar sus privilegios, ha sido identificada en Microsoft Windows.
 Fallo en bloqueador de elementos emergentes de XP SP2

K-OTik.COM reporta que Microsoft Internet Explorer de Windows XP Service Pack 2, posee una debilidad en el "Bloqueador de elementos emergentes" (Popup Blocker), que normalmente previene la aparición de la mayoría de las ventanas emergentes, cuando son abiertas de forma intempestiva por ciertos sitios.

Indique que busca!!!


Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • fallo

  • seguridad

  • openid

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • chrome

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql