OAuth funge da standard aperto per l'autenticazione basata su token utilizzata da molti giganti di Internet, tra cui PayPal. Questo è il motivo per cui la scoperta di un difetto critico nel servizio di pagamenti online che avrebbe potuto consentire agli hacker di rubare token OAuth dagli utenti ha inviato PayPal a rimescolare per distribuire una patch.

Antonio Sanso, un ricercatore di sicurezza e ingegnere del software Adobe, ha scoperto il difetto dopo aver testato il proprio client OAuth. Oltre a PayPal, Sanso ha rilevato anche la stessa vulnerabilità in altri importanti servizi Internet come Facebook e Google.

Sanso afferma che il problema risiede nel modo in cui PayPal gestisce il parametro redirect_uri per fornire alle applicazioni determinati token di autenticazione. Il servizio utilizza controlli di reindirizzamento avanzati per confermare il parametro redirect_uri dal 2015. Tuttavia, Sanso non ha impedito a Sanso di ignorare questi controlli quando ha iniziato a indagare sul sistema a settembre.

PayPal consente agli sviluppatori di utilizzare una dashboard in grado di produrre richieste di token per arruolare le loro app con il servizio. Le richieste di token risultanti vengono quindi inviate a un server di autorizzazione PayPal. Ora Sanso ha riscontrato un errore nel modo in cui PayPal riconosce un localhost come parametro redirect_uri valido durante il processo di autenticazione. Ha detto che questo metodo ha erroneamente implementato OAuth.

Gioco del sistema di validazione

Sanso ha quindi iniziato a giocare al sistema di convalida di PayPal e ha rivelato i token di autenticazione OAuth altrimenti riservati. È riuscito a ingannare il sistema aggiungendo una certa voce del sistema di nomi di dominio al suo sito Web, rilevando che localhost è servito come parola magica per ignorare l'esatto processo di convalida della corrispondenza di PayPal.

La vulnerabilità avrebbe potuto compromettere qualsiasi client PayPal OAuth secondo Sanso. Ha consigliato agli utenti di creare un redirect_uri molto specifico durante la creazione di un client OAuth. Sanso ha scritto in un post sul blog:

DO registra https: // yourouauthclientcom / oauth / oauthprovider / callback. NON SOLO https: // yourouauthclientcom / o https: // yourouauthclientcom / oauth.

All'inizio PayPal non credeva alle conclusioni di Sanso, anche se la società alla fine ha riconsiderato la sua decisione e ora ha emesso una correzione al difetto.

Leggi anche:

• 7 migliori software di fatturazione per Windows 10 da utilizzare
• Wallet per Windows 10 Mobile porta i pagamenti mobili senza contatto a Insiders