RSA Conference、参加登録者のTwitter認証情報を収集していたのではないかと疑われる 8
ストーリー by headless
疑惑 部門より
疑惑 部門より
2月29日から米国・サンフランシスコで開催されるRSA Conference USA 2016(RSAC 2016 )の参加登録ページで、登録者のTwitterアカウント情報を収集しているのではないかという疑惑が持ち上がり、OAuthで使用するためのものだとRSA Conferenceが反論している(CSO Online — Salted Hashの記事、
The Registerの記事、
RSA Conferenceのブログ記事)。
該当のページは参加登録完了後に表示され、RSAC 2016に誘う内容のツイートをするよう促す内容となっている。しかし、参加登録者からTwitterの認証情報を収集しているのではないかとの疑問が上がり、フォームに入力したユーザー名とパスワードがRSA Conferenceのサーバーに送信されることがその後確認された。
これについてメディアではRSA ConferenceがOAuthを使用せず、登録者のTwitter認証情報を収集していると報じたことから、RSA Conferenceが反論。Twitterに承認されたAPIで認証を行っており、実際にOAuthを使用していると説明する一方で、これ以上の懸念を避けるためAPIの使用を中止するとの声明を出している。
セキュリティ専門家のJim Manico氏がSalted Hashに伝えたところによれば、TwitterのOAuth APIは多数の認証オプションがあり、RSA Conferenceが使用した認証情報を一時収集する方法もオプションの一つであるという。しかし、この方法は安全性が低く、疑惑も持たれやすい。そのため、実装はより難しくなるものの、認証情報を収集することなくRSA Conferenceがユーザーに代わってツイートできるオプションを選ぶべきだったとの見解をManico氏は示している。
該当のページは参加登録完了後に表示され、RSAC 2016に誘う内容のツイートをするよう促す内容となっている。しかし、参加登録者からTwitterの認証情報を収集しているのではないかとの疑問が上がり、フォームに入力したユーザー名とパスワードがRSA Conferenceのサーバーに送信されることがその後確認された。
これについてメディアではRSA ConferenceがOAuthを使用せず、登録者のTwitter認証情報を収集していると報じたことから、RSA Conferenceが反論。Twitterに承認されたAPIで認証を行っており、実際にOAuthを使用していると説明する一方で、これ以上の懸念を避けるためAPIの使用を中止するとの声明を出している。
セキュリティ専門家のJim Manico氏がSalted Hashに伝えたところによれば、TwitterのOAuth APIは多数の認証オプションがあり、RSA Conferenceが使用した認証情報を一時収集する方法もオプションの一つであるという。しかし、この方法は安全性が低く、疑惑も持たれやすい。そのため、実装はより難しくなるものの、認証情報を収集することなくRSA Conferenceがユーザーに代わってツイートできるオプションを選ぶべきだったとの見解をManico氏は示している。
何も考えてなさそう (スコア:2)
いかにもセキュリティ・プライバシー意識が高く、調査する能力もある方々が集まりそうなカンファレンスなのに何やっているんだろう、と。
あまりにアレなので、陰謀論を弄んでみたけれど、「実はこの事実に気づいたものだけが参加できる裏RSA Conferenceがあり、その参加資格試験だった」くらいしか思いつかない。
(私にはこれが限界だったので、もっと面白いネタを思いついたら教えてください。)
Re: (スコア:0)
実はRSA Conferenceの権威失墜を狙う国際的ハッカーグループの陰謀とか……
#ないない
Twitterの認証のほうがおかしくない？ (スコア:0)
何故いちいちパスワードを入力しないと認証ができないのか
もっとセキュアな方法があるんじゃない？
Re:Twitterの認証のほうがおかしくない？ (スコア:1)
それがOAuthですよ。
・RSAのサーバーは、Twitterのサーバに利用許可申請を出す
・ユーザーは、Twitter のサーバにユーザー/パスワードを送って認証する(すでに認証済のブラウザからのアクセスの場合、ユーザー/パスワード送出は不要)
・Twitterは、ユーザーに「RSAに対して利用許可を出してもいいかどうか」確認する
・OKの場合、Twitterのサーバはトークンを発行しRSAのサーバに接続許可を出す
・このトークンを使うことで、RSAサーバは許可が出されたユーザーの名義でTweetを投稿できたりするようになる。
という流れ。
ユーザー/パスワードの認証はTwitterのサーバに直接送られますので、
RSAのサーバーにユーザー/パスワードを知らせることはありません。
だから、「フォームに入力したユーザー名とパスワードがRSA Conferenceのサーバーに送信される」というのであれば、明らかに「OAuthは正しく使われていない」ということです。OAuthが悪いのではなく、RSAの登録ページの実装があきらかにおかしい。
Re: (スコア:0)
Twitterにログイン済みならパスワードは聞かれないよ(許可するかどうかの選択だけ)。
Re: (スコア:0)
ブラウザアプリを呼び出して認証画面を表示したりする方式が使えない環境で実行されるアプリとかで必要になるから残されてるんじゃないの
APIキーみたいな奴を取得して入力してもらう方式もあるけど、素人に使わせるには面倒臭すぎる
Re:Twitterの認証のほうがおかしくない？ (スコア:2)
APIキーを入力してもらうのはプログラム側でブラウザ実装し、
構文解析してキーをとってくるのが面倒だから入力して
もらってるだけで、アプリ側が全部やるのは、実は不可能
じゃないんだよ(自分が作ったのは手抜きで入力してもらってる)
|｡･ω･)。o (Twitterアプリの作者なので ACにしようかと思ったけどいいや）
Re: (スコア:0)
具体的には？