シングル サインオン (SSO) は、ユーザーが 1 セットのログイン資格情報 (例としてレピュテーションおよび秘跡) を使用して複数のアプリケーションにアクセスできるようにするセッションおよびユーザー認証サービスです。SSO は、さまざまなユーザー名とパスワードの管理を容易にするために、企業、小規模組織、および個人によって採用されるでしょう。
基本的なネット SSO サービスでは、アプライアンス サーバー上のエージェント モジュールが、熱狂的な SSO ポリシー サーバーから個人ユーザーの正確な認証資格情報を取得する一方で、軽量のディレクトリ アクセス プロトコル (LDAP) などのユーザー リポジトリに対してユーザーを認証します。ディレクトリ。このサービスは、ユーザーに権限が与えられているすべてのアプリケーションのトップ ユーザーを認証し、一定のセッションを通じて個々のアプリケーションに対する今後の難解なプロンプトを排除します。
シングル サインオンの仕組み
シングル サインオンは統一アイデンティティ管理 (FIM) の取り決めである場合があり、そのようなシステムの使用は通常アイデンティティ フェデレーションとも呼ばれます。OAuth は Open Authorization の略で、「オーオース」と発音されます。これは、ユーザーの秘密を公開せずに、AN 仕上げユーザーのアカウント データを Facebook などのサードパーティ サービスで使用できるようにするフレームワークです。
この図は、シングル サインオンが機能する様子をイメージしたものです。
OAuth は、特定のアカウント データの共有を許可する AN アクセス トークンをサービスに提供することにより、トップ ユーザーに代わって AN メディエーターとして機能します。ユーザーがサービス サプライヤーからのアプリケーションへのアクセスを{試行|AN 試行|する}と、サービス サプライヤーは認証のためにアイデンティティ サプライヤーに招待状を送信できます。その後、サービス プロバイダーは認証を確認し、ユーザーをログインさせることができます。
SSO 構成の種類
一部の SSO サービスは、Kerberos などのプロトコルやセキュリティ アサーション用語 (SAML) を使用します。
SAML は、セキュアなドメイン間でのユーザー認証および認可の知識の交換を容易にする、慣例的な突出可能用語 (XML) です。SAML ベースの SSO サービスには、ユーザー、ユーザー ディレクトリを管理する ID サプライヤー、およびサービス サプライヤー間の通信が含まれます。
Kerberos ベースのセットアップでは、ユーザー資格情報が提供されると、値札付与チケット (TGT) が発行されます。TGT は、ユーザーに資格情報の再入力を求めずに、ユーザーがアクセスする必要があるさまざまなアプリケーションのサービス チケットを取得します。
スマート カード ベースの SSO では、プライマリ ログインにサインイン資格情報を保持するカードを使用するようにユーザーを誘導できます。カードボードを使用すると、ユーザーはユーザー名やパスワードを再入力する必要がなくなります。SSO 良好なカードには、証明書またはパスワードのいずれかを保存できます。
セキュリティリスクとSSO
シングル サインオンはユーザーにとっては便利かもしれませんが、企業のセキュリティにとってはリスクとなります。攻撃者である世界保健機関は、ユーザーの SSO 資格情報の管理を取得し、ユーザーが権利を持つ各アプリケーションへのアクセスを許可され、潜在的な被害の数が増加します。悪意のあるアクセスを回避するには、SSO 実装の各側面と ID ガバナンスが不可欠です。組織は、セキュリティを強化するために、SSO による 2 要素認証 (2FA) または多要素認証 (MFA) を使用する場合があります。
SSO のメリットとデメリット
SSO の利点には次のようなものがあります。
これにより、ユーザーはアプリケーションごとに少数のパスワードとユーザー名を覚えて管理できるようになります。
これにより、アプリケーション上での言語コミュニケーションおよび悪用アプリケーションの方法が合理化され、パスワードを再入力する必要がなくなります。
これにより、フィッシングの可能性が減ります。
IT ファシリティデスクのパスワードに関する苦情やトラブルが減少します。
SSO の欠点には次のようなものがあります。
すべてのアプリケーションのサインオンが持つ可能性のある確実なレベルのセキュリティには対応していません。
可用性が失われると、ユーザーは SSO に接続されている複数のシステムからすぐにアクセスできなくなります。
権限のないユーザーがアクセスを取得すると、複数のアプリケーションにアクセスできる可能性があります。
SSOベンダー
受け入れられる SSO ベンダーは複数あります。いくつかのサービスは異なるサービスを提供しており、SSO はさらなる機能です。SSO ベンダーは次のものを具体化します。
リップリングを使用すると、ユーザーは複数のデバイスからクラウド アプリケーションにサインオンできます。
Avatier Identity anyplace は、肉体労働者のコンテナベースのプラットフォーム向けの SSO です。
OneLogin は、SSO をサポートするクラウドベースの ID およびアクセス管理 (IAM) プラットフォームです。
Okta は、AN SSO の実用性を備えたツールである可能性があります。Okta はさらに 2FA をサポートしており、主に企業ユーザーによって使用されます。

説明
私たちは、流行の保護された Wi-Fi ネットワークをすべて保護するプロトコルである WPA2 の重大な弱点を発見しました。被害者の範囲内にいる攻撃者は、キー再インストール攻撃 (KRACK) を使用してこれらの弱点を悪用します。
具体的には、攻撃者はこの新しい攻撃手法を使用して、これまで安全に暗号化されていると想定されていた情報をスキャンします。これは、マスターカード番号、パスワード、チャット メッセージ、電子メール、写真などの機密情報を盗むために悪用されます。この攻撃は、保護された最新の Wi-Fi ネットワークすべてに対して機能します。ネットワーク構成によっては、さらに情報を挿入したり操作したりすることも可能です。たとえば、攻撃者はランサムウェアや代替マルウェアを Web サイトに注入する準備ができている可能性があります。弱点は Wi-Fi 標準自体にあり、個々の製品や実装にはありません。したがって、WPA2 の適切な実装は影響を受ける可能性があります。攻撃を未然に防ぐために、ユーザーはセキュリティ アップデートが提供されたらすぐに影響を受ける製品をアップデートする必要があります。デバイスが Wi-Fi をサポートしている場合、影響を受ける可能性が高いことに注意してください。
最初の分析中に、Android、Linux、Apple、Windows、OpenBSD、MediaTek、Linksys などの領域単位がすべて、何らかの亜種の攻撃の影響を受けていることが判明する傾向がありました。特定の製品の詳細については、CERT/CC の情報を参照するか、販売者にお問い合わせください。攻撃の背後にある分析は、PC and Communications Security (CCS) カンファレンスおよび Black Hat Europe カンファレンスで発表されています。詳細な分析ペーパーはすでにダウンロードされています。2018 年 10 月更新: 攻撃の一般化、追加のハンドシェイクの分析、Wi-Fi の公式防御のバイパス、パッチの監査、実装固有のバグを使用した攻撃の強化については、フォローアップ ペーパーを用意しています。
デモ概念実証として、ロボット スマートフォンに対してキーの再インストール攻撃を実行する傾向があります。このデモンストレーション中、攻撃者は被害者が送信するすべての情報を解読できる立場にあります。攻撃者にとって、これは多くの場合簡単に達成できます。その結果、キーの再インストール攻撃は UNIX システムとロボット半ダースに対して非常に壊滅的です。0 以降です。これは、ロボットの結果として、UNIX システムが騙されてすべてゼロの暗号化キーを (再) インストールされる可能性があるためです (追加情報については、以下を参照してください)。他のデバイスを攻撃すると、すべてのパケットを復号化することは難しくなりますが、それでも非常に多様なパケットが復号化されます。いずれにせよ、その後のデモンストレーションでは、保護された Wi-Fi ネットワークに対するアクティビティ キーの再インストール攻撃によって攻撃者がどのような知識を取得するかを強調しています。私たちの攻撃は、問題のあるログイン資格情報 (つまり、電子メール アドレスとパスワード) に限定されません。一般に、被害者が送信するあらゆる情報は復号化される可能性があります。さらに、使用されているデバイスとネットワーク設定を利用して、被害者に送信された情報 (Web サイトのコンテンツなど) を解読することも可能です。Web サイトやアプリはさらなる保護層として HTTPS を使用する可能性がありますが、私たちはこの追加の保護が (依然として) 懸念されるさまざまな事態の間にバイパスされるだろうと警告する傾向があります。例として、HTTPS は以前、ブラウザ以外のパッケージ、Apple の iOS および OS X、ロボット アプリ、再びロボット アプリ、銀行アプリ、さらには VPN アプリでバイパスされていました。
詳細 私たちの主な攻撃は、WPA2 プロトコルの 4 ウェイ ハンドシェイクに対するものです。このハンドシェイクは、消費者が保護された Wi-Fi ネットワークに接続する必要があるときに実行され、各消費者とアクセス目的が正しい資格情報 (ネットワークの事前共有秘密など) を所有していることを確認するために使用されます。同時に、4 ウェイ ハンドシェイクはさらに、後続のすべてのトラフィックを書き込む可能性がある最近のエンコード キーをネゴシエートします。現在、流行の保護された Wi-Fi ネットワークはすべて 4 ウェイ ハンドシェイクを使用しています。これは、これらのネットワーク エリア ユニットが私たちの攻撃 (の変形) を受けていることを示唆しています。たとえば、この攻撃は、個人および企業の Wi-Fi ネットワーク、古い WPA および最新の WPA2 通常、さらには AES のみを使用するネットワークに対しても機能します。WPA2 に対するすべての攻撃は、キー再インストール攻撃 (KRACK) として知られる完全に独自の手法を使用します。キー再インストール攻撃: 高レベルの説明キー再インストール攻撃では、敵は被害者をだまして、すでに使用されているキーを再インストールさせます。これは多くの場合、サイエンス ハンドシェイク メッセージを操作して再生することによって実現されます。被害者がキーを再インストールすると、プログレッシブ送信パケットの種類 (つまり、ノンス) や受信パケットの種類 (つまり、リプレイ カウンタ) エリア ユニットなどの関連パラメータが初期価格にリセットされます。主に、セキュリティを確保するために、キーは 1 回だけ挿入して使用する必要があります。残念なことに、これは WPA2 プロトコルでは安全ではないことが多いことがわかります。暗号化ハンドシェイクを操作することで、observer のこの弱点を悪用することができます。
キーの再インストール攻撃: 4 ウェイ ハンドシェイクに対する具体的な例 分析論文の導入部分で示されているように、キーの再インストール攻撃の背後にある概念は次のように要約できます。消費者がネットワークに参加すると、4 ウェイ ハンドシェイクを実行して、最新のエンコード キーを交換します。
4 方向確認メッセージのうち 3 番目のメッセージを受信すると、このキーがインストールされます。キーを入力すると、従来の情報フレーム虐待関連エンコーディング プロトコルを作成することになります。ただし、メッセージも失われるか生成されるため、アクセス目的 (AP) は、確認応答として適切な応答を受信しなかった場合、メッセージ 3 を送信できます。その結果、コンシューマはメッセージ 3 を複数回受信する可能性があります。このメッセージを受信するたびに、同じエンコード キーをインストールし、それによってプログレッシブ送信パケットの種類 (ノンス) と暗号化プロトコルで使用される受信リプレイ カウンタをリセットします。連携攻撃者が 4 ウェイ ハンドシェイクのメッセージ 3 の再送信を収集して再生することで、この時間を強制的にリセットする傾向があることがわかります。この方法で時間のリサイクルを強制することにより、エンコード プロトコルが攻撃される可能性があります。たとえば、パケットが再生され、復号化され、および/またはソリッド化される可能性があります。同じ手法が、クラスター キー、PeerKey、TDLS、およびクイック BSS 移行ハンドシェイクを攻撃するためによく使用される可能性があります。

アウトオブバンド SQL インジェクションは、攻撃者が同等のチャネルを使用して攻撃を開始して結果を収集できない場合に発生します。... アウトオブバンド SQLi テクニックでは、データベース サーバーが DNS または HTTP リクエストを作成してデータを攻撃者に配信できると考えられます。アウトオブバンド SQL インジェクションは、Web アプリケーションで使用されているデータベース サーバーで有効になっている機能に依存するため、あまり一般的ではありません。アウトオブバンド SQL インジェクションは、攻撃者が同じチャネルを使用して攻撃を開始して結果を収集できない場合に発生します。
帯域外手法は、特にサーバーの応答があまり安定していない場合 (推論時間ベース攻撃の信頼性が低くなります)、攻撃者に推論時間ベース手法の代替手段を提供します。
アウトオブバンド SQLi テクニックは、攻撃者にデータを配信するために DNS または HTTP リクエストを行うデータベース サーバーの機能に依存します。これは Microsoft SQL Server の xp_dirtree コマンドの場合に当てはまります。このコマンドは、攻撃者が制御するサーバーに対して DNS リクエストを行うために使用される可能性があります。これには、SQL および PL/SQL から攻撃者が制御するサーバーに HTTP リクエストを送信するために使用できる Oracle Database の UTL_HTTP パッケージも含まれます。