Foren Aktuelles Erstellen Mitglieder Anmelden

Der Nachrichten Thread

Benutzer, welche sich diesen Thread anschauen:

Gesamt: 1 (Mitglieder: 0, Gäste: 1)
naja..es ist ja soweit sicher und sicherlich auch vollkommen korrekt implementiert - aber wenn du den hauptschlüssel hast, hast du den hauptschlüssel.

OIDC2 hat verschiedene authentication und authorization verfahren..

authenticaten stellt deine identität fest.
authorization stellt deine rechte im system fest.

du gehst hin und hast die möglichkeit auf verschiedene art und weise deine identität zu behaupten.. username passwort, ein twofactor dingsi, einen apikey, einen retina scan...fingerabdrücke...dein foto...einen bereits ausgestellten veralteten accesstoken den du gerne refreshen würdest um deinen user nicht mit einer herausforderung zu konfrontieren (security kompromiss anyone?) etc.

und du kommst damit an und "claimst" in einem Array das "claims" heisst was du für ein token ausgestellt haben möchtest, weil der service mit dem du reden möchtest vorschreibt was du claimen musst, damit das stattfinden kann. Zusätzlich gibts noch scopes, die wie so eine art makro für eine liste von claims funktionieren können.

das authorization system schaut dann nach ob es dir diese rechte geben kann und von allem was du geclaimt hast - je nach dem was du für rechte hast - bekommst du dann sogenantne grants in deinem accesstoken für eine gewissen zeitraum (siehe oben refreshtoken)

Mit dem accesstoken gehst du dann an den service mit dem du sprechen willst und machst was du willst, was deine grants hergeben... und der Hauptschlüssel gilt vermutlich für verdammt viele claims. Dieser Service - geht bestenfalls hin und fragt beim Accountservice nach ob das alles seine richtigkeit hat (introspect?!) - aber nicht immer...kann auch sien das er dem accesstoken einfach vertraut.

ein Beispiel..
sagen wir konsolentreff hätte zwei funktionen..
einen regulären foren-zugriff und mod-rechte.

Im system ist hinterlegt das ein User existiert der okst666 heisst und forenrechte - aber keine modrechte hat.

Ich bin der böse okst und ich logge mich jetzt bei account.konsolentreff.de ein und behaupte in dem request.

ich bin okst666 - mein passwort lautet soundso und ich claime "forenrechte" und "modrechte".

der authentication-teil sagt "ok" okst666 existiert und es hat folgende rechte "forenrecht" und fügt das dem grants array des accesstokens zu.

jetzt werde ich weitergeleitet auf das forum und das forum schaut..darf der "forenrechte" und in meinem accesstoken steht bei grants "forenrechte" und alles ist groovy.

jetzt bin ich aber ein fieser möpp und will in den coolen mod bereich wo man alle pms lesen kann.
Rufe die Seite auf und die checked ob das token das recht "modrechte" hat - und das hab ich nicht -> 403 forbidden.

eigentlich ganz easy. Das kann ein dreijähriger programmieren und da glaub ich einfach nicht an einen Fehler den microsoft da gemacht haben soll.

Im prinzip (also das Prüfen der Rechte) macht konsolentreff das sicherlich ziemlich ähnlich - aber eben nicht nach OIDC2 - was der standard ist und wie so ziemlich jeder große (microsoft, apple, facebook google,etc) das tut.
 
Zuletzt bearbeitet:
okst666 schrieb:
naja..es ist ja soweit sicher und sicherlich auch vollkommen korrekt implementiert - aber wenn du den hauptschlüssel hast, hast du den hauptschlüssel.
Zum Vergrößern anklicken....

Das ist doch mit der Knackpunkt oder nicht, der Hauptschlüssel ist vermutlich ja kaum aus dem Himmel gefallen. Ob Microsoft alles richtig gemacht diesbezüglich man weiß es nicht. Inklusive der Kommunikation nach außen.
 
Zuletzt bearbeitet:
nun .. es ist mit sicherheit eine Guid oder bestenfalls eine UUID die ein bischen länger ist..im grunde kannste das alles per brute force rauskriegen.. Man kann alles per brute force rauskriegen - ist nur eine Frage der Zeit.

* bin mir gerade nicht sicher..war mir eigentlich immer ziemlich sicher das diese UUID viel viel viel länger sind als guids - aber das scheint nicht mehr der fall zu sein... oder ich google gerade nicht richtig. Gerade im Zusammenhang mit Active Directory Schemas...aber ich finds nicht. Einbildung vielleicht..

Was ich vielleicht einräumen würde wäre, das die verwendung einer dieser speziellen super duper keys evtl ein bischen besser gelogged bzw - irgendwelche alarme auslösen sollte. Ich gehe davon aus das diese Keys sonst nicht allgemein verwendet werden. Aber who knows.
 
Zuletzt bearbeitet:
Eventer schrieb:
Russland-Afrika-Gipfel - Putin verspricht mehreren afrikanischen Staaten Gratis-Getreidelieferungen

In Sankt Petersburg hat Präsident Putin den zweitägigen Russland-Afrika-Gipfel eröffnet. Zum Auftakt erklärte er, Russland sei in der Lage, Getreidelieferungen aus der Ukraine zu ersetzen. Einige afrikanische Länder müssten nichts dafür bezahlen.


https://www.deutschlandfunk.de/puti...n-staaten-gratis-getreidelieferungen-100.html
Zum Vergrößern anklicken....
Und das ist sogar Original Getreide aus der Ukraine von ukrainischen Bauern angebaut. :)
:ugly:
 
Kinder-Betreuung - IW: Zehn Jahre nach Beginn des Rechtsanspruch fehlen hunderttausende Kita-Plätze

Zehn Jahre nach Inkrafttreten des Rechtsanspruchs auf einen Kita-Platz fehlen laut dem Institut der deutschen Wirtschaft weiterhin hunderttausende Betreuungsplätze. Die Lücke sei sogar noch gewachsen, teilte das IW mit. Während 2014 noch rund 187.000 Plätze fehlten, seien es im vergangenen Jahr knapp 266.000 gewesen.


https://www.deutschlandfunk.de/iw-z...-fehlen-hunderttausende-kita-plaetze-102.html
 
Njet zu freier Rede: Russland schafft die Online-Anonymität ab
Russland war schon vor dem Angriff auf die Ukraine keine Bilderbuch-Demokratie, doch den Überfall auf den Nachbarn nimmt das Putin-Regime immer mehr zum Anlass, Bürgerrechte abzuschaffen. Das betrifft nun auch das Netz, denn Russland schafft die Anonymität ab.

https://winfuture.de/news,137690.html
 

Ähnliche Themen

M
Der "Nachrichten-des-Tages"-Thread
2
MissAlmighty
Antworten
21
Aufrufe
2K
moke91
moke91
Spielor
Der Nachrichtenthread
Spielor
Antworten
2
Aufrufe
1K
el_barto
el_barto
Zurück
Oben