アカウント名:
パスワード:
［独自記事］7pay不正利用問題、「7iD」に潜んでいた脆弱性の一端が判明 https://tech.nikkeibp.co.jp/atcl/nxt/news/18/05498/ [nikkeibp.co.jp]
が分かりやすいです。
ただし、上記記事は、全く異なる2つの脆弱性の話が書かれているので、混同しないようにご注意ください。
【脆弱1 : OpenID Connectのアクセストークン未検証】
OpenID Connectのアクセストークンを検証していなかったので、ID（メールアドレス等）さえわかれば、パスワードが分からなくても、OAuthが成功したことにして他人がログインできる脆弱性があった。あまりにも酷すぎる脆弱性ですね！
【脆弱性2 : 7iD の API のアクセ
リンク先の記事以上に#3651026の概要が分かりやすくて助かります。
> 脆弱性2については、仕様ともいえますが、まぁ危険ですね。社長が会見で利便性の方を優先したようなことを言ってと思いますが、アプリ(や連携するサイト)の設計思想として、セキュリティよりも利便性を重視する方針なんでしょうかね？
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
吾輩はリファレンスである。名前はまだ無い -- perlの中の人
パスワードなしで他人のアカウントにログインできた (スコア:5, 参考になる)
［独自記事］7pay不正利用問題、「7iD」に潜んでいた脆弱性の一端が判明
https://tech.nikkeibp.co.jp/atcl/nxt/news/18/05498/ [nikkeibp.co.jp]
が分かりやすいです。
ただし、上記記事は、全く異なる2つの脆弱性の話が書かれているので、混同しないようにご注意ください。
【脆弱1 : OpenID Connectのアクセストークン未検証】
OpenID Connectのアクセストークンを検証していなかったので、ID（メールアドレス等）さえわかれば、
パスワードが分からなくても、OAuthが成功したことにして他人がログインできる脆弱性があった。
あまりにも酷すぎる脆弱性ですね！
【脆弱性2 : 7iD の API のアクセ
Re:パスワードなしで他人のアカウントにログインできた (スコア:0)
リンク先の記事以上に#3651026の概要が分かりやすくて助かります。
> 脆弱性2については、仕様ともいえますが、まぁ危険ですね。
社長が会見で利便性の方を優先したようなことを言ってと思いますが、アプリ(や連携するサイト)の
設計思想として、セキュリティよりも利便性を重視する方針なんでしょうかね？