OAuth 2.0 und Zugriffstoken

Drei Akteure sind beteiligt. Der Client ist die Anwendung, die den Zugriff anfragt. Der Autorisierungsserver stellt die Token aus, nachdem er den Eigentümer der Daten authentifiziert und dessen Zustimmung eingeholt hat. Der Ressourcenserver hostet die Daten und akzeptiert Anfragen, die ein Token mitbringen⁶.

Das Zugriffstoken ersetzt die verschiedenen Nachweise (zum Beispiel Benutzername und Passwort) durch ein einziges Element, das der Ressourcenserver versteht. Deshalb kann es eine kurze Lebensdauer haben⁶. Mit dem Refresh-Token lässt sich ein neues beschaffen, mit gleichen oder engeren Rechten: Ein Zugriffstoken kann eine kürzere Lebensdauer und weniger Berechtigungen haben als die vom Eigentümer gewährten⁶.

Das häufigste Token ist das Bearer-Token: Wer es besitzt, kann es verwenden. OWASP empfiehlt daher, es möglichst auf einen einzigen Ressourcenserver zu beschränken, um den Schaden bei einem Leck zu verringern⁶. Die Anwendung selbst muss das Token als undurchsichtige Zeichenkette behandeln: Nur die angesprochene API darf den Inhalt lesen³.

Vor einem Zustimmungsbildschirm genügen einige Prüfungen.

• Lesen Sie die Anfrage, bevor Sie sie akzeptieren. Nutzer klicken oft auf „Akzeptieren“, ohne die Einzelheiten zu prüfen, auch nicht die gewährten Berechtigungen¹.
• Vergleichen Sie die Berechtigungen mit dem Zweck der Anwendung. Eine Anwendung sollte nur Berechtigungen anfordern, die zu ihrem Zweck gehören. Microsoft nennt als Beispiel eine Uhr-Anwendung mit Vollzugriff auf alle Postfächer, was nicht zu ihrem Zweck passt¹.
• Seien Sie bei den weitreichendsten Berechtigungen misstrauisch. MITRE ATT&CK weist darauf hin, dass Offlinezugriff und Zugriff auf das Lesen von E-Mails stärker misstrauisch machen sollten, da Angreifer die APIs von Onlinediensten nutzen können, um dort nach Zugangsdaten und sensiblen Mitteilungen zu suchen².
• Achten Sie auf die Weiterleitungsadresse. Ist sie falsch geschrieben oder bildet sie eine verschachtelte Wortfolge um einen erwarteten Dienst, versucht die Website wahrscheinlich, einen echten Dienst nachzuahmen².
• Bevorzugen Sie gängige Anwendungen. Je verbreiteter eine Anwendung ist, in der Organisation wie im Internet, desto wahrscheinlicher ist sie sicher¹.
• Lehnen Sie eine Anwendung ab, die Sie nicht kennen. MITRE ATT&CK empfiehlt, Nutzer zu schulen, unbekannte Drittanwendungen nicht zu autorisieren².
• Ein Administrator kann verdächtige Anwendungen untersuchen und entfernen².

Der gefälschte Zustimmungsbildschirm

Der Angreifer registriert eine Anwendung beim Autorisierungsserver und sendet dann einen gezielten Phishing-Link, damit das Opfer ihr Zugriff gewährt². Ein Beispiel von Microsoft: Eine Zustimmungsseite kann für einen durchschnittlichen Nutzer legitim wirken, obwohl „Google APIs Explorer“ keinen Grund hat, bei Google selbst Berechtigungen anzufragen. Die Anwendung kann also ein Phishing-Versuch ohne Bezug zu Google sein¹.

Beruhigende Namen sind häufig. MITRE ATT&CK vermerkt, dass die Gruppe APT28 bösartige Anwendungen einsetzte, die sich gegenüber Gmail-Nutzern als „Google Defender“, „Google Email Protection“ und „Google Scanner“ und gegenüber Yahoo-Nutzern als „Delivery Service“ und „McAfee Email Protection“ ausgaben².

Das Token, das bleibt

Sobald das Token gewährt ist, kann die Anwendung einen potenziell dauerhaften Zugriff auf die Funktionen des Kontos erhalten². Mit einem Refresh-Token, das Hintergrundzugriff erlaubt, kann ein Angreifer zum Beispiel E-Mails durchsuchen und Kontakte auflisten⁵. Eine Passwortänderung löst das Problem nicht immer: Laut der Tabelle von Microsoft bleiben manche Token nach einer Passwortänderung durch den Nutzer aktiv⁴.

Das Token, das gestohlen wird, ohne dass man Sie fragt

Tokendiebstahl läuft nicht immer über eine Zustimmung. MITRE ATT&CK nennt auch Token, die in Containerumgebungen oder Entwicklungsketten gestohlen wurden und dort zur Authentifizierung bei anderen Diensten dienen². Das Programm Kali365 soll OAuth-Zugriffs- und Refresh-Token erlangt haben, indem es Opfer täuschte, damit sie vom Angreifer ausgelöste Geräteautorisierungsanfragen bestätigten².

Die vergessene Anwendung

Eine Anwendung, die einmal autorisiert wurde, bleibt verbunden, solange sie niemand entfernt. Microsoft empfiehlt, Anwendungen aufzuspüren, deren letzte Autorisierung nicht aktuell ist: Sie werden möglicherweise nicht mehr gebraucht¹. MITRE ATT&CK verlangt von Administratoren ein Audit aller OAuth-Anwendungen und der gewährten Berechtigungen, danach regelmäßige Audits, mit Untersuchung und Entfernung verdächtiger Anwendungen². Für Beschäftigte bedeutet das einen einfachen Handgriff: von Zeit zu Zeit die Liste der mit dem eigenen Konto verbundenen Anwendungen durchgehen und melden, welche man nicht kennt.