⁣⚠️ Bug di autenticazione delle patch Dex: rende possibile l'accesso non autorizzato

Il servizio di identità OpenID Connect (OIDC) Dex ha corretto una vulnerabilità critica che consentirebbe agli utenti di recuperare un token ID tramite un codice di autorizzazione intercettato e di ottenere potenzialmente un accesso non autorizzato alle applicazioni client.

Dex usa OIDC , un semplice livello di identità sopra il protocollo OAuth 2.0, per potenziare l'autenticazione per altre app. 

Funge da portale per altri provider di identità tramite "connettori", consentendogli di rinviare l'autenticazione a server LDAP, provider SAML o provider di identità come GitHub, Google e Active Directory.

I ricercatori di sicurezza hanno scoperto che un eventuale utente malintenzionato che può ingannare una vittima facendola navigare su un sito Web dannoso, può rubare il codice di autorizzazione OAuth, scambiarlo con un token e quindi ottenere l'accesso alle applicazioni che accettano quel token. 

L'exploit può essere utilizzato più volte, consentendo all'hacker di ottenere un nuovo token ogni volta che il vecchio scade.

La correzione di tale difetto ha comportato l'introduzione di un codice HMAC (Hash-based Message Authentication), che utilizza un codice segreto generato casualmente che non può essere noto ad altri utenti e viene mantenuto tra la richiesta di accesso iniziale e la richiesta di approvazione.