パスワードリセット・リンクが漏れていませんか？ | POSTD

セルフサービス・パスワードリセットは、多くのWebアプリケーションで共通部分になっています。通例、パスワードリセット・リンクはユーザにEメールで送られ、そこには、何らかの方法でユーザを識別する一意のトークンが含まれています。ユーザがリンクをクリックすることによって、そのユーザがそのアカウントに関連するEメールをアクセスできることが証明され、次にユーザは二段階認証を行います。この時点で、ユーザは新しいパスワードを入力するよう求められます。 もしも、ある攻撃者がそのパスワードリセット・リンクにアクセスできたなら、その攻撃者は、そのユーザとして認証を受けて新しいパスワードを入力することができるので、そのユーザのアカウントに自由にアクセスできるようになります。多くの場合、攻撃者はユーザのEメールへのアクセスを手に入れることによってこれを行いますが、最近私は 多くのアプリケーションがうかつにもパスワ

[itochan]

ほむ。よく、リンクを踏むと、見える形で「ここから先は外部サイトです」って表示されるのがあるけれど、そもそもリンク先にリファラを渡さないよう、ああいうクッションしてもだめなのかな

[lets_skeptic]

確かにRefererであれば脆弱性を利用した攻撃はやりやすいかも。パスワード変更画面表示時点でトークン削除でそんなに問題ないような。ただemailが平文送信なので、そこの脆弱性が回避不能な問題だったりもする。

[bleu-bleut]

パスワードリセットリンクへの不正なアクセスが可能なケース？

[mumincacao]

そっか・・・ 外部りそーす元にりふぁら飛んでもわんたいむにしておけばと思ったけど開くだけでりせっと操作しない可能性もあるのですか．．．〆（・ｘ【みかん

[Haaaa_N]

なるほど,リンクを知っているから本人だと認証するのはやはり危険なんだな