Действительно ли нужен клиент OAuth 2 TLS?

Question

Я намерен создать делегированную систему входа для существующего приложения. Я буду реализовывать как клиент OAuth (в веб-приложении), так и сервер OAuth (простой сервер авторизации и ресурсов, который на данный момент имеет только ресурс пользователя).

Имея это в виду, я наткнулся на следующий раздел в текущей OAuth 2 draft (версия 22):

3.1.2.1. Endpoint Request Confidentiality 

    If a redirection request will result in the transmission of an 
    authorization code or access token over an open network (between the 
    resource owner's user-agent and the client), the client SHOULD 
    require the use of a transport-layer security mechanism. 

    Lack of transport-layer security can have a severe impact on the 
    security of the client and the protected resources it is authorized 
    to access. The use of transport-layer security is particularly 
    critical when the authorization process is used as a form of 
    delegated end-user authentication by the client (e.g. third-party 
    sign-in service). 

Это специально предупреждает меня, что я должен использовать TLS на клиенте. будет использовать HTTPS на сервере, конечно, но включение HTTPS на всех клиентов будет затруднительным, если не невозможным.

Из моего ограниченного понимания безопасности я предполагаю, что кто-то может украсть разрешение на предоставление разрешения. Это подводит меня к вопросу:

Не аутентификации клиента (используя секрет клиента) предотвратить подслушиватель от использования гранта авторизации? (Потому что злоумышленник не будет знать секрет клиента, надеюсь).

Если это не так, или если здесь есть другой вектор атаки, я не вижу, есть ли что-нибудь, что я могу сделать, чтобы сделать эту работу безопасно без HTTPS на клиентах? Будет ли, например, помощь OAuth 1? (Возможно, потому, что он имеет дополнительный шаг маркера запроса.)

P.S .: Я планировал выполнять аутентификацию клиента с использованием клиентских сертификатов TLS, а не секретов, если это делает ситуацию лучше.

Answer 1

Я думаю, что вы неверно истолковываете часть этого предупреждения. Это предупреждение OAuth адресует OWASP A9 нарушений. Это говорит о том, что даже если вы используете OAuth, вам по-прежнему нужен безопасный транспортный уровень для связи с клиентом. Клиент не требует пары ключей для аутентификации, OAuth - это форма аутентификации клиента. Однако браузер все еще аутентифицируется с вашим приложением, используя идентификатор сеанса, сохраненный как значение cookie. Вызывает беспокойство то, что, если злоумышленник может перехватить это значение, он будет иметь тот же доступ, что и жертвой клиента.