Facebook의 클라이언트 측 인증은 충분히 안전합니까?

Question

내 사이트의 페이스 북 로그인을 고려 중입니다. 페이스 북 기반 인증을 기반으로 사용자는 사이트에 로그인됩니다. 페이스 북의 로그인 상태와 관계없이 사이트에서 로그 아웃 할 때까지 계속 사용합니다. 대부분의 다른 사이트와 마찬가지입니다.

FB의 클라이언트 측 로그인 방법을 살펴보면 fbsr_ {app_id} 쿠키에서받은 signed_request 데이터를 기반으로합니다. 그리고 FB 요청은 인증 요청의 유효성을 확인하기 위해 10 분 이내에 유효한 short-lived access_token을 교환해야합니다. (이 10 분은 FB가 보안 허점을 최소화하는 최선의 방법 인 것 같습니다.)

그러나이 10 분 내에 누군가 다른 사람이 쿠키를 복사 할 수 있으며 많은 어려움없이 성공적으로 로그인하려고 시도 할 수 있습니다. 희생자. 이것은 나에게 문제가되는 다음과 같은 질문을하고 싶습니다 :

1. 오전 내가 FB의 클라이언트 측 인증의 보안 측면에 대한 여기서 뭔가 누락하거나 사실이 약점이있다?

2. 틈새를 막기 위해 구현할 때 할 수있는 일이 있습니까? 아니면 FB의 서버 측 인증으로 이동합니까?

Answer 1

서버 측 플로우를 사용하든, 클라이언트 측 플로우를 사용하든 상관없이 올바르게 사용하면 둘 다 안전합니다. 언급했듯이 비 SSL 기반 사이트에서 쿠키 옵션을 사용하는 것은 실제로 취약점이지만 이것이 Facebook에서 관리하지 않는 것입니다.

이 공격 벡터를 피하려면 cookie 옵션을 사용하지 말고 선택한 메커니즘 (예 : SSL을 통한 XHR)을 사용하여 프론트 엔드의 서명 된 요청을 백엔드로 전달하십시오. 이렇게하려면 관련 이벤트에 가입하기 만하면 처리기가 서명 된 요청을 응답의 일부로 호출합니다.

변조 된 또는 잘못된 사용을 피하기 위해 signed_request는 항상 서버에서 유효성을 검사해야합니다. signed_request에는 또한 issued_at 시간이 포함되어 있으며 지난 10 분 내에 유효성을 검사해야합니다. (FB의 사용자 ID의 경우, 함께 제공되는 user_id를 사용하십시오).