"oauth_nonce"가 정말로 필요합니까?

Question

맞아요, oauth의 작동 방식은 알고 있지만 왜 우리에게는 oauth_nonce이 필요한지 알 수 없습니다.

사양에서는 재생 공격을 해결하기 위해 timestamp/nonce가 고유해야한다고 지정하지만 consumer_key이 충분히 고유하면 어떻게됩니까?

consumer_key이 고유하지 않은 경우 어떻게 해당 oauth_nonce을 찾을 수 있습니까?

Answer 1

키는 고유하지만 자주 변경되지는 않습니다. 반면에 nonce는 요청마다 고유해야합니다.

다음 시나리오를 고려하십시오. 전제 조건은 다음과 같습니다. 공격자는 통신 내용을 간첩 할 수는 있지만 비밀은 모릅니다. nonce가 없으면 재생 공격을 할 수 있습니다. 이미 보낸 요청이 유효하다는 것을 알고 있기 때문에 그는 이전 요청을 복제하고 다시 보낼 수 있습니다.

nonce는 서버가 최근에 사용 된 모든 nonces (there is a time limit)를 검사하고 nonce를 두 번 허용하지 않기 때문에 이것을 방지합니다.