可以迴應Google/Yahoo！在openID進程中更改？

Question

是否有可能破解來自Google/Yahoo的頭文件返回！認證openid請求？ 我的意思是有人使用him@gmail.com與Google進行身份驗證，然後將him@gmail.com更改爲me@gmail.com作爲Google的迴應，並使用我的帳戶登錄到網站？

Answer 1

是的，從提供者到依賴方的認證有效載荷通過用戶的瀏覽器，使用戶有機會檢查甚至改變被轉發到依賴方網站的內容。

但是有效負載被簽名，所以對消息的簽名部分的任何更改都將導致依賴方檢測到篡改已發生並應拒絕該消息。

因此，實際上，由於簽名驗證過程是OpenID的內置部分，因此您不能使用此方法劫持其他人的帳戶。

Answer 2

不，如果有可能的話，那就會擊敗這一點。

您正在使用身份驗證提供程序進行身份驗證的站點以及身份驗證提供程序與用戶會談。用戶不能更改網站的內容，因爲auth提供程序不會通過用戶訪問該網站。