[oauth] OAuth 2는 OAuth 1과 어떻게 다릅니 까?

OAuth 1.0 프로토콜 ( RFC 5849 )의 보안은 클라이언트 애플리케이션에 임베드 된 비밀 키를 기밀로 유지할 수 있다는 가정에 의존합니다. 그러나 가정은 순진합니다.

OAuth 2.0 ( RFC 6749 )에서는 이러한 순진한 클라이언트 응용 프로그램을 기밀 클라이언트 라고합니다 . 반면 비밀 키를 기밀로 유지하기 어려운 환경의 클라이언트 응용 프로그램을 공용 클라이언트 라고합니다 . 2.1을 참조하십시오 . 자세한 내용은 클라이언트 유형 을 참조하십시오.

그런 의미에서 OAuth 1.0은 기밀 클라이언트 전용 사양입니다.

” OAuth 2.0과 지옥으로가는 길 “에 따르면 OAuth 2.0의 보안 수준은 떨어지지 만 OAuth 1.0 클라이언트와 OAuth 2.0 기밀 클라이언트의 보안 수준에는 실질적인 차이가 없습니다. OAuth 1.0은 서명을 계산해야하지만 클라이언트 측의 비밀 키를 기밀로 유지할 수 있다고 확신하는 경우 보안을 강화하지 않습니다. 컴퓨팅 서명은 실질적인 보안 향상없이 ​​번거로운 계산입니다. 나는 TLS를 통해 서버와 단지 선물에의 OAuth 2.0 클라이언트 연결하는 단순성에 비해 의미 client_id하고 client_secret, 성가신 계산 보안의 측면에서 낫다는 것을 말할 수 없다.

또한 RFC 5849 (OAuth 1.0)에는 개방형 리디렉터 에 대한 언급이 없지만 RFC 6749 (OAuth 2.0)에는 없습니다. 즉, oauth_callbackOAuth 1.0의 매개 변수는 보안 허점이 될 수 있습니다.

따라서 OAuth 1.0이 OAuth 2.0보다 안전하다고 생각하지 않습니다.

---

^{[2016 년 4 월 14 일] 내 요점을 명확하게하기위한 추가}

OAuth 1.0 보안은 서명 계산에 의존합니다. 서명은 비밀 키가 HMAC-SHA1 ( RFC 5849, 3.4.2 ) 의 공유 키 또는 RSA-SHA1 ( RFC 5849, 3.4.3 ) 의 개인 키인 비밀 키를 사용하여 계산됩니다 . 비밀 키를 아는 사람은 누구나 서명을 계산할 수 있습니다. 따라서 비밀 키가 손상되면 서명 계산의 복잡성은 의미가 없지만 복잡합니다.

이는 OAuth 1.0 보안이 서명 계산의 복잡성과 논리에 의존하는 것이 아니라 비밀 키의 기밀성에만 의존한다는 것을 의미합니다. 즉, OAuth 1.0 보안에 필요한 것은 비밀 키를 기밀로 유지할 수있는 조건 일뿐입니다. 이것은 극단적으로 들릴지 모르지만 조건이 이미 만족되면 서명 계산으로 보안 향상이 추가되지 않습니다.

마찬가지로 OAuth 2.0 기밀 클라이언트도 동일한 조건에 의존합니다. 조건이 이미 만족되면 TLS를 사용하여 보안 연결을 작성하고 보안 연결을 통해 권한 부여 서버로 전송 client_id하고 문제점이 client_secret있습니까? OAuth 1.0과 OAuth 2.0 기밀 클라이언트간에 동일한 조건을 사용하는 경우 보안 수준에 큰 차이가 있습니까?

OAuth 1.0이 OAuth 2.0을 비난 할만한 이유를 찾을 수 없습니다. 실제로는 (1) OAuth 1.0은 기밀 클라이언트 전용 사양이며 (2) OAuth 2.0은 기밀 클라이언트 및 지원되는 공용 클라이언트 에 대한 프로토콜도 단순화했습니다 . 잘 알려 진지 여부에 관계없이 스마트 폰 응용 프로그램은 공용 클라이언트 ( RFC 6749, 9 ) 로 분류되며 OAuth 2.0의 이점이 있습니다.

---

답변