Security considerations for integrity of solid:oidcIssuer triples

Abierto
#219 4 comentarios 3 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
35/100
Tipo de issue
Documentación
Claridad
Bastante claro
Estado de actividad
Estancado
Área
authentication, documentation, security

Línea de trabajo

Empieza por localizar la sección de la especificación que trata sobre solid:oidcIssuer y revisar sus consideraciones de seguridad existentes. Evalúa la orientación propuesta frente a los casos de escritura y anexado del perfil WebID descritos en el issue; se considera terminado cuando se añada una consideración de seguridad acordada o se aclare el comportamiento requerido.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

I am not sure if this is the correct specification, but I'd suggest to add security considerations for the write/changability of the solid:oidcIssuer triple in the WebID profile.

The solid:oidcIssuer is used to verify that access token are created by the right entity for a WebID:

A WebID Profile lists the OpenID Providers who are trusted to issue tokens on behalf of the agent who controls the WebID.

In turn this means, if someone is able to add or change this triple in the profile, they can point it to a server under their control and create valid access tokens. Thus, append or write access to the profile indirectly gives access to anything the webID has access to.

I propose to add a Security Consideration along the lines of: "WebID providers SHOULD/MUST ensure the integrity of solid:oidcIssuer triples. Any agent that can modify or add solid:oidcIssuer triples to the WebID could impersonate this WebID."

In practice, this could be implemented in one of following ways:

  • make the web ID readonly (I think this is what ESS does in combination with an extended profile)
  • reject requests that modify or add solid:oidcIssuer triples to the webID, even if the agent has append/write access
Lenguaje dominante
Bikeshed
Estrellas
26
Forks
14
Sin PR fusionados en 30 d

Guía de contribución

No hay ninguna guía de contribución indexada para este repositorio

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de solid/solid-oidc

Todos los issues de solid/solid-oidc

Issues similares

Más issues de Security

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.