Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Security considerations for integrity of solid:oidcIssuer triples

Aperta
#219 4 commenti 3 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
35/100
Tipo di issue
Documentazione
Chiarezza
Abbastanza chiara
Stato di attività
Ferma
Ambito
authentication, documentation, security

Direzione di ricerca

Inizia individuando la sezione della specifica relativa a solid:oidcIssuer e rivedendo le considerazioni di sicurezza esistenti. Valuta le indicazioni proposte rispetto ai casi di scrittura e aggiunta al profilo WebID descritti nell'issue; il lavoro è completato quando viene aggiunta una considerazione di sicurezza concordata oppure viene chiarito il comportamento richiesto.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

I am not sure if this is the correct specification, but I'd suggest to add security considerations for the write/changability of the solid:oidcIssuer triple in the WebID profile.

The solid:oidcIssuer is used to verify that access token are created by the right entity for a WebID:

A WebID Profile lists the OpenID Providers who are trusted to issue tokens on behalf of the agent who controls the WebID.

In turn this means, if someone is able to add or change this triple in the profile, they can point it to a server under their control and create valid access tokens. Thus, append or write access to the profile indirectly gives access to anything the webID has access to.

I propose to add a Security Consideration along the lines of: "WebID providers SHOULD/MUST ensure the integrity of solid:oidcIssuer triples. Any agent that can modify or add solid:oidcIssuer triples to the WebID could impersonate this WebID."

In practice, this could be implemented in one of following ways:

  • make the web ID readonly (I think this is what ESS does in combination with an extended profile)
  • reject requests that modify or add solid:oidcIssuer triples to the webID, even if the agent has append/write access
Lingua principale
Bikeshed
Stelle
26
Fork
14
Nessuna PR unita negli ultimi 30g

Guida per i contributori

Nessuna guida per i contributori indicizzata per questo repository

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di solid/solid-oidc

Tutte le issue di solid/solid-oidc

Issue simili

Altre issue su Security

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.