OAuth的

9 年 2022 月 XNUMX 日 | 百库

立即使用 CyberHoot 保护您的业务！！！

OAuth，也称为开放授权，是一种基于令牌的互联网授权开放标准框架。OAuth 允许第三方服务（例如 Facebook 和 Google）使用最终用户的帐户信息，而无需将用户的帐户凭据暴露给第三方。它作为最终用户的中间人，向第三方服务提供一个访问令牌，该令牌授权共享特定的帐户信息。获取令牌的过程称为授权流程。

OAuth 1.0 于 2007 年首次发布，作为 Twitter应用程序编程接口 (API) 的授权方法。2010年，IETF OAuth 工作组发布了 OAuth 2.0 协议的第一个草案。与最初的 OAuth 类似，OAuth 2.0 允许用户在不共享密码的情况下授予第三方应用程序访问 Web 资源的权限。然而，它是一个全新的协议，与 OAuth 1.0 不向下兼容。更新后的功能包括：新的授权码流程以适应移动应用程序、简化的签名以及有效期长但有效期短的令牌。这使得最终用户能够在需要时更轻松地撤销令牌。

OAuth 通常用于整合用户凭证并简化用户的登录流程，以便当他们访问在线服务时，他们不必重新输入其他在线帐户已经拥有的信息。

OAuth 是网站身份验证的底层技术，允许用户使用其在其他网站（例如 Facebook、Twitter、LinkedIn、Google、GitHub 或 Bitbucket）的帐户注册或登录。例如，如果用户在登录其他网站时点击了 Facebook 的登录选项，Facebook 会对其进行身份验证，然后原始网站会使用从 Facebook 获得的权限登录用户。

这对于 SMB 或 MSP 意味着什么？

OAuth 和第三方权限软件即服务（SaaS）解决方案应该由 IT 人员监控。 OAuth的这种机制使得应用程序互连变得简单，但许多人并未考虑可能产生的后果。当这些 SaaS 应用和其他 SaaS 平台附加组件请求权限时，通常会毫不犹豫地获得批准，这为黑客提供了更多访问公司数据的机会。这使公司面临风险供应链攻击, API 接管，并无意中在公司设备上安装了恶意的第三方应用程序。一些安全研究人员并不看好 OAuth 身份验证机制，声称该机制充斥着漏洞，这些漏洞可能会被缺乏经验且未正确保护 API 的程序利用。这 Portswigger.net 文章概述了 OAuth 实施中发现的许多潜在威胁。
CyberHoot 底线：如果您确实想在中小企业中实施 OAuth，请坚持使用 Okta、Azure AD 或 RSA 等公司的主流供应商实现。这些公司都已存在多年，其代码库经过严格审查，并且资金雄厚，可以有效降低 API 中的风险。此外，请确保将任何 OAuth 源身份验证服务与多因素认证在向第三方授予令牌之前。最后，您的公司应该真正采取以下所有网络安全计划措施，以确保您的安全得到保障：

安全意识培训——网络安全的第一步始终是提高员工的安全意识。一旦员工更加了解 OAuth 机制带来的风险和危险，他们就会更加谨慎地使用这些机制。

启用多因素身份验证——提升组织云安全性的最佳方法之一就是为所有账户启用并强制执行多因素身份验证 (MFA)。对于主要的电子邮件和协作平台而言，这一点尤为重要，因为它可以降低攻击者利用窃取的凭据造成的危害。

政策——企业应制定政策，强制员工提交第三方应用程序的申请。这可以在企业的《可接受使用政策》(AUP) 中实施。

启用 SaaS 安全监控——SaaS 安全监控是 SaaS 架构中至关重要的安全层。它使您能够按部门管理员工对所需 SaaS 应用的访问权限，整合许可证，并为您提供前所未有的 SaaS 架构可视性。Blissfully就是一个能够实现以上所有功能甚至更多功能的优秀平台；它是构建 IT 架构时不可或缺的 SaaS 安全要素。

管理 SaaS 访问权限和密码– 如前所述，某些 SaaS 应用程序无法集成到 SSO 解决方案中。对于这种情况，CyberHoot 建议使用密码管理器。LastPass、1Password、DashLane 或 Bitwarden 等信誉良好的密码管理器允许用户生成强度高且唯一的 14 个字符以上的密码，存储网站凭据以及存储加密的安全笔记。这些工具的另一个优点是，它们允许用户安全地与受信任的员工或客户共享凭据或笔记。

实用建议和常识在这里适用。确保您的用户知道不要盲目接受 SaaS 应用程序请求的所有访问权限，这与默认拒绝手机应用程序访问您的联系人列表或拒绝访问您的位置数据没什么不同。如果它不需要访问权限来运行，您的默认设置应该始终是拒绝访问。

CyberHoot 的最低基本网络安全建议

以下建议将帮助您和您的企业应对日常工作中可能面临的各种威胁，确保安全。所有建议均可通过聘请 CyberHoot 的虚拟首席信息安全官 (vCISO) 项目开发服务获得。

用政策和程序来管理员工。你至少需要制定密码策略、可接受使用策略、信息处理策略以及书面信息安全计划 (WISP)。
培训员工如何发现和避免网络钓鱼攻击. 采用 CyberHoot 等学习管理系统来教导员工他们需要的技能，使他们更加自信、高效和安全。
使用网络钓鱼攻击测试员工的实践经验。CyberHoot 的网络钓鱼测试允许企业使用可信的网络钓鱼攻击来测试员工，并对未通过测试的员工进行补救性网络钓鱼培训。
部署关键网络安全技术，包括双因素认证在所有关键账户上。启用垃圾邮件过滤、验证备份并部署 DNS 保护。杀毒软件以及所有端点上的反恶意软件。
在现代的在家办公时代，请确保通过验证个人设备的安全性（修补、防病毒、DNS 保护）或完全禁止其使用来管理连接到网络的个人设备。
如果您过去两年没有进行过第三方风险评估，现在就应该进行一次。在组织中建立风险管理框架对于利用有限的时间和金钱应对最严重的风险至关重要。
购买网络安全保险，在灾难性故障情况下为您提供保障。网络安全保险与汽车、火灾、洪水或人寿保险一样，在您最需要的时候为您提供保障。

除了网络保险之外，以上所有建议都已集成到 CyberHoot 的产品和虚拟首席信息安全官 (CIO) 服务中。借助 CyberHoot，您可以管理、培训、评估和测试您的员工。立即访问CyberHoot.com并注册我们的服务。至少，您可以订阅我们每月发布的网络安全新闻简报，持续学习最新的网络安全动态。