10亿移动应用被发现账号易被劫持

香港中文大学的三名研究人员在Black Hat EU报告（PDF）发现了OAuth 2.0单点登录第三方移动应用实现的漏洞，允许攻击者通过恶意应用或网络中间人监听的方式在受害者不知情下远程劫持用户帐户。研究人员研究了三大身份提供商新浪、Facebook和Google的OAuth 2.0 API，这些身份提供商的注册用户数超过了8亿、15亿和25亿，它们被广泛用于第三方移动应用的单点登录。研究人员检查了200个最受欢迎的中国移动应用和400个最受欢迎的美国的移动应用，发现支持新浪账号登录的中国应用有约70%账号易被劫持，相比之下Facebook是15.25%，Google是8%。存在漏洞的移动应用下载量超过24亿，如图所示，大部分存在漏洞的移动应用使用的是新浪的单点登录，研究人员没有公布应用的名字，只是透露了这些移动应用的类型和下载量，通过这些信息还是有可能大概猜测出哪些应用存在漏洞。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。