proto.lib

Chống lừa đảo qua màn hình chấp thuận OAuth (Consent Phishing)

Kẻ tấn công không cần đánh cắp mật khẩu: nạn nhân thấy đúng màn hình chấp thuận (consent screen) THẬT của một ứng dụng do kẻ tấn công đăng ký, xin các scope rộng, và khi nạn nhân bấm Allow thì kẻ tấn công có ngay access token hợp lệ — không có bước nhập mật khẩu hay MFA nào bị vượt qua vì chẳng có bước nào xảy ra.

SecurityTrung bình2026-08-25
Chống lừa đảo qua màn hình chấp thuận OAuth (Consent Phishing)

Tags

#oauth#consent-phishing#admin-consent#scope-minimisation#grant-review#app-allowlist

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa (self-contained, JWT ký sẵn) vẫn hợp lệ tới khi hết hạn dù server có muốn thu hồi ngay; muốn "đăng xuất mọi nơi" phải chọn giữa access token sống ngắn kèm refresh token có thể revoke, hoặc một danh sách/version kiểm tra ở mọi resource server.

#token-revocation#oauth#jwt#session-management
SecurityNâng cao

OAuth Token Exchange (RFC 8693)

Một service đổi token hiện có lấy token khác có phạm vi hẹp hơn để gọi service phía sau, hỗ trợ delegation và impersonation.

#oauth#token-exchange#delegation#impersonation
SecurityNâng cao

OAuth RAR - Rich Authorization Requests (RFC 9396)

Thay vì scope dạng chuỗi phẳng, client gửi authorization_details có cấu trúc JSON mô tả chi tiết quyền truy cập theo từng resource cụ thể.

#oauth#rar#rfc9396#authorization-details