dotNetOpenAuth Próbki problem coraz kontekst prawy bezpieczeństwa

Question

Idę przez dotNetOpenAuth Samples (OpenIdRelyingPartyMVC i OpenIdProviderMvc) i wymyślić na pytanie dla lepszego zrozumienia ...

W MembersArea w Strona ufająca App używam OpenID "http://localhost:4864/user/bob3" na przykład. Dostaję przekierowanie na stronę logowania dostawców, gdzie używam referencji Boba . Po pomyślnym zalogowaniu, otrzymuję przekierowanie z powrotem do strony RlyingParty, która mówi "Gratulacje Bob3 ...".

Czy jest to tylko wiążący się błąd w aplikacji strony ufającej, która pobiera identyfikator OpenID, który został przesłany do dostawcy, lub czy jestem uwierzytelniony w kontekście zabezpieczeń programu Bob3 za pomocą poświadczeń programu Bob5, które byłyby poważnym problemem zabezpieczeń w moim zdaniem, ponieważ jestem w stanie uwierzytelnić się jako ktokolwiek, kogo chcę, tylko z jednym działającym kontem użytkownika u dostawcy.

Answer 1

myślę używasz oddział out-of-date, który zawiera kwestię bezpieczeństwa, która została odkryta 3 lata temu:

http://www.zdnet.com/article/dotnet-projects-flawed-sample-code-has-crippling-authentication-exploit/

Kodeksu wadliwej Kontroler: https://github.com/DotNetOpenAuth/DotNetOpenAuth.Samples/blob/master/src/OpenID/OpenIdProviderMvc/Controllers/OpenIdController.cs

Fixed kod: https://github.com/DotNetOpenAuth/DotNetOpenAuth/blob/develop/samples/OpenIdProviderMvc/Controllers/OpenIdController.cs

Diff poprawki: https://github.com/DotNetOpenAuth/DotNetOpenAuth/commit/cdd3e95f4eac8076ffd78641bf4cf61d4422572a

Wydaje mi się, że gałąź "master" jest przestarzała, podczas gdy gałąź "development" jest tą, z której powinniśmy korzystać.