Una nueva investigaci\u00f3n ha descubierto una “deficiencia” en el flujo de autenticaci\u00f3n “Iniciar sesi\u00f3n con Google” de Google que explota una peculiaridad en la propiedad del dominio para obtener acceso a datos confidenciales.<\/p>\n
“El inicio de sesi\u00f3n OAuth de Google no protege contra alguien que compre el dominio de una startup fallida y lo use para recrear cuentas de correo electr\u00f3nico para ex empleados”, dijo el cofundador y director ejecutivo de Truffle Security, Dylan Ayrey. dicho<\/a> en un informe del lunes. <\/p>\n “Y aunque no puede acceder a datos de correo electr\u00f3nico antiguos, puede usar esas cuentas para iniciar sesi\u00f3n en todos los diferentes productos SaaS que utiliz\u00f3 la organizaci\u00f3n”.<\/p>\n La compa\u00f1\u00eda con sede en San Francisco dijo que el problema tiene el potencial de poner en riesgo los datos de millones de usuarios estadounidenses simplemente comprando un dominio inactivo asociado con una startup fallida y obteniendo acceso no autorizado a cuentas antiguas de empleados relacionadas con varias aplicaciones como OpenAI ChatGPT, Slack. , Notion, Zoom e incluso sistemas de recursos humanos.<\/p>\n “Las cuentas m\u00e1s confidenciales inclu\u00edan sistemas de recursos humanos, que conten\u00edan documentos fiscales, recibos de sueldo, informaci\u00f3n de seguros, n\u00fameros de seguridad social y m\u00e1s”, dijo Ayrey. “Las plataformas de entrevistas tambi\u00e9n conten\u00edan informaci\u00f3n confidencial sobre comentarios, ofertas y rechazos de los candidatos”.<\/p>\n OAuth, abreviatura de autorizaci\u00f3n abierta, se refiere a un est\u00e1ndar abierto para la delegaci\u00f3n de acceso, que permite a los usuarios otorgar a sitios web o aplicaciones acceso a su informaci\u00f3n en otros sitios web sin tener que proporcionar sus contrase\u00f1as. Esto se logra haciendo uso de un token de acceso para verificar la identidad del usuario y permitir que el servicio acceda al recurso al que est\u00e1 destinado el token.<\/p>\n Cuando se utiliza “Iniciar sesi\u00f3n con Google” para iniciar sesi\u00f3n en una aplicaci\u00f3n como Slack, Google env\u00eda al servicio un conjunto de afirmaciones sobre el usuario, incluida su direcci\u00f3n de correo electr\u00f3nico y el dominio alojado, que luego podr\u00edan utilizarse para iniciar sesi\u00f3n en sus usuarios. cuentas.<\/p>\n Esto tambi\u00e9n significa que si un servicio depende \u00fanicamente de estos datos para autenticar a los usuarios, tambi\u00e9n abre la puerta a un escenario en el que los cambios en la propiedad del dominio podr\u00edan permitir a un atacante recuperar el acceso a las cuentas antiguas de los empleados.<\/p>\n Truffle tambi\u00e9n se\u00f1al\u00f3 que el token de identificaci\u00f3n OAuth de Google incluye un identificador de usuario \u00fanico: el subreclamo<\/a> \u2013 eso, en teor\u00eda, podr\u00eda prevenir el problema, pero se ha descubierto que no es confiable. Vale la pena se\u00f1alar que los tokens Entra ID de Microsoft incluyen el reclamaciones sub o oid<\/a> para almacenar un valor inmutable por usuario.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/La-vulnerabilidad-de-Google-OAuth-expone-a-millones-a-traves.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n