OAuth2.0协议形式化验证使用AVISPA①.PDF

计 算 机 系 统 应 用 2014 年 第 23 卷 第 11 期 OAuth2.0 协议形式化验证: 使用AVISPA① 郭丹青 ( 中国科学院软件研究所, 北京 100190) ( 中国科学院大学, 北京 100049) 摘 要: OAuth 协议是一套用于在不同的服务中进行身份认证并且实现资源互访一套协议. 由于关系到用户隐私, 所以OAuth 协议的安全性非常重要. 这篇文章的主要贡献是研究OAuth2.0 协议文本, 对协议进行抽象, 并且使用 验证工具 AVISPA 对抽象后的协议进行建模与验证, 找到协议中会导致隐私泄露的一种攻击模式. 我们在建模过 程中提出需将要验证的消息作为双方的对称密码这样一种创新思路. 这种对协议的抽象和验证的方法可以推广 到其他安全协议上, 例如在线支付协议等等. 关键词: OAuth2.0; AVISPA; 抽象; 建模; 验证; 攻击模式 Formal Verification on Oauth2.0: Using AVISPA GUO Dan-Qing (Institute of software, Chinese Academy of Sciences, Beijing 100190, China) (University of Chinese Academy of Sciences, Beijing 100049, China) Abstract: OAuth is an protocol used to identify the client, and control resource access. Because it concerns about the privacy of the private resource owner, the security of OAuth protocol is fairly important. This paper mainly research on the OAuth2.0 protocol text, and make an abstraction on it, build an model in AVISPA, an formal verification tool for security protocols , and then verify the model in AVISPA. Finally, we find there is an attack mode that may result in leaking the private resource to attackers. We suggest a way to model the message to be authenticated as a symmetric key, which is innovative. This modelling and verification method we used on analyzing OAuth2.0 can be used in the verification of other security protocols, like the online payment protocol. Key words: OAuth2.0; AVISPA; abstraction; modelling method; verification; attack mode 1 前言 一些网站上使用 QQ 账号, 新浪微博账号登陆, 在一 随着分布式网络服务和云计算的使用越来越多, 些网站导入微博好友关系, 或者将一些信息分享到微 服务之间的交互越来越频繁, 第三方应用需要有一套