OpenID的安全性 - 虛假的OpenID重定向

Question

我試圖找出如何接受OpenID登錄的網站無法通過簡單的主機被黑客攻破文件更新爲指向一個虛假的OpenID提供商。例如

比方說，我想侵入Joe Smith的賬戶，並且假設他的OpenID提供者是http://jsmith.myopenid.com。什麼會阻止我在我的主機文件中創建一個條目，將jsmith.myopenid.com指向我控制的IP。然後，我會僞造身份驗證，並返回說，用戶成功登錄的響應。

我知道會有一個SSL失配在瀏覽器的警告，但因爲它是我的瀏覽器，我可以很容易忽略它。請求網站如何知道其收到的迴應實際上來自請求的網站？

這似乎是一個基本的攻擊，我相信後面的人已經包括了一個解決方案，我只是不能被搜索的正確方面去尋找答案。

Answer 1

依賴方直接與OpenID提供者聯繫，或者在進行身份驗證之前（建立一個用於將HMAC放在OpenID提供者的響應上的共享密鑰）或者身份驗證之後（要求它確認實際來自OpenID的響應提供商）。

對於你的攻擊的工作，你還需要能夠控制依賴方的DNS查詢，而不是你自己的。