双窗口SSO流：全面评估与安全威胁揭示

双窗口SSO流是一种新兴的单点登录（Single Sign-On, SSO）技术，它在现代Web应用程序，尤其是单页应用程序（SPA）中得到广泛应用。传统的教科书SSO流程通常依赖于HTTP重定向，但在SPA中由于会丢失本地状态而不再适用。因此，开发者利用浏览器的新技术，如`postMessage`，创建了一种无需HTTP重定向的SSO解决方案，即双窗口SSO流。 该技术的核心是在两个窗口（主窗口和弹出窗口或者iframe）之间进行身份验证令牌的交换，以实现用户在一个身份提供商（IdP）登录后无须再次输入凭据就能访问多个服务提供商（SP）的应用。然而，这种创新方法带来了新的安全挑战。本文作者路易·詹内特、Vladislav Mladenov、Christian Mainka和Jörg Schwenk对双窗口SSO流进行了深入研究，特别是针对浏览器内通信（In-Page Browser Communication, InBC）的安全特性进行了评估。 作者开发了一个名为DIstInct的动态分析工具，能够自动化分析这一流程，将SSO流转化为包含通信实体和消息交换的序列图。通过这种方式，他们揭示了这一技术中存在的潜在威胁，包括身份盗窃和跨站脚本攻击（Cross-Site Scripting, XSS）。他们调查了TranCoTop1k列表中的56%的SP支持的双窗口SSO，令人惊讶的是，有28%的SP在未使用官方软件开发工具包（SDK）的情况下实施了这一技术，这导致这些非官方实现中有31%存在安全漏洞。 本文的研究关注点集中在以下几个方面： 1. **双窗口SSO流程**：理解其工作原理，包括如何在不同窗口间传递身份验证令牌，以及如何适应现代Web应用的需求。 2. **浏览器内通信的安全评估**：探讨InBC如何影响身份验证的可靠性和安全性，尤其是在没有官方支持的情况下。 3. **DIstInct工具的作用**：作为一种动态分析工具，它如何帮助识别并量化双窗口SSO中的安全威胁。 4. **实际威胁**：报告了身份盗窃和XSS这类常见攻击在双窗口SSO中的发生率。 5. **研究结论与启示**：对于开发人员、安全专家和政策制定者，这项研究提供了一个关于双窗口SSO流安全性的警示，强调了在开发和实施此类技术时必须重视安全考虑。 这个领域的研究对于保障在线服务的安全性和用户体验至关重要，未来可能需要更多的规范和最佳实践来确保这种新兴技术的安全使用。