4成采用OAuth 2.0+SSO的行动程式有漏洞，10亿用户账号可能遭挟持
示意图，与新闻事件无关。
3名来自香港中文大学的安全研究人员于上周揭露，基于令牌的授权开放标准OAuth 2.0含有一执行瑕疵，若再加上开发人员未留意程式与该标准的安全互动，将允许骇客挟持使用者账号。在所测试的600款行动程式中，约有41.2%拥有该漏洞，殃及10亿个用户账号。
迄今已有许多主流身份供应商采用OAuth 2.0以提供单一登入（Single-Sign-On，SSO）服务，包括Google、Facebook与新浪网等，同时也有大量的行动程式支援SSO。
此一研究报告名为“轻松登入10亿个基于OAuth 2.0的行动程式账号”（Signing into One Billion Mobile App Account Effortlessly with OAuth2.0），研究人员打造了一个攻击程式，检查了中国及美国市场最受欢迎的600款行动程式，这些程式都支援基于OAuth 2.0的SSO，发现其中的42.1%允许远端骇客在使用者完全不需与之互动也未察觉的情况下远端登入使用者的行动程式，危及10亿个账号。
研究人员指出，一来OAuth2.0已被行动程式的系统设定及操作环境所覆盖，二来OAuth2.0并未定义基于SSO程序时行动程式与后端服务器互动时所需的安全要求，再加上身份供应商所打造的各种以OAuth2.0为基础的客制化API缺乏使用上的安全准则，而出现了安全缺口。
骇客将能透过中间人攻击登入使用者的账号，有许多受欢迎的约会程式、旅游程式、购物程式、订房程式、金融程式、聊天程式与新闻程式都可被攻陷，当骇客掌控了使用者账号之后，即可存取储存于程式后端服务器的使用者机密资讯，甚至利用使用者的账号打电话或购物等。
根据研究人员的说法，该漏洞的根本原因其实很常见，就只是后端服务器误信了来自行动程式的不当凭证资讯罢了。
