16.12. Open redirectors

오픈 리디렉션자는 사용자 에이전트를 검증 없이 매개 변수 값으로 지정하는 위치로 자동으로 리디렉션하기 위해 매개 변수를 사용하는 끝점입니다. 공격자는 최종 사용자 인증 엔드포인트 및 리디렉션 URI 매개 변수를 사용하여 권한 부여 서버를 오픈 리디렉션 도구로 사용할 수 있습니다. 인증 서버에 대한 사용자 신뢰를 사용하여 피싱 공격을 시작할 수 있습니다.

Red Hat Single Sign-On에서는 등록된 모든 애플리케이션과 클라이언트가 하나 이상의 리디렉션 URI 패턴을 등록해야 합니다. 클라이언트가 Red Hat Single Sign-On이 리디렉션을 수행하도록 요청하면 Red Hat Single Sign-On은 유효한 등록된 URI 패턴 목록에 대해 리디렉션 URI를 확인합니다. 클라이언트 및 애플리케이션은 오픈 리디렉션기 공격을 완화하려면 가능한 특정 URI 패턴으로 등록해야 합니다.

애플리케이션에 비 http(s) 사용자 정의 체계가 필요한 경우 검증 패턴의 명시적 부분(예: custom:/app/*)이어야 합니다. 보안상의 이유로 * 와 같은 일반적인 패턴은 비 http(s) 스키마를 다루지 않습니다.