Korean Identity Management(KIM)

title; Simon Willison: OpenID phishing demo
link; http://feeds.feedburner.com/~r/PlanetIdentity/~3/299657206/

http://idtheft.fun.de/ 라는 사이트를 방문해 보세요. OpenID를 악용한 피싱(Phishing) 공격을 보여줍니다. MITM(Man In The Middle) 으로 사용자의 ID/PW를 가로채는데, 실제로 제 패스워드를 넣으려니 너무 찝찝하네요. 

OpenID에서 피싱 공격은 예전부터 인식된 문제입니다. 이미 이를 해결하는 방안이 상당수 제시된 상태입니다.

1. SSL 인증서를 사용한 방식
2. BHO(Browser Helper Object)를 이용한 방식
3. 별도의 검증용 어플리케이션을 이용한 방식
4. 북마크를 이용한 방식
5. 쿠키를 이용한 방식
6. 또 뭐가 있죠? ㅎㅎ

MyID, IDTail, Daum은 모두 SSL 인증서를 사용한 방식을 채택하고 있습니다. 그러니 걱정하지 않으셔도 됩니다.

한가지 재미있는 점은, 국내의 OpenID 프로바이더들이 제일 위에 보이는 것입니다. IDTail, MyID가 보이시죠? Daum이 없어서 아쉽네요.