Security analysis of the Grant Negotiation and Authorization Protocol

Abstract

The Grant Negotiation and Authorization Protocol (GNAP) is a protocol under development by the IETF that allows delegating permissions to third parties. With these permissions, the third party can, for example, access protected APIs or obtain information directly from the issuer of the permissions. The scope of the permissions can be negotiated between the third party and the issuer. Since this allows the third party to access the resources of the issuer, the security of the protocol is of key importance. For example, only the approved permissions should be delegated to only the authorized third party. To analyze the security of GNAP, we model the protocol within the Web Infrastructure Model, including various interaction modes of GNAP. We define several security properties regarding the authorization of access via the protocol and prove them within our model. In the course of this work, several attacks and vulnerabilities of GNAP were discovered, which we reported to the editors of GNAP. Together with the editors, we worked out mitigations and security considerations regarding these issues, which were added to the protocol. To be able to prove the security of GNAP, we also implemented them in our model.

Das Grant Negotiation and Authorization Protocol (GNAP) ist ein sich in Arbeit befindliches Protokoll der IETF, das es erlaubt, Berechtigungen an eine dritte Partei zu delegieren. Mit diesen Berechtigungen kann die dritte Partei etwa auf geschützte APIs zugreifen oder direkt Informationen vom Aussteller der Berechtigungen erhalten. Der Umfang der Berechtigungen kann dabei zwischen der dritten Partei und dem Aussteller ausgehandelt werden. Da dies einem Dritten den Zugang zu den Ressourcen des Ausstellers ermöglicht, ist die Sicherheit des Protokolls von zentraler Bedeutung. So sollten etwa nur die genehmigten Berechtigungen an ausschließlich die autorisierte dritte Partei delegiert werden. Um die Sicherheit von GNAP zu untersuchen, modellieren wir das Protokoll innerhalb des Web Infrastructure Model und inkludieren dabei verschiedene Interaktionsmodi von GNAP. Wir stellen mehrere Sicherheitseigenschaften bezüglich der Autorisierung von Zugriffen durch das Protokoll auf und beweisen diese innerhalb unseres Modells. Im Rahmen der Arbeit wurden dabei verschiedene Angriffe und Schwachstellen von GNAP entdeckt, die wir den Editoren von GNAP gemeldet haben. Zusammen mit den Editoren haben wir Gegenmaßnahmen und Sicherheitserwägungen bezüglich dieser Probleme erarbeitet, die zum Protokoll hinzugefügt wurden. Um die Sicherheit von GNAP beweisen zu können, haben wir diese auch in unserem Modell umgesetzt.