邮差：在 PosteID/SPID 边境进行伦理黑客之旅-计算机科学-公共数字身份系统-数字身份管理.pdfVIP

邮差：在PosteID/SPID边境进行伦理黑客

之旅

GabrieleCosta

卢卡高级研究所（IMT）

本

译摘要

中本文介绍了一项我们对意大利邮政实施的意大利公共数字身份系统（SPID）

1邮政编码进行的安全漏洞评估活动。该活动导致发现了一个关键的权限提升

v漏洞，最终得到了修补。整体分析和披露过程代表了对道德黑客社区有价值

7的案例研究。在这项工作中，我们介绍了技术步骤以及披露过程的细节。

0

0

7

11介绍

.

7

0数字身份管理是安全可靠访问公共服务的基石。在意大利，存在两个官

5

12

2方认证系统，即SPID和CIe。公共数字身份系统（SPID）基于由意大

:

3

v利数字署（AgID）提供的开放协议规范总的来说，SPID认证协议基于众

i

x所周知的SAML单点登录认证流程[6]。然而，该规范扩展了其他方面的覆

r

a盖范围。特别是，协议对于不同身份提供商可能在其实施中使用的强认证机

制是不特定的。因此，该规范包括专门用于确定应使用哪些认证因素和通信

渠道的部分。

在这项工作中，我们进行了一次安全审查，从原始规范和现有指南出

发，使我们能够识别并展示一个严重的权限提升漏洞。该漏洞曾经影响了其

中一个主要的SPID实现，即PosteItaliane的PosteID。得益于身份提供商

的合作及迅速反应，该漏洞被披露并修复，从而消除了对许多公民的重大威

胁。我们的工作突显了几个关键方面，我们认为这些方面对于帮助利益相关

1.it/en/

2.it/en/

3.it/sites/default/files/repository_files/spid-regole_tecniche_

v1.1_0.pdf

1

图1:分析活动和事件管理的时间线。

者提高其安全态势至关重要。因此，在此技术操作的同时，我们还介绍了负

责任的披露流程以及一些经验教训。

2时间线、参与和披露

该活动于2023年10月正式开始，当时我们请求授权对PosteIDAndroid

4

应用程序进行安全评估。漏洞有哪些信誉好的足球投注网站完全集中在PosteID客户端App与远

程服务器之间的通信协议上。因此，我们向意大利邮政的工作人员通报了我

们可能与其远程基础设施建立的交互类型和性质，包括用于我们实验的真

实账户的信息。由于所有活动都遵守服务的名义行为，他们同意了提议的工

作计划。

安全评估于2024年5月完成，当时发现并确认了一个漏洞，并通过概

念验证漏洞利用进行了证实。漏洞披露立即启动，首先进行一次沟通，然后

通过一系列会面持续进行。在这些会议中，漏洞被呈现、记录和演示。作为