いくつかのOpenID実装に深刻なバグがあるとOpenID Foundationが警告
1つのユーザーIDで、さまざまなWebサイトの認証を実現するOpenIDですが、その実装に深刻なバグがあるとOpenID Foundationが警告しています。
具体的には、OpenIDの拡張仕様であるAX（Attribute Exchange：属性交換）で介される情報の署名を確認しないため、攻撃者が変更することができる可能性があるとのこと。
対策としては、アプリケーションでは署名をしている属性値のみを受け入れるように変更が必要です。OpenID4Javaを使っている場合には、最新版0.9.6 finalは対応済みなのでアップデートしましょう。
発見した研究者は影響を受ける主なWebサイトには連絡しているようです。
日本国内ではどれぐらい対応されているのでしょうかね？
詳しい日本語の解説はこちらのブログを参考に。
