<html><body><p>I would have thought Phase 1.1 of this attack be avoided with simple CSRF protection on the honestClient's endpoint accepting the end-user's identifier. In this way it's no different from any other phishing attack. The rest of the attack is then a moot point.<br><br><br><br><img width="16" height="16" src="cid:1__=C5BBF44FDFEEDBC68f9e8a93df938690918cC5B@" border="0" alt="Inactive hide details for Mike Schwartz ---13/10/2015 08:39:42---Attacking OpenID Connect 1.0 - Malicious Endpoints Attack http"><font color="#424282">Mike Schwartz ---13/10/2015 08:39:42---Attacking OpenID Connect 1.0 - Malicious Endpoints Attack <a href="http://web-in-security.blogspot.com/2015/1">http://web-in-security.blogspot.com/2015/1</a></font><br><br><font size="2" color="#5F5F5F">From:        </font><font size="2">Mike Schwartz <mike@gluu.org></font><br><font size="2" color="#5F5F5F">To:        </font><font size="2">openid-specs-ab@lists.openid.net</font><br><font size="2" color="#5F5F5F">Date:        </font><font size="2">13/10/2015 08:39</font><br><font size="2" color="#5F5F5F">Subject:        </font><font size="2">[Openid-specs-ab] Attacking OpenID Connect 1.0 - Malicious        Endpoints Attack</font><br><font size="2" color="#5F5F5F">Sent by:        </font><font size="2">"Openid-specs-ab" <openid-specs-ab-bounces@lists.openid.net></font><br><hr width="100%" size="2" align="left" noshade style="color:#8091A5; "><br><br><br><tt>Attacking OpenID Connect 1.0 - Malicious Endpoints Attack<br><br></tt><tt><a href="http://web-in-security.blogspot.com/2015/10/attacking-openid-connect-10-malicious.html">http://web-in-security.blogspot.com/2015/10/attacking-openid-connect-10-malicious.html</a></tt><tt><br><br>In this post we show a novel attack on OpenID Connect 1.0, which <br>compromises the security of the entire protocol - the Malicious <br>Endpoints attack. The idea behind the attack is to influence the <br>information flow in the Discovery and Dynamic Registration Phase in such <br>a way that the attacker gains access to sensitive information...<br><br><br>_______________________________________________<br>Openid-specs-ab mailing list<br>Openid-specs-ab@lists.openid.net<br></tt><tt><a href="http://lists.openid.net/mailman/listinfo/openid-specs-ab">http://lists.openid.net/mailman/listinfo/openid-specs-ab</a></tt><tt><br><br></tt><br><br><BR>
</body></html>