OWASP和ADFS 2.0

Question

是否有安全资源/博客帖子，演示ADFS 2.0（或普通SSO）与OWASP - Top 10 list of vulnerabilities的优点？

对于ASP .NET（从Troy Hunt中最好的一个）有几个很好的资源。但他们都没有谈到ADFS 2.0。用ADAS 2.0 w.r.t给OWASP添加什么价值（肯定有!!）？建设性的讨论也将受到赞赏。

Answer 1

最好的办法是和Gunnar Peterson谈谈（寻找1raindrop）。他是SSO/SAML去找人。特洛伊也有很好的价值，并且与微软的堆栈完全一致。

排名前10的方法论是关于研究人员发现之前发表的内容（所以OWASP Top 10 2007是2006年的不足之处）。无论好坏，研究人员通常不会遇到企业应用程序，堆栈或核心技术，如ADFS。那些做支付看看他们，不幸的是，通常需要一个NDA。

更好的方法是我为应用程序安全验证标准采用的方法，OWASP开发人员指南 - 为建造者提供建筑帮助，因此您应采取积极的，可验证的步骤来保护自己。

前10名是开始讨论的一个很好的教育作品，但正如我在2007年前10名的介绍中所写的，2007年前10名（以及所有这些真的）都不是标准！不要像这样使用它们。

吉姆马尼科正在与一个亿万作者的作弊系列作品。如果您有兴趣参与OWASP，可以考虑使用ADFS或SSO备忘单？

谢谢， Andrew