Azure ACS - URL xác nhận quyền sở hữu được hiển thị trong lịch sử trình duyệt - lỗ hổng bảo mật?

Question

Tìm thấy bản trình diễn ACS chính thức này http://www.fabrikamshipping.com/ trong khi nghiên cứu về ACS.
Trong chính ứng dụng, khi đăng nhập với một trong các nhà cung cấp (tôi đã chọn Google), tôi có thể thấy trong lịch sử trình duyệt URL chứa các xác nhận quyền sở hữu được trả lại từ ACS. Đó là URL bắt đầu bằng:

https://fabrikamshipping.accesscontrol.windows.net/v2/openid?context=pr%3dwsfederation%26rm%3dhttp%253a%252f%252ffabrikamshipping%252fcons ...

Đi URL này đăng nhập tôi trong ứng dụng, ngay cả sau khi thanh toán bù trừ tất cả bộ nhớ cache và cookie trình duyệt.
Vì vậy, nếu tôi đăng nhập vào ứng dụng từ một số máy tính công cộng, sau đó đăng xuất, tài khoản của tôi sẽ được hiển thị bằng cách truy cập URL này trong lịch sử trình duyệt.

Tôi biết đây là cách nổi bật để xử lý danh tính ACS hoạt động.
Tôi thiếu gì ở đây?

Answer 1

tôi mở cùng một sợi trên các diễn đàn chính thức Azure:

http://social.msdn.microsoft.com/Forums/en-US/windowsazuresecurity/thread/8f35d6d7-fe0d-4589-9502-54c85714979a

Nó có vẻ như một vấn đề được biết đến. Tôi sẽ cập nhật câu trả lời ở đây ngay sau khi giải pháp được cung cấp.

Answer 2

Bạn không bị thiếu. URL này sẽ đăng nhập bạn, ngay cả khi tất cả các cookie đều bị xóa. Tuy nhiên, khi đi trên máy tính công cộng, bạn phải cẩn thận hơn về thông tin đăng nhập của mình. Xóa lịch sử sẽ xóa URL này khỏi lịch sử trình duyệt.

Ngoài ra, tôi không thực sự thấy URL xác nhận quyền sở hữu trong lịch sử của mình.

Một cách khác để bảo vệ dữ liệu cá nhân của bạn là sử dụng "In Private Browsing session" cho trình duyệt bạn chọn. Lưu ý rằng rất khó cho ai đó xem, chưa kể đến việc nhớ URL đó. Bạn nhận được nó, bởi vì bạn đã sao chép từ trình duyệt tại thời điểm chuyển hướng.