2.0ではIdPの仕様について言及されていないので、ここでは唯一、サインイン・プロセスの問題を扱う(ただし非対話)。†クライアントにユーザID/パスワードが渡る。トークン取り消しが機能しない。認可プロセスを制御できない。†ユーザID/パスワードの漏洩ユーザID/パスワードの盗難ユーザID/パスワードの盗聴ユーザID/パスワードのオンライン推測Client側でのパスワードの露見アクシデント非対話的問題を突いた攻撃。Serverが同じ組織に利用されているケースユーザに異なるサービスに同じユーザID/パスワードを使用しないように促す。†SSL/TLSを利用する。平文認証を使用しない代替認証を使用する。†クライアントが十分な保護を提供していない場合、偶発的に起きる。他のフローを使用する。悪意のあるClientが、不要に大きなscopeを持ったトークンを取得できる。悪意のあるClientが、不要に大きなscopeを持ったトークンを要求する。他の(対話的)フローを使用する。Ownerに通知する。他の(対話的)フローを使用する。当該フローでrefresh_token発行しない。Ownerに通知する。†サインイン安全なパスワードポリシー設定する。ロックアウト、タールピット(一時的ロック)を使用する。CAPTCHAを使用する。他のフローを使用する。クライアント認証を併用する。Credentialsで説明したものと同様だが、ユーザID/パスワードは使用しないため、非対話的問題を突いた攻撃の考慮事項に限定される。†ネットでピックアップされていたもの。†Clientを用いた攻撃が可能になる。†Clientなりすまし(偽装)client_idを盗んで、特定のClientになり済ますことができる。これにより、攻撃用のClientを使用した攻撃が可能になる。悪意のあるClientの登録する場合、悪意のあるClientが登録できる。Clientを利用してcodeやtokenを盗むことができる。悪意のあるClientの登録クライアントの登録機能をサポートしない。攻撃者のClientのRedirectエンドポイントに誘導できる。他人のaccess_tokenを取得できる可能性がある。注入(CSFR)自分のaccess_tokenで他のユーザが操作を行える。†codeを収集し、置換・注入(CSFR)の攻撃を行う。自分のClientを使用して、他人のcodeを収集する。他人のcodeを収集して、自分のフロー中に埋め込む(置換)。注入(CSFR)攻撃対象のClientを使用して、自分のcodeを収集する。自分のcodeを収集して、他人のフロー中に埋め込む(注入(CSFR))。注入(CSFR)ClientにCSFR対策を施す。認可エンドポイントへ遷移する際にstateパラメタを付与する。Redirectエンドポイントでstateパラメタをチェックする。車が通れる程どてかいセキュリティ・ホールが開く。Tokenを収集する。Token置き換え攻撃により、Client(B)経由でリソース・アクセスできる。Server側でもClient検証を行う。