Azure ACS - URL roszczeń ujawnionych w historii przeglądarki - luka w zabezpieczeniach?

Question

Znaleziono oficjalne demo ACS http://www.fabrikamshipping.com/ podczas badania na ACS.
W samej aplikacji, po zalogowaniu się u jednego z dostawców (wybrałem Google), widzę w historii przeglądarki adres URL zawierający roszczenia zwrócone z ACS. Jest to adres, który rozpoczyna się:

https://fabrikamshipping.accesscontrol.windows.net/v2/openid?context=pr%3dwsfederation%26rm%3dhttp%253a%252f%252ffabrikamshipping%252fcons ...

Przechodzenie do tego URL loguje mnie w aplikacji, nawet po wyczyszczenie pamięci podręcznej przeglądarki i wszystkie ciasteczka.
Więc jeśli zaloguję się do aplikacji z jakiegoś publicznego komputera, a następnie wyloguję się, moje konto zostanie ujawnione, przechodząc do tego adresu URL w historii przeglądarki.

Wiem, że to jest standardowy sposób, w jaki działa obsługa tożsamości ACS.
Czego tu mi brakuje?

Answer 1

otworzyłem ten sam wątek w Azure oficjalnych forach:

http://social.msdn.microsoft.com/Forums/en-US/windowsazuresecurity/thread/8f35d6d7-fe0d-4589-9502-54c85714979a

Wygląda znanego problemu. Zaktualizuję odpowiedź tutaj, gdy tylko zostanie podane rozwiązanie.

Answer 2

Nie brakuje. Ten adres URL zaloguje się, nawet wszystkie pliki cookie zostaną wyczyszczone. Jednak przechodząc na publiczny komputer musisz być bardziej ostrożny w kwestii swoich poświadczeń. Wyczyszczenie historii spowoduje wyczyszczenie tego adresu URL z historii przeglądarek.

Nie widzę też adresu URL roszczeń w mojej historii.

Innym sposobem ochrony danych osobowych jest użycie "In Private Browsing session" dla wybranej przeglądarki. Zauważ, że jest to bardzo trudne dla kogoś, nie wspominając o pamiętaniu tego adresu URL. Dostałeś to, ponieważ skopiowałeś z przeglądarki w momencie przekierowania.