Risiko Otentikasi Ditemukan di Platform Okta

Para peneliti telah menemukan empat risiko keamanan "berdampak tinggi" di platform manajemen akses dan identitas (IAM) Okta, menurut laporan Selasa.

Risikonya termasuk kebocoran kata sandi cleartext melalui SCIM – Sistem untuk Manajemen Identitas Lintas-domain – berbagi kata sandi dan data lain melalui saluran HTTP yang tidak terenkripsi, konfigurasi default yang memungkinkan admin untuk menyerang lingkungan TI organisasi lain, dan spoofing log identitas yang dapat diubah.

Penyerang yang memanfaatkan risiko ini dapat mencuri data autentikasi, mengakses informasi pribadi dan keuangan yang sensitif, serta mengganggu lingkungan TI yang dikelola Okta.

Risiko di IAM

Perangkat lunak IAM mengatur individu mana yang memiliki akses ke sumber daya mana dalam lingkungan TI. Platform seperti Okta juga menawarkan fitur seperti manajemen kata sandi dan sistem masuk tunggal, yang memungkinkan pengguna untuk masuk dengan lebih mulus dan berpindah dari satu lingkungan perangkat lunak ke lingkungan perangkat lunak lainnya. Secara keseluruhan, IAM cukup nyaman bagi pengguna dan administrator.

Namun, IAM yang tidak aman nyaman bagi penyerang karena banyak alasan yang sama. Risiko yang baru ditemukan di Okta dapat memungkinkan peretas atau orang dalam yang jahat untuk mendapatkan kata sandi, mengambil alih akun administrator, atau bahkan menghancurkan seluruh data organisasi.

Ambil contoh, risiko ketiga yang diuraikan dalam laporan.

Untuk organisasi global dan terdistribusi, Okta menggunakan a arsitektur hub dan spoke, di mana perusahaan induk (“hub”) mengawasi dan menyediakan layanan untuk bisnis independen yang lebih kecil (“spokes”) yang dikendalikannya. Apa yang ditemukan oleh para peneliti adalah bahwa seorang admin di Okta berbicara “dapat meniru akun apa pun di hub dan/atau aplikasi hilir yang terhubung ke hub.” Laporan tersebut menjelaskan bagaimana hal ini dapat terjadi, secara hipotetis:

Sebuah perusahaan kecil diakuisisi oleh Fortune 500 yang besar. Korporasi menghubungkan Okta perusahaan kecil sebagai jari-jari ke Okta utama mereka yang bertindak sebagai hub mereka dengan konfigurasi default. Admin yang disusupi dari bicara perusahaan yang diakuisisi memperoleh hak istimewa admin super di seluruh hub Okta mereka dengan meniru identitas admin super, dan oleh karena itu memperoleh akses penuh dan tidak terbatas ke seluruh koleksi aplikasi dan layanan perusahaan.

Administrator perusahaan kecil dapat mengakses lingkungan TI bisnis lain – termasuk yang termasuk dalam Fortune 500 besar itu sendiri – untuk mencuri atau menghancurkan data sensitif, atau memanfaatkan data untuk melakukan apa saja.

Apakah Kerentanan Ini?

Para peneliti berhati-hati untuk mengkarakterisasi temuan mereka sebagai "risiko," daripada kerentanan langsung. Ketika mereka menghubungi Okta, Okta menjelaskan bahwa "fitur-fitur tersebut berfungsi seperti yang dirancang dan tidak boleh dikategorikan sebagai kerentanan." Bagaimana bisa?

Pertimbangkan contoh kita sebelumnya. Admin perusahaan kecil dapat memperoleh akses tidak sah ke hub dan jari-jari lainnya dengan membuat pengguna dengan pengenal yang sama sebagai admin di hub. Bahwa dua pengguna di lingkungan hub dan spoke raksasa dapat memiliki nama pengguna yang sama “disengaja dan dimaksudkan untuk mempermudah penskalaan kontrol akses di seluruh organisasi sambil membatasi ruang lingkup kontrol ke jari-jari tertentu.” Namun, dalam praktiknya, mereka mengekspos hub ke admin nakal mana pun.

Okta menawarkan cara untuk mematikan duplikasi nama pengguna, tetapi “kontrol ini tidak disetel secara default, membuat pengguna berpotensi tidak aman dari pengaturan awal. Okta juga melakukan sedikit dalam panduan mereka untuk menjelaskan kepada pengguna mereka bahwa mereka mungkin berada pada risiko yang signifikan dari pengaturan default yang tidak aman ini.”

“Okta memiliki praktik keamanan yang sangat baik di banyak area,” catat para peneliti, menambahkan bahwa “kami yakin masalah serupa ada di penyedia IAM lainnya.” Jadi, dalam menyimpulkan studi mereka, “rekomendasi kami adalah agar organisasi mengambil pendekatan proaktif untuk menerapkan solusi keamanan independen untuk alat IAM mereka.”