Rischi di autenticazione scoperti nella piattaforma Okta

Secondo un rapporto di martedì, i ricercatori hanno scoperto quattro rischi per la sicurezza “ad alto impatto” nella piattaforma di gestione delle identità e degli accessi (IAM) Okta.

I rischi includono la perdita di password in chiaro tramite SCIM – il sistema per la gestione delle identità interdominio – condivisione di password e altri dati su canali HTTP non crittografati, configurazioni predefinite che consentono agli amministratori di invadere gli ambienti IT di altre organizzazioni e spoofing dei registri di identità mutabili.

Gli aggressori che sfruttano questi rischi potrebbero rubare dati di autenticazione, accedere a informazioni personali e finanziarie sensibili e interrompere gli ambienti IT gestiti da Okta.

I rischi nell’IAM

Il software IAM organizza quali individui hanno accesso a quali risorse in un ambiente IT. Piattaforme come Okta offrono anche funzionalità come la gestione delle password e il single sign-on, consentendo agli utenti di accedere in modo più fluido e di spostarsi da un ambiente software all'altro. Nel complesso, gli IAM sono abbastanza convenienti sia per gli utenti che per gli amministratori.

Tuttavia, un IAM non sicuro è conveniente per gli aggressori per molte delle stesse ragioni. I rischi appena scoperti in Okta potrebbero consentire agli hacker o agli addetti ai lavori malintenzionati di ottenere password, assumere il controllo degli account di amministratore o persino distruggere i dati di un’intera organizzazione.

Prendiamo, ad esempio, il terzo rischio delineato nel rapporto.

Per le organizzazioni globali e distribuite, Okta utilizza a architettura hub-and-spoke, dove la società madre (“hub”) supervisiona e fornisce servizi per le piccole imprese indipendenti (“raggi”) che controlla. Ciò che i ricercatori hanno scoperto è che un amministratore in un Okta speak “può impersonare qualsiasi account nell’hub e/o un’app downstream connessa all’hub”. Il rapporto illustra come ciò potrebbe accadere, ipoteticamente:

Una piccola azienda è stata acquisita da una grande Fortune 500. La società ha collegato l'Okta della piccola azienda come un raggio all'Okta principale che funge da hub con la configurazione predefinita. Un amministratore compromesso del portavoce della società acquisita ottiene privilegi di super amministratore in tutto il proprio hub Okta impersonando un super amministratore e quindi ottiene un accesso completo e illimitato all’intera raccolta di app e servizi dell’azienda.

L’amministratore della piccola azienda potrebbe accedere agli ambienti IT di altre aziende – incluso quello appartenente alla stessa grande azienda Fortune 500 – per rubare o distruggere dati sensibili o sfruttare i dati per fare qualsiasi altra cosa.

Sono queste le vulnerabilità?

I ricercatori sono stati attenti a caratterizzare i loro risultati come “rischi”, piuttosto che come vere e proprie vulnerabilità. Quando hanno contattato Okta, Okta ha spiegato che "le funzionalità funzionano come previsto e non dovrebbero essere classificate come vulnerabilità". Come potrebbe essere?

Consideriamo il nostro esempio precedente. L'amministratore della piccola azienda può ottenere l'accesso non autorizzato all'hub e agli altri speak creando un utente con lo stesso identificatore dell'amministratore nell'hub. Il fatto che due utenti in un gigantesco ambiente hub-and-spoke possano avere lo stesso nome utente "è intenzionale e pensato per rendere più semplice la scalabilità dei controlli di accesso all'interno dell'organizzazione, limitando al contempo l'ambito del controllo a uno specifico raggio". Tuttavia, in pratica, espongono l’hub a qualsiasi amministratore non autorizzato.

Okta offre un modo per disattivare la duplicazione del nome utente, ma “questi controlli non sono impostati di default, rendendo l’utente potenzialmente insicuro fin dalle impostazioni iniziali. Okta inoltre fa poco nella sua guida per spiegare ai propri utenti che potrebbero correre rischi significativi a causa di queste impostazioni predefinite non sicure."

"Okta ha ottime pratiche di sicurezza in molte aree", hanno osservato i ricercatori, aggiungendo che "siamo sicuri che problemi simili esistano in altri fornitori IAM". Pertanto, concludendo lo studio, “la nostra raccomandazione è che le organizzazioni adottino un approccio proattivo per implementare soluzioni di sicurezza indipendenti per i loro strumenti IAM”.