Lỗ hổng Okta được phép đăng nhập bằng tên người dùng dài không cần mật khẩu

Okta là một công ty quản lý danh tính mới nổi có lỗ hổng bảo vệ nghiêm trọng mới nhất đã gây ra rất nhiều lo ngại về tính bảo mật của tài khoản. Công ty này đã cung cấp cho những người dùng có tên người dùng dài bất thường trên 52 ký tự cho đến nay quyền truy cập bỏ qua hệ thống xác thực mật khẩu tiêu chuẩn. Do đó, những tên người dùng dài này đã cấp cho họ quyền truy cập khá trái phép vào tài khoản của họ. Lỗ hổng okta này được các nhà nghiên cứu bảo mật xác định đã làm sáng tỏ nhiều mối nguy hiểm liên quan đến các nền tảng quản lý danh tính thường được cả tổ chức và những người yêu cầu bảo vệ dữ liệu nhạy cảm này tin cậy. Nó cho phép kẻ tấn công xác thực bằng tên người dùng và khóa bộ đệm được lưu trữ đã sử dụng trước đó sau khi đăng nhập thành công. Đó là mặc dù MFA đã được kích hoạt. Tuy nhiên, lỗ hổng này tạo cơ hội cho một nỗ lực đăng nhập thành công mà không cần nhập mật khẩu vì nó gọi hàm băm bcrypt của khóa bộ đệm được lưu trữ trước đó. Lỗ hổng này chỉ ra sự cần thiết phải bảo mật các hệ thống xác thực thành công trước đó và quản lý đúng cách các thông tin xác thực được lưu trữ để tránh sự truy cập của những người không được phép.

Lỗ hổng Okta cho phép các tài khoản có tên người dùng dài đăng nhập mà không cần mật khẩu

Okta gần đây đã tìm thấy một lỗ hổng bảo mật nghiêm trọng cho phép các tài khoản có tên người dùng dài hơn 52 ký tự tự động đăng nhập mà không cần mật khẩu. Lỗ hổng được xác định nội bộ, chưa được tiết lộ công khai, khiến người dùng chỉ cần nhập tên người dùng và khóa bộ đệm của lần đăng nhập cuối cùng để xác thực và truy cập tài khoản mà không cần mật khẩu. Xử lý đúng khóa bộ đệm; điều này đã được tạo ra trước đó thông qua một sự cố đăng nhập vào hệ thống. Việc xử lý không đúng khóa bộ đệm trước đó có thể cho phép một số truy cập trái phép trong một số trường hợp.

Điều này đã được báo cáo vào ngày 23 tháng 7. Okta đã vá nó vào ngày 30 tháng 10 sau khi thực hiện phân tích. Theo Okta, vấn đề này chỉ ảnh hưởng đến những khách hàng có cấu hình đáp ứng một số tiêu chí nhất định. Điều này có thể xuất phát từ lịch sử đăng nhập trước đó bằng cùng một trình duyệt và các trường hợp mà hệ thống không thể kết nối thành công với máy chủ MFA, chẳng hạn như nếu một tác nhân không hoạt động hoặc không thể truy cập được. Để tận dụng lỗ hổng này, khóa bộ đệm phải có sẵn và hoạt động từ lần đăng nhập thành công trước đó để kẻ tấn công có thể bỏ qua xác thực mật khẩu chính xác để truy cập vào tài khoản.

Okta cảnh báo người dùng kiểm tra tư vấn bảo mật và xác minh danh tính của họ, đặc biệt nếu cấu hình của họ phù hợp với các điều kiện tiên quyết bắt buộc trước đó để khai thác lỗ hổng. Nó thậm chí còn khuyên người dùng đảm bảo cấu hình tên của họ không dài quá 52 ký tự, đồng thời thực hiện các biện pháp kịp thời chống lại quyền truy cập trái phép vào tài khoản của họ. Vấn đề là điều rất quan trọng là phải thường xuyên kiểm tra danh tính và hệ thống quản lý quyền truy cập để xác định các lỗi bảo mật tiềm ẩn có thể được mở trong hệ thống, đặc biệt là trong các hệ thống mà thông tin xác thực được lưu trong bộ nhớ đệm hoặc dữ liệu đăng nhập trước đó có thể gây ra rủi ro nghiêm trọng.

Chuyện gì đã xảy ra thế?

Lỗ hổng này xoay quanh quy trình đăng nhập của Okta, quy trình này không xác thực chính xác hoặc xử lý các tên người dùng dài một cách kỳ lạ. Khi một người nhập tên người dùng vượt quá thời hạn tiêu chuẩn, hệ thống của Okta cho phép họ tiến hành bước xác thực tiếp theo mà không yêu cầu mật khẩu. Trong tình huống này, kẻ tấn công nên khai thác lỗ hổng bằng cách nhập tên người dùng kéo dài, do đó bỏ qua hoàn toàn yêu cầu mật khẩu và giành được quyền truy cập trái phép vào tài khoản.

Loại lỗ hổng này sẽ cho phép kẻ tấn công chiếm toàn quyền kiểm soát tài khoản, có khả năng dẫn đến vi phạm số liệu thống kê, di chuyển trái phép và cướp số liệu thống kê nhạy cảm của cá nhân hoặc công ty. Do Okta được sử dụng rộng rãi trong các tổ chức lớn cho Đăng nhập một lần (SSO) và Xác thực đa yếu tố (MFA), nên ảnh hưởng của lỗ hổng này có thể rất lớn, đặc biệt là trong môi trường doanh nghiệp.

Lỗ hổng được phát hiện như thế nào?

Lỗ hổng này được phát hiện bởi các chuyên gia bảo vệ, những người đã kiểm tra kỹ lưỡng các điểm yếu trên thiết bị của Okta. Sau khi xác định được lỗ hổng, họ đã thông báo cho Okta, Okta đã hành động nhanh chóng để giải quyết vấn đề và phát hành bản vá để sửa chữa lỗ hổng. Tuy nhiên, khó khăn này có thể đã bị kẻ tấn công khai thác trước khi nó được vá, đặc biệt nếu những kẻ độc hại biết cách tận dụng tên người dùng dài.

Phát hiện này đóng vai trò như một lời nhắc nhở về sự cần thiết phải cảnh giác thường xuyên và kiểm tra bảo mật thông thường để bảo vệ chống lại ngay cả những lỗ hổng tinh tế nhất. Các cơ cấu kiểm soát danh tính như Okta, nơi xử lý số lượng lớn thông tin nhạy cảm, cần phải được xem xét thường xuyên để đảm bảo rằng chúng có thể chống lại các cuộc tấn công và không có sai sót nào có thể khai thác được mà không bị phát hiện.

Tác động và rủi ro tiềm tàng

Rủi ro năng lực liên quan đến lỗ hổng Okta này là rất lớn, đặc biệt đối với các tổ chức phụ thuộc nhiều vào nền tảng này để đảm bảo quyền truy cập vào tài sản nội bộ. Nếu những kẻ tấn công khai thác lỗ hổng, chúng có thể giành được quyền truy cập vào các dịch vụ khác nhau dựa trên cơ chế xác thực của Okta. Điều này sẽ bao gồm cơ sở dữ liệu nội bộ, các tệp nhạy cảm hoặc thậm chí các hệ thống kiểm soát cơ sở hạ tầng quan trọng.

Hơn nữa, các công ty sử dụng Okta cho mục đích xác thực thường xuyên dựa vào nó để mang lại trải nghiệm an toàn và liên tục cho người tiêu dùng. Một vi phạm, dù nhỏ đến đâu, cũng có thể làm suy yếu nghiêm trọng thỏa thuận của khách hàng và gây tổn hại đến danh tiếng.

Phản hồi của Okta

Để phản ứng lại lỗ hổng bảo mật, Okta đã đưa ra thông báo xác nhận khó khăn và đảm bảo với người dùng rằng bản vá đã được thực hiện. Công ty cũng tiến hành đánh giá nội bộ về cấu trúc của mình để đảm bảo rằng không tồn tại lỗ hổng nào khác có thể so sánh được. Okta đã nhấn mạnh sự cống hiến của mình trong việc duy trì nền tảng ổn định và giảm thiểu mọi rủi ro về năng lực cho người dùng.

Đối với người dùng và tổ chức dựa vào các dịch vụ của Okta, chúng tôi vô cùng khuyến khích họ cập nhật cấu trúc của mình để bao gồm các bản vá bảo vệ cực kỳ hiện đại và cập nhật các phương pháp bảo mật tốt nhất của nền tảng. Ngoài ra, khách hàng cần đảm bảo rằng họ kích hoạt Xác thực đa yếu tố (MFA) trong mọi trường hợp có thể, vì nó cung cấp thêm một lớp bảo mật có thể bảo vệ khỏi việc đăng nhập trái phép.

Tiến về phía trước: Tăng cường bảo mật trong hệ thống quản lý danh tính

Lỗ hổng Okta đóng vai trò như một lời nhắc nhở về tầm quan trọng của việc xây dựng hệ thống quản lý danh tính mạnh mẽ và an toàn. Các công ty sử dụng Okta hoặc các nền tảng tương đương phải luôn cảnh giác và thực hiện cách tiếp cận chủ động đối với an ninh mạng. Điều này bao gồm việc thực hiện kiểm tra an toàn định kỳ, đảm bảo rằng các giao thức xác thực được cấu hình đúng cách và hướng dẫn nhân viên về tầm quan trọng của việc thực hành mật khẩu ổn định.

Ngoài ra, việc kiểm tra thâm nhập thông thường và các sự kiện thể thao của đội đỏ có thể giúp xác định các điểm yếu sớm hơn khi chúng có thể được phát hiện bằng cách sử dụng các tác nhân độc hại. Khi bức tranh toàn cảnh về rủi ro mạng tiếp tục thích ứng, các nền tảng kiểm soát nhận dạng như Okta sẽ muốn đi trước một bước nếu bạn muốn giữ danh tiếng của họ với tư cách là người phụ thuộc vào những người bảo vệ hồ sơ cá nhân.

Phần kết luận

Lỗ hổng Okta cho phép số tiền nợ có tên người dùng dài vượt qua xác thực mật khẩu nêu bật một lỗ hổng nghiêm trọng trong một trong những hệ thống kiểm soát danh tính được sử dụng rộng rãi nhất. Mặc dù Okta đã giải quyết vấn đề bằng một bản vá, nhưng sự cố này đóng vai trò như một lời nhắc nhở quan trọng đối với các cơ quan và người dân ưu tiên bảo mật và tiếp tục chủ động tìm ra cũng như giảm thiểu các mối đe dọa về năng lực. Khi danh tính ảo ngày càng trở thành một phần quan trọng trong cuộc sống của chúng ta, việc đảm bảo tính toàn vẹn của cấu trúc xác thực trở nên quan trọng hơn bao giờ hết.