Okta Security
Temel Bilgiler
Okta, Inc., bulut tabanlı yazılım çözümleriyle kimlik ve erişim yönetimi sektöründe tanınmaktadır. Bu çözümler, çeşitli modern uygulamalar arasında kullanıcı kimlik doğrulamasını kolaylaştırmak ve güvence altına almak için tasarlanmıştır. Sadece hassas verilerini korumak isteyen şirketlere değil, aynı zamanda kimlik kontrollerini uygulamalara, web hizmetlerine ve cihazlara entegre etmek isteyen geliştiricilere de hizmet vermektedir.
Okta'nın bayrak gemisi ürünü Okta Identity Cloud'tur. Bu platform, tek oturum açma (SSO), çok faktörlü kimlik doğrulama (MFA), yaşam döngüsü yönetimi, evrensel dizin ve API erişim yönetimi gibi ürünleri içeren bir paketi kapsar.
Bu hizmetler, veri korumasını güçlendirmek ve kullanıcı erişimini kolaylaştırmak için bir araya gelerek hem güvenliği hem de kullanım kolaylığını artırır. Okta'nın çözümlerinin çok yönlülüğü, büyük işletmelerden küçük şirketlere ve bireysel geliştiricilere kadar çeşitli endüstrilerde popüler bir tercih olmasını sağlar. Son güncelleme olan Eylül 2021 tarihine kadar Okta, Kimlik ve Erişim Yönetimi (IAM) alanında önde gelen bir kuruluş olarak kabul edilmektedir.
Okta'nın ana hedefi, farklı kullanıcılara ve gruplara harici uygulamalara erişimi yapılandırmaktır. Bir Okta ortamında yönetici ayrıcalıklarını ele geçirmeyi başarırsanız, şirketin kullandığı diğer tüm platformları büyük olasılıkla ele geçirebilirsiniz.
Bir Okta ortamının güvenlik incelemesini yapmak için yönetici salt okunur erişimini istemelisiniz.
Özet
Kullanıcılar vardır (Okta'da saklanabilir, yapılandırılmış Kimlik Sağlayıcılardan oturum açabilir veya Active Directory veya LDAP ile kimlik doğrulayabilir). Bu kullanıcılar grupların içinde olabilir. Ayrıca kimlik doğrulayıcılar vardır: şifre gibi kimlik doğrulamak için farklı seçenekler ve WebAuthn, e-posta, telefon, okta doğrulama gibi çeşitli 2FA seçenekleri (etkinleştirilmiş veya devre dışı bırakılmış olabilir)...
Daha sonra, Okta ile senkronize edilen uygulamalar vardır. Her uygulamanın Okta ile bazı bilgileri paylaşmak için bir eşleme olacaktır (e-posta adresleri, adlar gibi). Dahası, her uygulama bir Kimlik Doğrulama Politikası içinde olmalıdır, bu da bir kullanıcının uygulamaya erişmek için gereken kimlik doğrulayıcıları belirtir.
En güçlü rol Süper Yönetici rolüdür.
Bir saldırgan Okta'yı Yönetici erişimiyle ele geçirirse, Okta'ya güvenen tüm uygulamalar büyük olasılıkla tehlikeye girecektir.
Saldırılar
Okta Portalını Bulma
Genellikle bir şirketin portalı companyname.okta.com adresinde bulunur. Bulamazsanız, companyname'in basit varyasyonlarını deneyin. Bulamazsanız, organizasyonun Okta portalına işaret eden okta.companyname.com gibi bir CNAME kaydı olması da mümkündür.
Kerberos Aracılığıyla Okta'ya Giriş
companyname.kerberos.okta.com aktifse, Okta erişimi için Kerberos kullanılır ve genellikle Windows kullanıcıları için MFA'yı atlar. AD'de Kerberos kimlik doğrulaması yapılan Okta kullanıcılarını bulmak için uygun parametrelerle getST.py çalıştırın. Bir AD kullanıcı bileti elde ettikten sonra, Rubeus veya Mimikatz gibi araçlar kullanarak kontrol edilen bir ana bilgisayara enjekte edin ve clientname.kerberos.okta.com'ın Internet Options "Intranet" bölgesinde olduğundan emin olun. Belirli bir URL'ye erişmek, Kerberos biletinin kabul edildiğini gösteren bir JSON "OK" yanıtı döndürmelidir ve Okta panosuna erişim sağlamalıdır.
Okta hizmet hesabının delege SPN ile ele geçirilmesi Gümüş Bilet saldırısını mümkün kılar. Bununla birlikte, Okta'nın bilet şifrelemesi için AES kullanması, AES anahtarına veya düz metin parolasına sahip olmayı gerektirir. ticketer.py kullanarak kurban kullanıcı için bir bilet oluşturun ve bunu tarayıcı aracılığıyla Okta ile kimlik doğrulamak için iletebilirsiniz.
Saldırıyı https://trustedsec.com/blog/okta-for-red-teamers adresinde kontrol edin.
Okta AD Aracısını Ele Geçirme
Bu teknik, kullanıcıları senkronize eden ve kimlik doğrulamayı yöneten Okta AD Aracısına erişmeyi içerir. OktaAgentService.exe.config dosyasındaki yapılandırmaları (özellikle DPAPI kullanarak AgentToken'ı) inceleyerek ve şifresini çözerek, saldırgan potansiyel olarak kimlik doğrulama verilerini izleyebilir ve ele geçirebilir. Bu, Okta kimlik doğrulama süreci sırasında kullanıcı kimlik bilgilerini düz metin olarak yakalamayı sağlamanın yanı sıra, kimlik doğrulama girişimlerine yanıt vererek yetkisiz erişim sağlama veya Okta üzerinden evrensel kimlik doğrulama sağlama (bir 'iskelet anahtarı' gibi) imkanı sağlar.
Saldırıyı https://trustedsec.com/blog/okta-for-red-teamers adresinde kontrol edin.
Yönetici Olarak AD'yi Ele Geçirme
Bu teknik, önce bir OAuth
Evilgnix ile Okta Portalına Phishing Saldırısı
Bu blog yazısında, bir Okta portalına karşı bir phishing kampanyası nasıl hazırlanacağı açıklanmaktadır.
İş Arkadaşı Taklit Saldırısı
Okta'da her kullanıcının sahip olabileceği ve değiştirebileceği öznitelikler (örneğin e-posta veya ad) Okta'da yapılandırılabilir. Bir uygulama, kullanıcının değiştirebileceği bir özniteliği ID olarak güveniyorsa, o platformda diğer kullanıcıları taklit edebilecektir.
Bu nedenle, uygulama userName alanına güveniyorsa, muhtemelen bunu değiştiremeyeceksiniz (genellikle bu alanı değiştiremezsiniz), ancak örneğin primaryEmail alanına güveniyorsa, bunu bir iş arkadaşının e-posta adresine değiştirebilir ve onu taklit edebilirsiniz (e-postaya erişiminizin olması ve değişikliği kabul etmeniz gerekecektir).
Bu taklit, her uygulamanın nasıl yapılandırıldığına bağlıdır. Değiştirdiğiniz alana güvenen ve güncellemeleri kabul edenler yalnızca etkilenecektir. Bu nedenle, uygulama bu alanı etkinleştirmiş olmalıdır:
Ayrıca, Okta ayarlarında bu alanı bulunmayan ancak savunmasız olan diğer uygulamaları da gördüm (sonuçta farklı uygulamalar farklı şekilde yapılandırılmıştır).
Herhangi bir uygulamada herhangi bir kişiyi taklit edebilip edemeyeceğinizi bulmanın en iyi yolu denemektir!
Davranışsal Algılama Politikalarını Atlama
Okta'daki davranışsal algılama politikaları genellikle bilinmez, ancak bunları atlatmak, ana Okta panosundan kaçınarak Okta uygulamalarına doğrudan hedeflenerek gerçekleştirilebilir. Bir Okta erişim belirteci ile, belirteci ana giriş sayfası yerine uygulama özel Okta URL'sinde yeniden oynatın.
Ana öneriler şunları içerir:
Yakalanan erişim belirteçlerini yeniden oynatırken popüler anonimleştirici proxy'ler ve VPN hizmetlerinden kaçının.
İstemci ve yeniden oynatılan erişim belirteçleri arasında uyumlu kullanıcı ajanı dizelerini sağlayın.
Aynı IP adresinden farklı kullanıcılara ait belirteçleri yeniden oynatmaktan kaçının.
Okta panosuna karşı belirteçleri yeniden oynatırken dikkatli olun.
Kurban şirketin IP adreslerini biliyorsanız, tüm diğer trafiği engelleyerek trafiği yalnızca bu IP adreslerine veya bunların aralığına kısıtlayın.
Okta Sıkılaştırma
Okta'nın birçok yapılandırma seçeneği vardır, bu sayfada bunları mümkün olduğunca güvenli hale getirmek için nasıl gözden geçireceğinizi bulacaksınız:
Referanslar
Last updated
