Okta Security
Basic Information
Okta, Inc. को पहचान और एक्सेस प्रबंधन क्षेत्र में इसके क्लाउड-आधारित सॉफ़्टवेयर समाधानों के लिए पहचाना जाता है। ये समाधान विभिन्न आधुनिक अनुप्रयोगों में उपयोगकर्ता प्रमाणीकरण को सुव्यवस्थित और सुरक्षित करने के लिए डिज़ाइन किए गए हैं। ये न केवल कंपनियों को उनके संवेदनशील डेटा की सुरक्षा के लिए बल्कि डेवलपर्स को अनुप्रयोगों, वेब सेवाओं और उपकरणों में पहचान नियंत्रण को एकीकृत करने में भी मदद करते हैं।
Okta का प्रमुख उत्पाद Okta Identity Cloud है। इस प्लेटफ़ॉर्म में कई उत्पाद शामिल हैं, जिनमें शामिल हैं:
Single Sign-On (SSO): एकाधिक अनुप्रयोगों में एक सेट लॉगिन क्रेडेंशियल्स का उपयोग करके उपयोगकर्ता एक्सेस को सरल बनाता है।
Multi-Factor Authentication (MFA): कई प्रकार के सत्यापन की आवश्यकता के द्वारा सुरक्षा को बढ़ाता है।
Lifecycle Management: उपयोगकर्ता खाता निर्माण, अद्यतन और निष्क्रियता प्रक्रियाओं को स्वचालित करता है।
Universal Directory: उपयोगकर्ताओं, समूहों और उपकरणों के केंद्रीकृत प्रबंधन को सक्षम बनाता है।
API Access Management: एपीआई तक पहुंच को सुरक्षित और प्रबंधित करता है।
ये सेवाएं सामूहिक रूप से डेटा सुरक्षा को मजबूत करने और उपयोगकर्ता एक्सेस को सुव्यवस्थित करने का लक्ष्य रखती हैं, जिससे सुरक्षा और सुविधा दोनों में सुधार होता है। Okta के समाधानों की बहुमुखी प्रतिभा उन्हें विभिन्न उद्योगों में लोकप्रिय बनाती है, जो बड़े उद्यमों, छोटे व्यवसायों और व्यक्तिगत डेवलपर्स के लिए समान रूप से लाभकारी है। सितंबर 2021 के अंतिम अपडेट के अनुसार, Okta को पहचान और एक्सेस प्रबंधन (IAM) क्षेत्र में एक प्रमुख इकाई के रूप में मान्यता प्राप्त है।
Okta का मुख्य लक्ष्य विभिन्न उपयोगकर्ताओं और समूहों को बाहरी अनुप्रयोगों तक पहुंच को कॉन्फ़िगर करना है। यदि आप Okta के वातावरण में व्यवस्थापक विशेषाधिकारों से समझौता करने में सफल होते हैं, तो आप अत्यधिक संभावना से कंपनी द्वारा उपयोग किए जा रहे सभी अन्य प्लेटफार्मों से समझौता कर सकते हैं।
Okta वातावरण की सुरक्षा समीक्षा करने के लिए आपको व्यवस्थापक केवल-पढ़ने की पहुंच के लिए पूछना चाहिए।
Summary
यहां उपयोगकर्ता होते हैं (जो Okta में संग्रहीत हो सकते हैं, कॉन्फ़िगर किए गए Identity Providers से लॉग इन किए गए या Active Directory या LDAP के माध्यम से प्रमाणित)। ये उपयोगकर्ता समूहों के अंदर हो सकते हैं। यहां प्रमाणक भी होते हैं: पासवर्ड जैसे विभिन्न विकल्पों के साथ प्रमाणित करने के लिए, और कई 2FA जैसे WebAuthn, ईमेल, फोन, okta verify (वे सक्षम या अक्षम हो सकते हैं)...
फिर, Okta के साथ सिंक किए गए अनुप्रयोग होते हैं। प्रत्येक अनुप्रयोग में कुछ Okta के साथ मैपिंग होगी ताकि जानकारी साझा की जा सके (जैसे ईमेल पते, पहले नाम...)। इसके अलावा, प्रत्येक अनुप्रयोग को एक Authentication Policy के अंदर होना चाहिए, जो उपयोगकर्ता को अनुप्रयोग तक पहुंच के लिए आवश्यक प्रमाणकों को इंगित करता है।
सबसे शक्तिशाली भूमिका Super Administrator है।
यदि कोई हमलावर व्यवस्थापक पहुंच के साथ Okta से समझौता करता है, तो सभी ऐप्स जो Okta पर भरोसा करते हैं अत्यधिक संभावना से समझौता किए जाएंगे।
Attacks
Locating Okta Portal
आमतौर पर किसी कंपनी का पोर्टल companyname.okta.com में स्थित होगा। यदि नहीं, तो companyname के सरल वेरिएशन आज़माएं। यदि आप इसे नहीं ढूंढ पाते हैं, तो यह भी संभव है कि संगठन के पास Okta पोर्टल की ओर इशारा करते हुए okta.companyname.com जैसा CNAME रिकॉर्ड हो।
Login in Okta via Kerberos
यदि companyname.kerberos.okta.com सक्रिय है, तो Kerberos का उपयोग Okta एक्सेस के लिए किया जाता है, आमतौर पर Windows उपयोगकर्ताओं के लिए MFA को बायपास करते हुए। AD में Kerberos-प्रमाणित Okta उपयोगकर्ताओं को खोजने के लिए, उपयुक्त पैरामीटर के साथ getST.py चलाएं। एक AD उपयोगकर्ता टिकट प्राप्त करने पर, Rubeus या Mimikatz जैसे उपकरणों का उपयोग करके इसे एक नियंत्रित होस्ट में इंजेक्ट करें, यह सुनिश्चित करते हुए कि clientname.kerberos.okta.com इंटरनेट विकल्प "इंट्रानेट" क्षेत्र में है। एक विशिष्ट URL तक पहुंचने से JSON "OK" प्रतिक्रिया लौटनी चाहिए, जो Kerberos टिकट स्वीकृति को इंगित करती है, और Okta डैशबोर्ड तक पहुंच प्रदान करती है।
डेलिगेशन SPN के साथ Okta सेवा खाते से समझौता करने से सिल्वर टिकट हमला सक्षम होता है। हालांकि, टिकट एन्क्रिप्शन के लिए Okta का AES का उपयोग करने के लिए AES कुंजी या सादा पाठ पासवर्ड होना आवश्यक है। पीड़ित उपयोगकर्ता के लिए टिकट उत्पन्न करने के लिए ticketer.py का उपयोग करें और Okta के साथ प्रमाणित करने के लिए इसे ब्राउज़र के माध्यम से वितरित करें।
हमले की जांच करें https://trustedsec.com/blog/okta-for-red-teamers।
Hijacking Okta AD Agent
इस तकनीक में सर्वर पर Okta AD Agent तक पहुंच प्राप्त करना शामिल है, जो उपयोगकर्ताओं को सिंक करता है और प्रमाणीकरण को संभालता है। OktaAgentService.exe.config में कॉन्फ़िगरेशन की जांच और डिक्रिप्ट करके, विशेष रूप से DPAPI का उपयोग करके AgentToken, एक हमलावर संभावित रूप से प्रमाणीकरण डेटा को इंटरसेप्ट और हेरफेर कर सकता है। यह न केवल Okta प्रमाणीकरण प्रक्रिया के दौरान सादा पाठ में उपयोगकर्ता क्रेडेंशियल्स की निगरानी और कैप्चर करने की अनुमति देता है, बल्कि प्रमाणीकरण प्रयासों का प्रतिक्रिया भी देता है, जिससे अनधिकृत पहुंच सक्षम होती है या Okta के माध्यम से सार्वभौमिक प्रमाणीकरण प्रदान किया जाता है (एक 'कंकाल कुंजी' के समान)।
हमले की जांच करें https://trustedsec.com/blog/okta-for-red-teamers।
Hijacking AD As an Admin
इस तकनीक में पहले OAuth कोड प्राप्त करके, फिर API टोकन का अनुरोध करके Okta AD Agent को हाईजैक करना शामिल है। टोकन एक AD डोमेन से जुड़ा होता है, और एक कनेक्टर को एक नकली AD एजेंट स्थापित करने के लिए नामित किया जाता है। प्रारंभिकरण एजेंट को प्रमाणीकरण प्रयासों को संसाधित करने की अनुमति देता है, Okta API के माध्यम से क्रेडेंशियल्स को कैप्चर करता है। स्वचालन उपकरण इस प्रक्रिया को सुव्यवस्थित करने के लिए उपलब्ध हैं, Okta वातावरण के भीतर प्रमाणीकरण डेटा को इंटरसेप्ट और संभालने का एक सहज तरीका प्रदान करते हैं।
हमले की जांच करें https://trustedsec.com/blog/okta-for-red-teamers।
Okta Fake SAML Provider
हमले की जांच करें https://trustedsec.com/blog/okta-for-red-teamers।
इस तकनीक में एक नकली SAML प्रदाता को तैनात करना शामिल है। Okta के ढांचे के भीतर एक विशेषाधिकार प्राप्त खाते का उपयोग करके एक बाहरी पहचान प्रदाता (IdP) को एकीकृत करके, हमलावर IdP को नियंत्रित कर सकते हैं, किसी भी प्रमाणीकरण अनुरोध को इच्छानुसार स्वीकृत कर सकते हैं। इस प्रक्रिया में Okta में एक SAML 2.0 IdP सेट करना, स्थानीय होस्ट फ़ाइल के माध्यम से पुनर्निर्देशन के लिए IdP सिंगल साइन-ऑन URL में हेरफेर करना, एक स्व-हस्ताक्षरित प्रमाणपत्र उत्पन्न करना और Okta सेटिंग्स को उपयोगकर्ता नाम या ईमेल के खिलाफ मिलान करने के लिए कॉन्फ़िगर करना शामिल है। इन चरणों को सफलतापूर्वक निष्पादित करने से किसी भी Okta उपयोगकर्ता के रूप में प्रमाणीकरण की अनुमति मिलती है, व्यक्तिगत उपयोगकर्ता क्रेडेंशियल्स की आवश्यकता को बायपास करते हुए, संभावित रूप से बिना ध्यान दिए पहुंच नियंत्रण को काफी बढ़ा देता है।
Phishing Okta Portal with Evilgnix
इस ब्लॉग पोस्ट में बताया गया है कि Okta पोर्टल के खिलाफ फ़िशिंग अभियान कैसे तैयार करें।
Colleague Impersonation Attack
प्रत्येक उपयोगकर्ता के पास जो विशेषताएँ हो सकती हैं और संशोधित कर सकती हैं (जैसे ईमेल या पहला नाम) Okta में कॉन्फ़िगर की जा सकती हैं। यदि कोई अनुप्रयोग एक विशेषता पर आईडी के रूप में भरोसा कर रहा है जिसे उपयोगकर्ता संशोधित कर सकता है, तो वह उस प्लेटफ़ॉर्म पर अन्य उपयोगकर्ताओं का प्रतिरूपण करने में सक्षम होगा।
इसलिए, यदि ऐप userName फ़ील्ड पर भरोसा कर रहा है, तो आप शायद इसे बदलने में सक्षम नहीं होंगे (क्योंकि आप आमतौर पर उस फ़ील्ड को नहीं बदल सकते), लेकिन यदि यह उदाहरण के लिए primaryEmail पर भरोसा कर रहा है तो आप इसे किसी सहकर्मी के ईमेल पते में बदलने और उसका प्रतिरूपण करने में सक्षम हो सकते हैं (आपको ईमेल तक पहुंच प्राप्त करने और परिवर्तन को स्वीकार करने की आवश्यकता होगी)।
ध्यान दें कि यह प्रतिरूपण इस बात पर निर्भर करता है कि प्रत्येक अनुप्रयोग को कैसे कॉन्फ़िगर किया गया था। केवल वे जो आपने संशोधित किए गए फ़ील्ड पर भरोसा करते हैं और अपडेट स्वीकार करते हैं, समझौता किए जाएंगे। इसलिए, यदि यह फ़ील्ड मौजूद है तो ऐप को इसे सक्षम करना चाहिए:
मैंने अन्य ऐप्स भी देखे हैं जो कमजोर थे लेकिन उनके पास Okta सेटिंग्स में वह फ़ील्ड नहीं था (अंत में विभिन्न ऐप्स को अलग-अलग तरीके से कॉन्फ़िगर किया गया है)।
यह पता लगाने का सबसे अच्छा तरीका कि क्या आप प्रत्येक ऐप पर किसी का प्रतिरूपण कर सकते हैं, इसे आज़माना होगा!
Evading behavioural detection policies
Okta में व्यवहारिक पहचान नीतियां तब तक अज्ञात हो सकती हैं जब तक उनका सामना न हो, लेकिन उन्हें बायपास किया जा सकता है Okta अनुप्रयोगों को सीधे लक्षित करके, मुख्य Okta डैशबोर्ड से बचते हुए। एक Okta एक्सेस टोकन के साथ, मुख्य लॉगिन पृष्ठ के बजाय अनुप्रयोग-विशिष्ट Okta URL पर टोकन को पुन: चलाएं।
मुख्य सिफारिशें शामिल हैं:
पकड़े गए एक्सेस टोकन को पुन: चलाते समय लोकप्रिय अनाम प्रॉक्सी और वीपीएन सेवाओं का उपयोग करने से बचें।
क्लाइंट और पुन: चलाए गए एक्सेस टोकन के बीच संगत उपयोगकर्ता-एजेंट स्ट्रिंग्स सुनिश्चित करें।
एक ही आईपी पते से विभिन्न उपयोगकर्ताओं के टोकन को पुन: चलाने से बचें।
Okta डैशबोर्ड के खिलाफ टोकन को पुन: चलाते समय सावधानी बरतें।
यदि पीड़ित कंपनी के आईपी पते ज्ञात हैं, तो उस ट्रैफ़िक को उन आईपी या उनकी रेंज तक सीमित करें, अन्य सभी ट्रैफ़िक को अवरुद्ध करें।
Okta Hardening
Okta में कई संभावित कॉन्फ़िगरेशन हैं, इस पृष्ठ पर आप पाएंगे कि उन्हें कैसे समीक्षा करें ताकि वे यथासंभव सुरक्षित हों:
Okta HardeningReferences
Last updated
