Okta Security
Taarifa Msingi
Okta, Inc. inatambuliwa katika sekta ya usimamizi wa kitambulisho na ufikiaji kwa suluhisho zake za programu zilizotegemea wingu. Suluhisho hizi zinalenga kusonga mbele na kusimamia uthibitishaji wa mtumiaji kwa njia salama kwenye programu za kisasa. Zinahudumia si tu kampuni zinazolenga kulinda data zao nyeti lakini pia watengenezaji wanaopenda kuingiza udhibiti wa kitambulisho kwenye programu, huduma za wavuti, na vifaa.
Bidhaa kuu kutoka Okta ni Okta Identity Cloud. Jukwaa hili linajumuisha seti ya bidhaa, ikiwa ni pamoja na lakini sio tu:
Uingiaji wa Moja (SSO): Hufanya upatikanaji wa mtumiaji kuwa rahisi kwa kuruhusu seti moja ya maelezo ya kuingia kwenye programu nyingi.
Uthibitishaji wa Faktori Mbalimbali (MFA): Huimarisha usalama kwa kuhitaji aina nyingi za uthibitishaji.
Usimamizi wa Mzunguko wa Maisha: Hufanya moja kwa moja uundaji wa akaunti ya mtumiaji, sasisha, na mchakato wa kufuta.
Mwongozo wa Universal: Huwezesha usimamizi wa kati wa watumiaji, vikundi, na vifaa.
Usimamizi wa Upatikanaji wa API: Hulinda na kusimamia upatikanaji wa APIs.
Huduma hizi zinalenga pamoja kufanya ulinzi wa data kuwa imara na kusonga mbele upatikanaji wa mtumiaji, kuimarisha usalama na urahisi. Uteuzi wa suluhisho za Okta unawafanya kuwa chaguo maarufu katika viwanda mbalimbali, faida kwa makampuni makubwa, kampuni ndogo, na watengenezaji binafsi pia. Kufikia sasisho la mwisho mwezi Septemba 2021, Okta inatambuliwa kama kampuni inayoongoza katika uga wa Usimamizi wa Kitambulisho na Ufikiaji (IAM).
Lengo kuu la Okta ni kusanidi upatikanaji kwa watumiaji na vikundi tofauti kwa programu za nje. Ikiwa utafanikiwa kudukua mamlaka ya msimamizi katika mazingira ya Okta, huenda ukaweza kudukua kila jukwaa lingine kampuni inayotumia.
Kufanya ukaguzi wa usalama wa mazingira ya Okta unapaswa kuomba upatikanaji wa kusoma tu kwa msimamizi.
Muhtasari
Kuna watumiaji (ambao wanaweza kuhifadhiwa ndani ya Okta, kuingia kutoka Watoa Kitambulisho waliohakikiwa au kuthibitishwa kupitia Active Directory au LDAP). Watumiaji hawa wanaweza kuwa ndani ya vikundi. Pia kuna uthibitishaji: chaguzi tofauti za kuthibitisha kama nywila, na 2FA kadhaa kama WebAuthn, barua pepe, simu, okta verify (zinaweza kuwa zimeanzishwa au zimelemazwa)...
Kisha, kuna programu zilizosawazishwa na Okta. Kila programu itakuwa na kupangilia na Okta kushiriki habari (kama vile anwani za barua pepe, majina ya kwanza...). Zaidi ya hayo, kila programu lazima iwe ndani ya Sera ya Uthibitishaji, ambayo inaonyesha uthibitishaji unaohitajika kwa mtumiaji kufikia programu.
Jukumu lenye nguvu zaidi ni Msimamizi Mkuu.
Ikiwa mshambuliaji atadukua Okta na upatikanaji wa Msimamizi, programu zote zinazotumaini Okta zitakuwa na uwezekano mkubwa wa kudukuliwa.
Mashambulizi
Kupata Kituo cha Okta
Kawaida kituo cha kampuni kitapatikana katika jina la kampuni.okta.com. Ikiwa sivyo, jaribu mabadiliko rahisi ya jina la kampuni. Ikiwa huwezi kupata, pia ni pamoja na uwezekano kwamba shirika lina rekodi ya CNAME kama okta.jinalakampuni.com inayoelekeza kwenye kituo cha Okta.
Kuingia kwenye Okta kupitia Kerberos
Ikiwa jinalakampuni.kerberos.okta.com iko hai, Kerberos hutumiwa kwa upatikanaji wa Okta, kwa kawaida ikipuuza MFA kwa watumiaji wa Windows. Ili kupata watumiaji wa Okta waliothibitishwa na Kerberos katika AD, endesha getST.py na parameta sahihi. Baada ya kupata tiketi ya mtumiaji wa AD, ingiza kwenye mwenyeji uliodhibitiwa kwa kutumia zana kama Rubeus au Mimikatz, ukithibitisha kuwa jinalamteja.kerberos.okta.com iko katika "eneo la Intranet" la Chaguo za Mtandao. Kufikia URL maalum inapaswa kurudisha majibu ya JSON "SAWA", ikionyesha kukubali tiketi ya Kerberos, na kutoa ufikiaji kwenye dashibodi ya Okta.
Kudukua akaunti ya huduma ya Okta na SPN ya upelekaji huwezesha shambulio la Tiketi ya Fedha. Hata hivyo, matumizi ya Okta ya AES kwa kuchakata tiketi inahitaji kuwa na ufunguo wa AES au nywila ya wazi. Tumia ticketer.py kuzalisha tiketi kwa mtumiaji wa kikosi na itume kupitia kivinjari kuthibitisha na Okta.
Angalia shambulio hilo kwenye https://trustedsec.com/blog/okta-for-red-teamers.
Kuteka Mawakala wa Okta AD
Mbinu hii inahusisha kupata Mawakala wa Okta AD kwenye seva, ambayo inasawazisha watumiaji na kushughulikia uthibitishaji. Kwa kuchunguza na kufichua mipangilio katika OktaAgentService.exe.config, hasa AgentToken kutumia DPAPI, mshambuliaji anaweza kwa uwezekano kukamata na kudhibiti data za uthibitishaji. Hii inaruhusu si tu kuangalia na kukamata maelezo ya kuingia ya mtumiaji kwa wazi wakati wa mchakato wa uthibitishaji wa Okta lakini pia kujibu jaribio za uthibitishaji, hivyo kuruhusu ufikiaji usiohalali au kutoa uthibitishaji wa kawaida kupitia Okta (kama 'funguo la mifupa').
Angalia shambulio hilo kwenye https://trustedsec.com/blog/okta-for-red-teamers.
Kuteka AD Kama Msimamizi
Mbinu hii inahusisha kuteka Mawakala wa Okta AD kwa kwanza kupata Msimbo wa OAuth, kisha kuomba token ya API. Tokeni inahusishwa na kikoa cha AD, na mshikamano unapewa jina la kuweka Mawakala wa AD bandia. Uanzishaji unaruhusu wakala kushughulikia jaribio za uthibitishaji, kukamata maelezo ya kuingia kupitia API ya Okta. Zana za kiotomatiki zinapatikana kusonga mchakato huu, kutoa njia laini ya kukamata na kushughulikia data za uthibitishaji ndani ya mazingira ya Okta.
Angalia shambulio hilo kwenye https://trustedsec.com/blog/okta-for-red-teamers.
Okta Mtoa Huduma wa SAML Bandia
Angalia shambulio hilo kwenye https://trustedsec.com/blog/okta-for-red-teamers.
Mbinu hii inahusisha kupeleka mtoa huduma wa SAML bandia. Kwa kuingiza Mtoa Huduma wa Kitambulisho (IdP) wa nje ndani ya mfumo wa Okta kwa kutumia akaunti ya hali ya juu, wadukuzi wanaweza kudhibiti IdP, kuidhinisha ombi lolote la uthibitishaji kwa mapenzi. Mchakato unajumuisha kuweka SAML 2.0 IdP kwenye Okta, kubadilisha URL ya Uingiaji wa Moja wa IdP kwa kuelekeza kupitia faili za wenyeji wa ndani, kuzalisha cheti cha kujisaini, na kusanidi mipangilio ya Okta kulingana na jina la mtumiaji au barua pepe. Kutekeleza hatua hizi kwa ufanisi kuruhusu uthibitishaji kama mtumiaji yeyote wa Okta, kupuuza haja ya maelezo ya kuingia ya mtumiaji binafsi, kuinua kwa kiasi kikubwa udhibiti wa ufikiaji kwa njia isiyoweza kugunduliwa kwa urahisi.
Kudanganya Okta Portal na Evilgnix
Katika chapisho hili la blogu imeelezwa jinsi ya kuandaa kampeni ya kudanganya dhidi ya portal ya Okta.
Shambulio la Udanganyifu wa Wenzako
Sifa ambazo kila mtumiaji anaweza kuwa nazo na kuzibadilisha (kama vile barua pepe au jina la kwanza) zinaweza kusanidiwa katika Okta. Ikiwa programu ina imani kama kitambulisho cha ID sifa ambayo mtumiaji anaweza kubadilisha, ataweza kudanganya watumiaji wengine kwenye jukwaa hilo.
Kwa hivyo, ikiwa programu ina imani na uga wa userName, labda hautaweza kubadilisha (kwa sababu kawaida huwezi kubadilisha uga huo), lakini ikiwa ina imani kwa mfano primaryEmail unaweza kuweza kubadilisha kuwa anwani ya barua pepe ya mwenzako na kumdanganya (utahitaji kupata ufikiaji wa barua pepe na kukubali mabadiliko).
Tafadhali elewa kuwa udanganyifu huu unategemea jinsi kila programu ilivyo sanidiwa. Ni programu zipi zinazotegemea uga uliobadilishwa na kukubali sasisho ndizo zitakazodhuriwa. Kwa hivyo, programu inapaswa kuwa na uga huu ukiwa umewezeshwa ikiwepo:
Pia nimeona programu zingine zilizokuwa na mapungufu lakini hazikuwa na uga huo katika mipangilio ya Okta (mwishowe programu tofauti zinasanidiwa kwa njia tofauti).
Njia bora ya kujua ikiwa unaweza kumdanganya mtu yeyote kwenye kila programu ni kujaribu!
Kuepuka Sera za Uchunguzi wa Tabia
Sera za uchunguzi wa tabia katika Okta zinaweza isiweze kujulikana hadi zinapokutana, lakini kuzipuuza kunaweza kufanikiwa kwa kulenga programu za Okta moja kwa moja, kuepuka kibao kikuu cha Okta. Kwa ishara ya ufikiaji wa Okta, rudia ishara hiyo kwenye URL maalum ya Okta ya programu badala ya ukurasa kuu wa kuingia.
Mapendekezo muhimu ni pamoja na:
Epuka kutumia wakala wa siri maarufu na huduma za VPN wakati wa kurudia ishara za ufikiaji zilizonaswa.
Hakikisha mnyambulishaji wa mtumiaji unaofanana kati ya mteja na ishara zilizorudiwa za ufikiaji.
Jizuie kurudia ishara kutoka kwa watumiaji tofauti kutoka kwa anwani ya IP ile ile.
Tumia tahadhari wakati wa kurudia ishara dhidi ya kibao kikuu cha Okta.
Ikiwa unajua anwani za IP za kampuni ya mwathiriwa, zuia trafiki kwa anwani hizo au safu yao, kuzuia trafiki nyingine yote.
Kufanya Okta Kuwa Imara
Okta ina mazingira mengi yanayowezekana, kwenye ukurasa huu utapata jinsi ya kuzipitia ili ziwe salama iwezekanavyo:
pageOkta HardeningMarejeo
Last updated