Az - Device Registration
Taarifa za Msingi
Wakati kifaa kinajiunga na AzureAD, kitu kipya kinaumbwa katika AzureAD.
Wakati wa kusajili kifaa, mtumiaji anaombwa kuingia na akaunti yake (akiombwa MFA ikiwa inahitajika), kisha inaomba tokeni kwa huduma ya usajili wa kifaa na kisha inaomba uthibitisho wa mwisho.
Kisha, jozi mbili za funguo za RSA zinaundwa kwenye kifaa: funguo ya kifaa (funguo ya umma) ambayo inatumwa kwa AzureAD na funguo ya usafiri (funguo ya faragha) ambayo inahifadhiwa kwenye TPM ikiwa inawezekana.
Kisha, kitu kinaumbwa katika AzureAD (sio katika Intune) na AzureAD inarudisha kwa kifaa cheti kilichosainiwa nacho. Unaweza kuangalia kwamba kifaa kimejiunga na AzureAD na taarifa kuhusu cheti (kama kinalindwa na TPM).:
Baada ya usajili wa kifaa, Primary Refresh Token huombwa na moduli ya LSASS CloudAP na kupewa kifaa. Pamoja na PRT pia hutolewa ufunguo wa kikao uliosimbwa kwa njia ambayo ni kifaa pekee kinaweza kuusimbua (kutumia ufunguo wa umma wa ufunguo wa usafirishaji) na unahitajika kutumia PRT.
Kwa maelezo zaidi kuhusu PRT angalia:
Az - Primary Refresh Token (PRT)TPM - Trusted Platform Module
TPM hulinda dhidi ya uchimbaji wa funguo kutoka kwa kifaa kilichozimwa (ikiwa kinalindwa na PIN) na kutoka kwa uchimbaji wa nyenzo za kibinafsi kutoka kwa safu ya OS. Lakini hailindi dhidi ya kunusa muunganisho wa kimwili kati ya TPM na CPU au kutumia nyenzo za kriptografia katika TPM wakati mfumo unafanya kazi kutoka kwa mchakato wenye haki za SYSTEM.
Ikiwa utaangalia ukurasa ufuatao utaona kwamba kuiba PRT kunaweza kutumika kufikia kama mtumiaji, ambayo ni nzuri kwa sababu PRT iko kwenye vifaa, kwa hivyo inaweza kuibwa kutoka kwao (au ikiwa haijaibwa inaweza kutumiwa vibaya kuzalisha funguo mpya za kusaini):
Az - Pass the PRTKusajili kifaa na tokeni za SSO
Inawezekana kwa mshambulizi kuomba tokeni kwa huduma ya usajili wa kifaa cha Microsoft kutoka kwa kifaa kilichovunjwa na kukisajili:
Ambayo itakupa cheti unachoweza kutumia kuomba PRTs siku zijazo. Kwa hivyo kudumisha uthabiti na kupita MFA kwa sababu tokeni ya awali ya PRT iliyotumika kusajili kifaa kipya tayari ilikuwa na ruhusa za MFA.
Kumbuka kwamba ili kufanya shambulio hili utahitaji ruhusa za kusajili vifaa vipya. Pia, kusajili kifaa haimaanishi kifaa kitaruhusiwa kujiandikisha kwenye Intune.
Shambulio hili lilirekebishwa mnamo Septemba 2021 kwani huwezi tena kusajili vifaa vipya kwa kutumia tokeni za SSO. Hata hivyo, bado inawezekana kusajili vifaa kwa njia halali (kuwa na jina la mtumiaji, nenosiri na MFA ikiwa inahitajika). Angalia: roadtx.
Kubadilisha tiketi ya kifaa
Ilikuwa inawezekana kuomba tiketi ya kifaa, kubadilisha ya sasa ya kifaa, na wakati wa mchakato kuiba PRT (kwa hivyo hakuna haja ya kuiba kutoka kwa TPM. Kwa maelezo zaidi angalia mazungumzo haya.
Hata hivyo, hili lilirekebishwa.
Kubadilisha ufunguo wa WHFB
Muhtasari wa shambulio:
Inawezekana kubadilisha ufunguo wa WHFB uliosajiliwa kutoka kwa kifaa kupitia SSO
Inashinda ulinzi wa TPM kwani ufunguo unanaswa wakati wa kizazi cha ufunguo mpya
Hii pia inatoa uthabiti
Watumiaji wanaweza kubadilisha mali yao ya searchableDeviceKey kupitia Azure AD Graph, hata hivyo, mshambulizi anahitaji kuwa na kifaa kwenye tenant (kilichosajiliwa papo hapo au kuwa na cheti + ufunguo ulioporwa kutoka kwa kifaa halali) na tokeni halali ya ufikiaji kwa AAD Graph.
Kisha, inawezekana kuzalisha ufunguo mpya na:
na kisha PATCH taarifa za searchableDeviceKey:
Inawezekana kupata tokeni ya ufikiaji kutoka kwa mtumiaji kupitia device code phishing na kutumia hatua za awali kuiba ufikiaji wake. Kwa maelezo zaidi angalia:
Az - Phishing Primary Refresh Token (Microsoft Entra)Marejeleo
Last updated
