Varonis güvenlik araştırmacıları, Box hesapları için SMS yoluyla çok faktörlü kimlik doğrulamayı (MFA) atlamanın bir yolunu keşfettiler. Kimlik bilgilerini çalan saldırganlar, bir kuruluşun Box hesabını tehlikeye atmayı ve kurbanın telefonuna erişmeye gerek kalmadan hassas verileri çalmayı başardı.
Güvenlik araştırmacıları, bu güvenlik açığını 3 Kasım 2021'de HackerOne aracılığıyla Box'a bildirdi ve bu da kapatılmasına neden oldu. Daha geçen ay Varonis Thread Labs, Box'ın TOTP tabanlı MFA'sının nasıl atlanacağını gösterdi. Her iki boşluk da, görünürde güvenli teknolojiler kullanılırken bile bulut güvenliğinin asla hafife alınmaması gerektiğini ve çok katmanlı bir güvenlik stratejisinin gerekli olduğunu açıkça ortaya koyuyor.
Kurbanın telefonu olmadan SMS kodu
Çoğu uygulamada olduğu gibi Box, çoklu oturum açma (SSO) olmayan kullanıcıların kimlik doğrulamanın ikinci adımı olarak bir kimlik doğrulama uygulaması (Okta Verify veya Google Authenticator gibi) veya tek seferlik güvenlik kodu içeren bir SMS kullanmasına izin verir. Oturum açma formuna bir kullanıcı adı ve parola girdikten sonra, Box bir oturum çerezi ayarlar ve kullanıcıyı bir kimlik doğrulayıcı uygulamasında oturum açtıysa geçici tek seferlik parola (TOTP) girmesi için bir forma veya girmek için bir forma yönlendirir. kullanıcı SMS yoluyla bir güvenlik kodu almayı seçtiyse, bir SMS kodu.
MFA yöntemlerinin tehlikeli şekilde karıştırılması
Kullanıcı SMS doğrulama formuna gitmezse bir oturum çerezi de oluşturulur. Benzer şekilde, saldırganların geçerli bir oturum tanımlama bilgisi almak için yalnızca kullanıcının e-posta adresini ve daha önce karanlık ağda kimlik avı yaptıkları veya satın aldıkları parolayı girmeleri yeterlidir. Tanımlama bilgisi oluşturulduktan sonra, saldırganlar SMS tabanlı MFA mekanizmasını (kullanıcının oturum açtığı yer) iptal edebilir ve bunun yerine TOTP tabanlı MFA mekanizmasını başlatarak MFA modlarını karıştırabilir.
Kutu Saldırısının Akışı
- Çok faktörlü kimlik doğrulamada, saldırgan bir kimlik doğrulama uygulamasıyla oturum açar ve cihazın faktör kimliğini kaydeder.
- Saldırgan, account.box.com/login adresinde kurbanın e-posta adresini ve parolasını girer.
- Parola doğruysa, saldırganın tarayıcısı yeni bir kimlik doğrulama tanımlama bilgisi alır ve /2fa/verification konumuna yönlendirilir.
- Ancak, SMS doğrulama formuna yönlendirmeyi takip etmek yerine, saldırgan kendi faktör kimliğini ve kimlik doğrulama uygulamasından aldığı kodu TOTP doğrulama uç noktası /mfa/verification'a gönderir.
- Saldırgan artık SMS mesajı almayan ve dolayısıyla hiçbir şey fark etmeyen kurbanın hesabında oturum açmıştır.
Böyle bir saldırının seyri bu YouTube videosunda gösterilmektedir.
Saldırıdan elde edilen bulgular
MFA, SaaS uygulamaları için daha güvenli bir internet ve daha güvenilir kimlik doğrulamaya yönelik önemli bir adımdır. Bununla birlikte, MFA yanlış bir güvenlik duygusu sağlayabilir: MFA'nın etkin olması, bir saldırganın kurbanın hesabını ele geçirmek için cihazına fiziksel olarak erişmesi gerektiği anlamına gelmez. Bu nedenle, güvenilir kimlik doğrulama yalnızca bir güvenlik düzeyi olabilir.
Buna göre, bu güvenlik açığı veri merkezli bir yaklaşıma olan ihtiyacı da göstermektedir. Varonis Systems DACH Ülke Müdürü Michael Scheffler, "Yalnızca çevre korumasına ve güçlü kimlik doğrulamaya güvenmek büyük ölçüde ihmalkarlıktır" diye açıklıyor. "Güvenlik liderleri, güvenlik stratejilerinin etkinliğini gözden geçirmek ve gerektiğinde ayarlamalar yapmak için kendilerine aşağıdaki soruları sormalıdır: MFA'nın tüm SaaS uygulamalarımda bir kullanıcı için devre dışı bırakıldığını veya atlandığını anlayabilir miyim? Normal bir kullanıcı hesabını tehlikeye atan bir saldırgan ne kadar veriye erişebilir? Kullanıcılar yalnızca gerçekten ihtiyaç duydukları dosyalara mı erişebilir? Ve bir kullanıcının verilere alışılmadık şekillerde eriştiğini tespit edebiliyor muyuz?"
Daha fazlası Varonis.com'da
Varonis Hakkında 2005 yılında kuruluşundan bu yana Varonis, hem şirket içinde hem de bulutta depolanan kurumsal verileri güvenlik stratejisinin merkezine yerleştirerek çoğu BT güvenlik satıcısına farklı bir yaklaşım benimsemiştir: hassas dosyalar ve e-postalar, gizli müşteri, hasta ve hasta bilgileri Çalışan kayıtları, mali kayıtlar, stratejik ve ürün planları ve diğer fikri mülkiyet. Varonis Veri Güvenliği Platformu (DSP), verileri, hesap etkinliğini, telemetriyi ve kullanıcı davranışını analiz ederek içeriden gelen tehditleri ve siber saldırıları tespit eder, hassas, düzenlenmiş ve eskimiş verileri kilitleyerek veri güvenliği ihlallerini önler veya hafifletir ve sistemlerin güvenli durumunu korur verimli otomasyon yoluyla.,