Securitybedrijf onthult SAML-aanval die toegang tot cloud-apps geeft
Securitybedrijf CyberArk heeft een nieuwe aanval onthuld waarbij er van een "golden SAML" gebruik gemaakt wordt om toegang tot clouddiensten te krijgen die het SAML 2.0 protocol als inlogmechanisme gebruiken. De naam verwijst naar het "golden ticket" in Windows. Hiermee kan een aanvaller een gecompromitteerde domeincontroller die is opgeschoond weer opnieuw compromitteren en meteen domeinbeheerderrechten verkrijgen.
Bij een golden SAML-aanval kan een aanvaller toegang tot elke cloudapplicatie krijgen die SAML-authenticatie ondersteunt, zoals Azure en Amazon Web Services, met elke gewenste permissie en als elke willekeurige gebruiker. SAML staat voor Security Assertion Markup Language en is een standaard om authenticatie- en autorisatiegegevens tussen domeinen uit te wisselen. Er wordt hierbij gewerkt met een serviceprovider, identiteitsprovider en de gebruiker.
Als een gebruiker wil inloggen op een applicatie zoekt de serviceprovider de identiteitsprovider om de gebruiker te authenticeren. Vervolgens genereert de serviceprovider een SAML-authenticatieverzoek en stuurt dat naar de identiteitsprovider. De identiteitsprovider authenticeert de gebruiker en genereert een SAML-token en SAML-response object. Het SAML-response object wordt naar de serviceprovider gestuurd, die het verifieert. Is het response object geverifieerd, dan wordt de gebruiker door de serviceprovider ingelogd.
Om een golden SAML te creëren moet een aanvaller over de token-signing privésleutel beschikken. De privésleutel signeert het object dat de identiteit en permissies van de gebruiker bevat. Vervolgens kan de aanvaller het object vervalsen en zich als elke gebruiker voordoen om ongeautoriseerde toegang tot de applicatie te krijgen. Om de aanval uit te voeren moet een aanvaller naast de eerder genoemde privésleutel ook over de naam en het publieke certificaat van de identiteitsprovider en gewenste rolnaam beschikken. Om de privésleutel en verdere informatie te verkrijgen moet de aanvaller toegang tot het Active Directory Federation Services (AD FS) account hebben.
Cyberark stelt dat de golden SAML-aanval geen gebruik maakt van een kwetsbaarheid. Om de aanval uit te voeren moet een aanvaller domeinbeheerderstoegang hebben. "Daarom wordt het niet door de leveranciers in kwestie opgelost", aldus het securitybedrijf. Cyberark heeft een nieuwe tool genaamd "shimit" ontwikkeld en uitgebracht die de golden SAML-aanval implementeert.
Verder gaf men aan dat ook MFA hier niet zal helpen, maar dat betwijfel ik een beetje of dat in ieder geval zo is. Ik dacht dat na ADFS authenticatie je alsnog in (bijvoorbeeld) Office 365 geconfronteerd kan worden met een MFA challenge (altijd of bijv. door Conditional Access). En ik vraag mij af of Identity Protection dit kan achterhalen en lokaal natuurlijk Windows Defender ATP (of hooks met andere AV producten).
Naar mijn mening wel lastig te detecteren, dus alleen bij bv. onlogische "time travel" van individuele gebruikers, kan die gebruiker gedetecteerd worden. Maar je hebt de Key, dus op naar de volgende user. Iedere user vanaf een ander IP, anders val je ook daar door de mand.
/sarcasmoff
Best aardig, dat ze een tooltje gemaakt hebben om dat te automatiseren, maar de titel is echt puur clickbait. Dit is by design en gaat ook niet anders als je de rollen Identity Provider en Service Provider wilt splitsen. Dan moet de SP de IdP blind vertrouwen en dus als de IdP geowned is, heeft de SP een probleem.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.