Jak sprytni włamywacze ominęli korporacyjne uwierzytelnienie dwuskładnikowe

Choć 2FA w wielu przypadkach poważnie utrudnia życie włamywaczom, to grupa stojąca za atakiem na SolarWinds pokazała, że uwierzytelnienie dwuskładnikowe nie jest przeszkodą nie do pokonania. Diabeł jak zwykle tkwi w szczegółach – w tym wypadku wdrożenia.

Celem firm, wdrażających dwuskładnikowe uwierzytelnienie w swoich systemach, jest zapewnienie bezpieczeństwa kont użytkowników. Hasła można podsłuchać – wyłudzenie drugiego składnika uwierzytelnienia jest dużo trudniejsze. Nie zawsze jednak trzeba go wyłudzać – czasem można go po prostu ominąć.

Gdy w grudniu na jaw zaczęła wychodzić skala ataku na klientów firmy SolarWinds, jednym z najciekawszych, a często ginącym w natłoku innych wiadomości, był wpis firmy Volexity. Firma ta opisała działania tej samej grupy sprawców, które obserwowała u jednego ze swoich klientów, amerykańskiego think-tanku.

A 2FA omijam tak

Think tank był co najmniej trzykrotnie ofiarą udanych ataków. W drugim z opisywanych incydentów (poprzedzającym atak przez zainfekowane narzędzia SolarWinds), napastnicy uzyskali dostęp do skrzynek pocztowych wybranych pracowników think tanku działających w oparciu o interfejs Outlook Web App (OWA). Nie byłoby w tym nic dziwnego, gdyby nie fakt, że dostępu do poczty, oprócz loginów i haseł, broniło także dwuskładnikowe uwierzytelnienie, dostarczone przez firmę Duo (sam produkt nie ma w tej historii dużego znaczenia – w podobny sposób można omijać 2FA innych dostawców)..

Gdy w trakcie obsługi incydentu odkryto, że włamywacze uzyskali dostęp do poczty pracowników, przede wszystkim przejrzano logi serwera Exchange. Wskazywały one, że napastnik podał prawidłowy login i hasło, lecz nie został poproszony o drugi składnik uwierzytelnienia. Logi z serwera uwierzytelnienia Duo potwierdzały tę obserwację – nie pojawiły się żadne prośby o uwierzytelnienie. Potwierdzono także, że nie doszło do przejęcia sesji użytkownika. Z kolei zrzut pamięci serwera Exchange wskazywał, że napastnik przedstawił prawidłowe ciasteczko powiązane z sesją 2FA Duo.

Wyjaśnienie zagadki okazało się dość proste – napastnicy uzyskali dostęp do niejawnego ciągu znaków (Duo integration secret) przechowywanego na serwerze OWA, stanowiącego podstawę obliczenia ciasteczka wystawianego przez serwer Duo. Dysponując taką wiedzą mogli sami produkować odpowiednie ciasteczka, które w połączeniu z wykradzionymi loginami i hasłami dawały im bezproblemowy dostęp do poczty użytkowników.

Czy można bardziej utrudnić życie napastników?

Każda większa organizacja posiada spory zestaw „kluczy do królestwa” – kluczy, haseł, zalążków kryptograficznych, których przejęcie może pomóc napastnikom w ominięciu mechanizmów bezpieczeństwa i przejęcia pełnej kontroli nad infrastrukturą i danymi ofiary. Jak bolesne mogą być takie incydenty najdobitniej przekonała się firma RSA, z której wiele lat temu napastnicy wykradli zalążki kryptograficzne kluczy sprzętowych a następnie za ich pomocą włamali się do sieci jej kluczowych klientów z sektora obronnego. Jak bronić się przed takimi atakami?

Kluczem (nomen – omen) do sukcesu może być w tym scenariuszu zabezpieczenie sekretów za pomocą dedykowanych rozwiązań typu Enterprise Key Management (EKM). Mogą być to zarówno rozwiązania sprzętowe, jak i zwirtualizowane, służące nie tylko do zabezpieczenia infrastruktury używanej lokalnie, ale także wspierające zarządzanie kluczami usług chmurowych. Zastosowanie sprzętowych modułów bezpieczeństwa (HSM) znajdziemy także wśród rekomendacji NSA wydanych w związku z ujawnieniem ataku na klientów SolarWinds. Podobne rekomendacje odnośnie zabezpieczenia certyfikatów do podpisywania tokenów SAML w środowiskach ADFS wskazuje Microsoft.

Czy HSM / EKM jest lekiem na całe zło?

Jak można się spodziewać, wdrożenie sprzętowego modułu bezpieczeństwa (HSM) czy systemu zarządzania kluczami (EKM) nie rozwiązuje z automatu wszystkich problemów – rozwiązania te czasem same mają ciekawe podatności (tu dobra prezentacja, pokazująca kilka udanych ataków). Główną zaletą wdrożenia HSM i/lub EKM jest podniesienie kosztów ataku. Napastnik może oczywiście zdobyć uprawnienia umożliwiające odpytanie HSM lub EKM o potrzebne mu informacje, jednak poprawnie wdrożone systemy komunikują się jedynie z wąską grupą aplikacji, posiadają silne uwierzytelnianie i podlegają ciągłemu audytowi. To powoduje, że potencjalny atak trudniej przeprowadzić i jednocześnie łatwiej wykryć.

Warto pamietać, że korzyści z wdrożenia HSM / EKM będą tym większe, im więcej kluczy, sekretów czy zalążków uda się nimi objąć. Na szczęście systemy tej kategorii z reguły dysponują gotowymi możliwościami integracji z licznymi platformami, istnieje także możliwość elastycznego dostosowania do rozwiązań mniej typowych. Informacje o tym, jak profesjonalnie podejść do zarządzania kluczami znajdziecie w tym artykule.

Jeśli chcecie dowiedzieć się więcej o możliwościach wdrożenia takich zabezpieczeń w waszej organizacji, zapraszamy do kontaktu z Thales Polska lub bezpośrednio z Joanną Rzepką.

Dla pełnej przejrzystości – powyższy tekst to artykuł sponsorowany, za jego publikację pobieramy wynagrodzenie.