Securitybedrijf onthult SAML-aanval die toegang tot cloud-apps geeft
Securitybedrijf CyberArk heeft een nieuwe aanval onthuld waarbij er van een "golden SAML" gebruik gemaakt wordt om toegang tot clouddiensten te krijgen die het SAML 2.0 protocol als inlogmechanisme gebruiken. De naam verwijst naar het "golden ticket" in Windows. Hiermee kan een aanvaller een gecompromitteerde domeincontroller die is opgeschoond weer opnieuw compromitteren en meteen domeinbeheerderrechten verkrijgen.
Bij een golden SAML-aanval kan een aanvaller toegang tot elke cloudapplicatie krijgen die SAML-authenticatie ondersteunt, zoals Azure en Amazon Web Services, met elke gewenste permissie en als elke willekeurige gebruiker. SAML staat voor Security Assertion Markup Language en is een standaard om authenticatie- en autorisatiegegevens tussen domeinen uit te wisselen. Er wordt hierbij gewerkt met een serviceprovider, identiteitsprovider en de gebruiker.
Als een gebruiker wil inloggen op een applicatie zoekt de serviceprovider de identiteitsprovider om de gebruiker te authenticeren. Vervolgens genereert de serviceprovider een SAML-authenticatieverzoek en stuurt dat naar de identiteitsprovider. De identiteitsprovider authenticeert de gebruiker en genereert een SAML-token en SAML-response object. Het SAML-response object wordt naar de serviceprovider gestuurd, die het verifieert. Is het response object geverifieerd, dan wordt de gebruiker door de serviceprovider ingelogd.
Om een golden SAML te creëren moet een aanvaller over de token-signing privésleutel beschikken. De privésleutel signeert het object dat de identiteit en permissies van de gebruiker bevat. Vervolgens kan de aanvaller het object vervalsen en zich als elke gebruiker voordoen om ongeautoriseerde toegang tot de applicatie te krijgen. Om de aanval uit te voeren moet een aanvaller naast de eerder genoemde privésleutel ook over de naam en het publieke certificaat van de identiteitsprovider en gewenste rolnaam beschikken. Om de privésleutel en verdere informatie te verkrijgen moet de aanvaller toegang tot het Active Directory Federation Services (AD FS) account hebben.
Cyberark stelt dat de golden SAML-aanval geen gebruik maakt van een kwetsbaarheid. Om de aanval uit te voeren moet een aanvaller domeinbeheerderstoegang hebben. "Daarom wordt het niet door de leveranciers in kwestie opgelost", aldus het securitybedrijf. Cyberark heeft een nieuwe tool genaamd "shimit" ontwikkeld en uitgebracht die de golden SAML-aanval implementeert.
Verder gaf men aan dat ook MFA hier niet zal helpen, maar dat betwijfel ik een beetje of dat in ieder geval zo is. Ik dacht dat na ADFS authenticatie je alsnog in (bijvoorbeeld) Office 365 geconfronteerd kan worden met een MFA challenge (altijd of bijv. door Conditional Access). En ik vraag mij af of Identity Protection dit kan achterhalen en lokaal natuurlijk Windows Defender ATP (of hooks met andere AV producten).
Naar mijn mening wel lastig te detecteren, dus alleen bij bv. onlogische "time travel" van individuele gebruikers, kan die gebruiker gedetecteerd worden. Maar je hebt de Key, dus op naar de volgende user. Iedere user vanaf een ander IP, anders val je ook daar door de mand.
/sarcasmoff
Best aardig, dat ze een tooltje gemaakt hebben om dat te automatiseren, maar de titel is echt puur clickbait. Dit is by design en gaat ook niet anders als je de rollen Identity Provider en Service Provider wilt splitsen. Dan moet de SP de IdP blind vertrouwen en dus als de IdP geowned is, heeft de SP een probleem.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
