Scoperto Grave Bug nei Sistemi Okta: Rischi Elevati per l’Autenticazione Delegata

Scoperta Critica: Vulnerabilità nei Sistemi di Sicurezza Okta

Recentemente, Okta, colosso nel campo della sicurezza informatica, ha individuato una criticità nel proprio sistema di autenticazione delegata, nota come Okta AD/LDAP DelAuth. Il difetto riguarda una breccia che consentiva di aggirare le misure di sicurezza tramite l’utilizzo di un nome utente di lunghezza eccessiva.

La particolarità di questa vulnerabilità risiede nel fatto che poteva essere sfruttata solo quando venivano rispettate alcune condizioni specifiche. Una di queste condizioni era che il nome utente dovesse superare i 52 caratteri. Nella pratica lavorativa, questo è possibile ad esempio quando si usa un indirizzo e-mail aziendale come nome utente.

La vulnerabilità diventava rilevante soltanto se nel sistema vi era traccia di un precedente accesso riuscito, con relativa chiave di cache generata tramite bcrypt, che include hash di ID utente, nome utente e password. Un altro requisito per l’esecuzione del bug era l’utilizzo preliminare della cache, situazione che, come sottolineato da Okta, “può verificarsi qualora l’agent AD/LDAP risulti inattivo o non disponibile, ad esempio a seguito di un sovraccarico di traffico di rete”. È essenziale notare che per un attacco riuscito deve essere disabilitata l’autenticazione a più fattori (MFA).

La problematica è stata esposta da uno specialista in sicurezza di Brave, il quale ha chiarito che l’uso dell’algoritmo bcrypt, ignorando gli input che superano una determinata lunghezza, e l’affidamento su di esso per l’hashing del nome utente e della password, comporta che un nome utente abbastanza lungo possa essere sufficiente per accettare qualsiasi password.

Okta ha comunicato di aver identificato e risolto il problema lo stesso giorno in cui è stato scoperto, il 30 ottobre 2024, nonostante il bug fosse presente nel codice da oltre tre mesi. Attualmente, non è stato confermato se ci siano stati tentativi riusciti di sfruttare questa falla, ma Okta ha suggerito ai propri clienti di attivare l’MFA e di monitorare i registri dal 23 luglio in poi, prestando particolare attenzione ai tentativi di accesso che presentano nomi utente di lunghezza superiore ai 52 caratteri.

Conclusione

Alla luce di questa scoperta, è evidente quanto sia vitale mantenere sistemi di sicurezza robusti e aggiornati, soprattutto in un’era dove le minacce informatiche sono sempre più sofisticate e insidiose. La vicenda sottolinea anche l’importanza dell’autenticazione a più fattori come strumento indispensabile per la protezione degli accessi e dati sensibili. Inoltre, questo incidente ci ricorda che anche i sistemi apparentemente sicuri hanno delle vulnerabilità che possono rimanere occulte per mesi. È quindi cruciale che le aziende investano in test di sicurezza continui e nel monitoraggio continuo delle infrastrutture di rete per prevenire o identificare rapidamente eventuali anomalie.