Kasa ayakta kaldı. Giriş yolu asla o olmadı.

LastPass bu ay yine ihlal edildi. Herkesin beklediği kısım yaşanmadı. Ne kasa kırıldı, ne ana parola ele geçirildi. Şifrelenmiş sırlar olduğu gibi kaldı. LastPass "ürünlerinin, hizmetlerinin ve altyapısının etkilenmediğini" ve müşteri kasalarının "güvenli kaldığını" doğruladı. [1]

Saldırganlar kasaya hiç yaklaşmadı. Bir tedarikçinin içinden girdiler.

Mekanizma bütün mesele olduğu için zinciri anlatalım. 11 Haziran'da kendilerine Icarus diyen bir grup, @LastPass'in dahili olarak kullandığı bir pazar istihbarat platformu olan Klue'ye girdi. Olayı soruşturan @HuntressLabs'a göre giriş yolları şuydu: "başlangıçta terk edilmiş bir üçüncü taraf entegrasyon prototipi için oluşturulmuş, uzun süredir pasif bir API kimlik bilgisi." [2] Var olmayan bir proje için üretilmiş, amacı kimsenin hatırlamadığı bir anahtar, hâlâ canlıydı. Klue'nun içinden, Klue'nun müşterileri adına tuttuğu OAuth belirteçlerini toplayan kötü amaçlı kod yaydılar: @salesforce, Slack, HubSpot ve daha fazlasını o şirketler adına okumasını sağlayan kalıcı yetkiler. Bu belirteçlerden biri LastPass'e aitti. Bununla saldırganlar LastPass'in Salesforce CRM'ini okudu. Adlar, e-postalar, telefon numaraları, adresler, destek talebi içerikleri. Ardından şantaj notu. Ödeyin, ya da sızıntı sitesine düşer.

LastPass bu olayın etki alanında yalnız değildi. Huntress, Recorded Future, Tanium, Jamf, BeyondTrust. Çoğu güvenlik şirketi. Bu işi meslek edinmiş olanlardan.

Hakkını vermek gerek. LastPass'in kriptografisi tam olarak vaat ettiği işi yaptı. Kasa hikâyenin kendisi değil. Hikâye, neredeyse kimsenin sır olarak görmediği bir gizli türü: bir zaman onayladığınız ve bir daha hiç bakmadığınız bir SaaS entegrasyonunun içinde duran uzun ömürlü belirteç. Süresi dolmaz. Çalındığını bilmez. Oluşturulma gerekçesinin çok ötesinde yetki verir ve bir insan kapatmayı hatırlayana dek sessizce yetki vermeye devam eder. Genelde kimse hatırlamaz.

Değişen şey budur. Tehdit modeli "kasayı kırabilirler mi" sorusundan, "izlemeyi bıraktığınız kapılara yaslanmış kaç unutulmuş anahtar var" sorusuna kaydı. Terk edilmiş bir prototipten kalmış ölü bir kimlik bilgisi, bir dizi şirketin müşteri verilerine ulaşmaya yetti. Zayıf nokta hiçbir zaman matematik değildi. Zayıf nokta dağınıklıktı.

Bir kimlik bilgisinin baştan reddedecek şekilde tasarlanması gereken hata tam olarak budur. Clavitor'ın verdiği bir gizli kısa ömürlü ve dar kapsamlıdır. Tek bir işlem için aracılık edilir, kendiliğinden sona erer ve onu kullanan makineye bağlanır, ona atfedilir. Böyle bir belirteç buradaki zarara yol açan şeye dönüşemez: varlığını kimsenin hatırlamasından çok sonra toplanan, yabancı bir altyapıdan hiçbir aktöre bağlanmaksızın tekrar oynatılan unutulmuş bir yetki. Bulunacak vakit kalmadan ortadan kalkar ve tek işinin ötesine asla geçmez.

Açıkça söylenmesi gereken bir sınır var. Clavitor yalnızca elindeki kimlik bilgilerini yönetir; bir tedarikçi platformuna verdiğiniz kalıcı OAuth yetkisini değil. O belirteç onların sisteminde, onların denetimleri altında yaşar ve hiçbir kasa içeri girip sizin için sona erdiremez. Değişen şey, Clavitor'ın sahasındaki her şeydir. Süresi asla dolmayan bir gizlinin sessizce durabileceği bir yer olmayı reddeder. Klue'yu açan disiplin (kısa ömür, dar kapsam, gerçek atıf) burada varsayılandır; birinin hatırlaması gereken bir ayar değil.

Bu geriye rahatsız edici bir soru bırakıyor. Bir yıl önce dahil ettiğiniz ve o zamandan beri hiç düşünmediğiniz tedarikçilerde kaç canlı belirteç duruyor?

Bir kimlik bilgisine herhangi bir şey emanet etmeden önce taşıması gereken birkaç özelliği yazdık. [3]

Clavitor (@clavitorai), AI ajanları için ve onlara karşı geliştirilmiş kimlik bilgisi kasasıdır. clavitor.ai

Kaynaklar

[1] BleepingComputer, "LastPass, Klue tedarik zinciri saldırısındaki veri ihlalini doğruladı" — @BleepinComputer

[2] Huntress olay bulguları, Help Net Security üzerinden raporlandı: "Klue ihlali Salesforce veri hırsızlığıyla sonuçlandı, Huntress etkilendi" — @HuntressLabs, @helpnetsecurity

[3] Kimlik Bilgisi Yönetiminin On Kuralı (yerel X Makalesi) — @clavitorai