Golden SAML: ecco come i pirati possono attaccare il cloud

Nov 28, 2017 Marco Schiaffino Attacchi, Hacking, Intrusione, News, RSS 0

L’attacco consente a un hacker di accedere ai servizi cloud aggirando l’autenticazione. La soluzione? Modificare periodicamente la chiave privata.

Non si tratta di una vulnerabilità, ma di una modalità di attacco che consentirebbe a un pirata informatico accedere ai servizi cloud aggirando il sistema di autenticazione.

La chiave di tutto è SAML (Security Assertion Markup Language), un protocollo che viene utilizzato dai più diffusi servizi cloud come AWS; Azure e vSphere per gestire l’autenticazione e l’accesso ai servizi.

SAML sfrutta un sistema di autenticazione esterno, in cui l’Identity Provider controlla l’identità del client che vuole connettersi al servizio cloud.

Lo schema sintetizza il processo di autenticazione, che prevede 4 passaggi in cui l’Identity Provider accerta le credenziali del client che si vuole connettere.

Come spiegano in un report i ricercatori di CyberArk, che hanno anche messo a punto uno strumento in grado di sfruttare l’attacco, è però possibile violare il sistema con una tecnica che ricorda quella del Golden Ticket.

Golden Ticket è un attacco che prende di mira i sistemi Kerberos e che consente a un hacker di ottenere un permesso che gli consente di accedere a qualsiasi risorsa all’interno della rete. Golden SAML funzionerebbe nello stesso modo, ma livello di cloud.

La premessa, però, è che il pirata informatico deve avere già il controllo del dominio relativo. Questo significa che Golden SAML non è uno strumento che consente di “bucare” i sistemi, ma permette di fare movimento laterale, ottenendo in pratica un passepartout per tutti i sevizi cloud.

Utilizzando il Golden SAML, l’autenticazione viene garantita senza coinvolgere l’Identity Provider.

Secondo i ricercatori, per creare un Golden SAML è necessario avere la chiave privata SAML utilizzata nel dominio, il certificato pubblico (e il nome) dell’Identity Provider e qualche altra informazione (come l’ID del servizio cloud) che un pirata nelle condizioni sopra descritte non ha difficoltà a rintracciare.

L’efficacia di questo tipo di attacco è però elevatissima. I ricercatori di CyberArk, infatti, sottolineano che usando Golden SAML è possibile accedere ai servizi cloud anche con un client all’esterno del dominio compromesso e che la modifica della password (o l’uso di autenticazione a due fattori) non ne pregiudica l’efficacia.

Soluzioni? Per il momento nessuna. Anche perché gli stessi ricercatori sottolineano che non si tratta di una vulnerabilità, ma di una semplice tecnica che presuppone una situazione in cui il pirata di turno abbia già violato la rete.

L’unico strumento per mitigare il rischio a disposizione degli amministratori IT è quello di modificare periodicamente la chiave privata usata per l’autenticazione via SAML.

Il problema non viene risolto, ma per lo meno in caso di una violazione non rilevata, la modifica della chiave privata impedirà all’hacker di accedere impunemente ai servizi cloud anche una volta che è stato “buttato fuori” dalla rete.

Condividi l'articolo